Una guía básica para evaluar los niveles de seguridad de IBM i – AS/400.
Evaluación de los Controles de Seguridad en IBM i
Si bien el sistema IBM i (AS/400) es reconocido como uno de los más seguros del mercado, aún presenta vulnerabilidades que, de ser explotadas, podrían implicar costos elevados. Estas vulnerabilidades pueden surgir tanto de amenazas externas, como ataques dirigidos, como de internas, incluyendo el mal uso de la información por parte de los empleados. Identificar y mitigar estas vulnerabilidades de manera proactiva es esencial y requiere una evaluación minuciosa de los controles de seguridad.
En un entorno regulatorio cada vez más complejo, la evaluación de seguridad en IBM i es una tarea desafiante que exige un conocimiento profundo. Estas evaluaciones deben ser el punto de inicio para comprender la postura de seguridad de su sistema y realizarse con regularidad para mantener la configuración al nivel deseado.
Un error común es considerar suficiente proteger solo los aspectos físicos y de red del sistema. Si bien son críticos, las configuraciones del sistema son frecuentemente la fuente de vulnerabilidades.
Abordemos los puntos clave a analizar:
Configuración de Seguridad en IBM i
Es crucial revisar meticulosamente las configuraciones relacionadas con los valores del sistema de
seguridad y las propiedades de red:
Nivel de seguridad: El valor del sistema QSECURITY controla el nivel de seguridad del servidor y debe establecerse en 40 o 50 para asegurar un entorno seguro.
Configuración de contraseñas: Los valores del sistema, como QPWD*, definen reglas para la caducidad y características especiales de las contraseñas, ayudando a prevenir fugas de información.
Nivel de auditoría: Los valores del sistema QAUD*, como QAUDLVL y QAUDJRN, deben configurarse para capturar adecuadamente los eventos relevantes en el registro de auditoría, facilitando la trazabilidad y el análisis de actividades sospechosas.
Seguridad en la Red LAN y WAN
Puertos abiertos: Es fundamental escanear los puertos para asegurarse de que no permitan accesos no autorizados al sistema.
Puntos de salida: Revisar y asegurar los puntos de salida de la red para prevenir fugas de información.
Servidores web y aplicaciones: La configuración de servidores web debe incluir medidas como cifrado y autenticación para proteger el acceso a IBM i.
Gestión de Perfiles de Usuario
Monitoreo de usuarios avanzados: Es vital supervisar a usuarios con altos privilegios para prevenir abusos.
Categorización y capacidades de usuarios: Limitar las capacidades de usuarios según sus roles y asegurar una asignación adecuada a categorías como SECOFR o SECADM.
Usuarios inactivos: Controlar rigurosamente los perfiles inactivos o desactivados para reducir riesgos de activaciones no autorizadas.
Seguridad de la Información
La seguridad de los datos se maneja ajustando permisos y utilizando técnicas de cifrado y tokenización para proteger la información tanto en reposo como en tránsito:
Permisos de objetos: Utilizar comandos como DSPOBJAUT y DSPAUT para revisar quién tiene acceso a información sensible.
Cifrado y tokenización: Aplicar cifrado para proteger los datos durante su transmisión y almacenamiento, utilizando estándares como TLS 1.2 y algoritmos aprobados por el NIST.
Seguridad de la Aplicación
Evaluar la seguridad de las aplicaciones es crucial, incluyendo la realización de pruebas de penetración por entidades externas para validar la robustez de las medidas de seguridad implementadas.
Apoyo de Exsystem
En Exsystem, contamos con IPSecurity, una solución integral para evaluar la seguridad de IBM i. Nuestro módulo de evaluación de riesgos de seguridad ofrece una visión detallada de las fortalezas y debilidades del sistema. Esta evaluación inicial es gratuita y permite identificar áreas críticas que requieren atención.
