Política de seguridad de PKI Trust Auditor

Descripción general#

Este documento describe la política de seguridad, los procedimientos de gestión de vulnerabilidades y las consideraciones de seguridad de la aplicación PKI Trust Auditor. Como herramienta de auditoría que maneja datos sensibles de infraestructura PKI, es fundamental mantener prácticas de seguridad sólidas.

Política de divulgación responsable#

Notificación de vulnerabilidades#

Nos tomamos muy en serio la seguridad de PKI Trust Auditor. Si cree que ha encontrado una vulnerabilidad, notifíquela siguiendo estas pautas:

Información de contacto:

• Principal: [email protected]
• Alternativo: [email protected]
• Clave PGP: disponible previa solicitud para comunicaciones cifradas

Información necesaria:

• Descripción detallada de la vulnerabilidad
• Pasos para reproducir el problema
• Versiones afectadas de PKI Trust Auditor
• Evaluación del posible impacto
• Código de prueba de concepto o capturas de pantalla, si están disponibles

Plazos de respuesta:

• Acuse de recibo: dentro de las 48 horas siguientes a la recepción del informe
• Evaluación inicial: dentro de 5 días laborables
• Plan de corrección: dentro de 10 días laborables para problemas críticos
• Divulgación pública: coordinada con quien informó después de que haya un parche disponible

Consideraciones de seguridad de PKI Trust Auditor#

Seguridad de los datos#

Gestión de credenciales

• PKI Trust Auditor utiliza las credenciales del usuario actual para todas las operaciones.
• La aplicación no almacena ni guarda en caché credenciales.
• Toda autenticación utiliza la autenticación integrada de Windows.
• Utilice cuentas de servicio dedicadas con los privilegios mínimos necesarios.

Almacenamiento de evidencias

• Los resultados de auditoría se almacenan localmente en el directorio Audit-Results/.
• Los archivos de evidencia contienen datos de evaluación de seguridad y deben protegerse.
• Los certificados y CRL descargados se guardan para su análisis.
• La aplicación no transmite datos sensibles a sistemas externos.

Gestión de certificados

• Los certificados CA se recuperan de Active Directory para su análisis.
• Los certificados AIA se descargan de las URL configuradas para su validación.
• Los archivos CRL se descargan para probar su accesibilidad.
• Todo material criptográfico descargado debe tratarse como sensible.

Seguridad de red#

Protocolos de comunicación

• WMI: utiliza DCOM/RPC por el puerto 135 (configure correctamente el firewall).
• PowerShell Remoting: utiliza WinRM por los puertos 5985/5986.
• LDAP: consultas a Active Directory por el puerto 389/636.
• HTTP/HTTPS: pruebas de acceso a URL de endpoints AIA y CDP.

Recomendaciones de seguridad

• Implemente segmentación de red para los servidores CA.
• Utilice canales cifrados cuando estén disponibles (LDAPS, WinRM HTTPS).
• Configure reglas de firewall apropiadas para los puertos necesarios.
• Supervise el tráfico de red para detectar actividad sospechosa.

Seguridad de la aplicación#

Validación de entradas

• Todos los parámetros de configuración CA se validan antes de la ejecución.
• Los datos de certificados se analizan con un manejo adecuado de errores.
• Las configuraciones de plantillas se analizan con controles de seguridad.
• Las consultas al registro incluyen sanitización y validación adecuadas.

Manejo de errores

• Los errores se registran sin exponer información sensible.
• Se capturan trazas de pila para depuración, pero no se muestran a los usuarios.
• Las operaciones fallidas se gestionan correctamente con códigos de estado adecuados.
• Los archivos de evidencia contienen información detallada de ejecución para resolver problemas.

Seguridad de dependencias

• Análisis periódico de seguridad de dependencias de terceros.
• Aplicación rápida de parches de seguridad para .NET Framework.
• Supervisión de avisos de seguridad para System.DirectoryServices y System.Management.
• Prácticas de codificación segura en los scripts personalizados de PowerShell.

Proceso de gestión de vulnerabilidades#

Evaluación de vulnerabilidades#

Clasificación de gravedad

• Crítica: ejecución remota de código, escalada de privilegios, exposición de datos.
• Alta: divulgación de información, denegación de servicio, elusión de autenticación.
• Media: problemas de configuración de seguridad, controles de acceso incorrectos.
• Baja: divulgaciones informativas, observaciones de seguridad menores.

Criterios de evaluación

• Impacto en la seguridad de la infraestructura PKI
• Posible exposición de credenciales o certificados
• Riesgo para la integridad de la auditoría y la recopilación de evidencias
• Implicaciones de cumplimiento para las evaluaciones de seguridad

Procedimientos de corrección#

Desarrollo de parches

• Los parches de seguridad se desarrollan en ramas aisladas.
• Pruebas exhaustivas en varios entornos PKI.
• Evaluación de compatibilidad con resultados de auditoría existentes.
• Revisión de seguridad antes del lanzamiento.

Proceso de lanzamiento

• Las actualizaciones de seguridad se publican como versiones de parche (por ejemplo, 1.0.1).
• Las notas de la versión incluyen información detallada de vulnerabilidades.
• Se notifica a los usuarios por varios canales.
• Las actualizaciones críticas pueden usar procedimientos de lanzamiento acelerado.

Política de divulgación#

Divulgación coordinada

• Las vulnerabilidades se divulgan una vez disponibles los parches.
• Se reconoce a los investigadores que siguen la divulgación responsable.
• La divulgación pública incluye suficiente información para evaluar el riesgo.
• No se divulgan vulnerabilidades de día cero sin una mitigación disponible.

Canales de comunicación

• GitHub Security Advisories para detalles técnicos
• Notificaciones por correo electrónico a usuarios registrados
• Anuncios del sitio web para actualizaciones de seguridad críticas
• Redes sociales para difusión amplia

Buenas prácticas de seguridad para usuarios#

Seguridad de despliegue#

Pautas de instalación

• Despliegue PKI Trust Auditor en servidores de auditoría dedicados.
• Utilice cuentas de servicio dedicadas con los privilegios mínimos necesarios.
• Implemente controles de acceso adecuados en los directorios de resultados de auditoría.
• Actualice periódicamente a la versión segura más reciente.

Seguridad de configuración

• Proteja los archivos de configuración parameters.json.
• Utilice cuentas de servicio específicas del dominio para acceder a CA.
• Implemente un registro y una supervisión adecuados.
• Revise periódicamente la seguridad de las configuraciones de auditoría.

Control de acceso#

Principio de mínimo privilegio

• Conceda solo los permisos necesarios para administrar CA.
• Limite el acceso de red a los puertos y protocolos requeridos.
• Implemente una separación adecuada de funciones.
• Revise periódicamente el acceso de las cuentas de auditoría.

Supervisión y auditoría

• Supervise los registros de ejecución de auditorías para detectar actividad sospechosa.
• Implemente una retención y análisis adecuados de registros.
• Revise periódicamente los archivos de evidencia de auditoría.
• Establezca procedimientos de respuesta a incidentes de seguridad.

Seguridad operativa#

Uso seguro

• Siempre que sea posible, ejecute auditorías durante ventanas de mantenimiento.
• Almacene de forma segura los resultados y evidencias de auditoría.
• Elimine correctamente archivos temporales y datos en caché.