Política de seguridad de PKI Trust Auditor

Descripción general

Este documento describe la política de seguridad, los procedimientos de gestión de vulnerabilidades y las consideraciones de seguridad de PKI Trust Auditor. Como herramienta de auditoría que maneja datos sensibles de infraestructura PKI, es esencial mantener prácticas de seguridad sólidas.

Divulgación responsable

Notificar vulnerabilidades

Nos tomamos en serio la seguridad de PKI Trust Auditor. Si cree haber encontrado una vulnerabilidad, notifíquela siguiendo estas pautas:

Contacto: [email protected] (principal), [email protected] (alternativo). Clave PGP disponible previa solicitud para comunicaciones cifradas.

Incluya: descripción detallada, pasos para reproducir, versiones afectadas, evaluación del impacto y código de prueba de concepto o capturas de pantalla si están disponibles.

Plazos de respuesta:

• Acuse de recibo en 48 horas.
• Evaluación inicial en 5 días laborables.
• Plan de corrección para problemas críticos en 10 días laborables.
• Divulgación pública coordinada con quien informa tras la disponibilidad del parche.

Consideraciones de seguridad

Seguridad de datos

• La aplicación utiliza las credenciales del usuario actual; no almacena ni conserva credenciales en caché y se basa en la autenticación integrada de Windows.
• Se recomienda usar cuentas de servicio dedicadas con privilegios mínimos.
• Los resultados se guardan localmente en `Audit-Results/`. Las evidencias contienen datos de evaluación de seguridad y deben protegerse.
• Los certificados y CRL descargados se conservan para análisis y deben tratarse como información sensible.
• Según esta política, la aplicación no transmite datos sensibles a servicios externos.

Seguridad de red

Protocolos utilizados: WMI mediante DCOM/RPC por el puerto 135; PowerShell Remoting mediante WinRM por 5985/5986; LDAP por 389/636; y HTTP/HTTPS para comprobar URL AIA/CDP.

• Implemente segmentación de red para servidores CA.
• Use canales cifrados cuando estén disponibles (LDAPS, WinRM HTTPS).
• Configure reglas de firewall para los puertos necesarios.
• Supervise el tráfico de red en busca de actividad sospechosa.

Seguridad de la aplicación

• Se validan los parámetros CA antes de ejecutarlos y se analizan los datos de certificados con gestión de errores.
• Las configuraciones de plantillas se someten a controles de seguridad; las consultas al registro se validan y saneamiento.
• Los errores se registran sin exponer información sensible. Las trazas de depuración no se muestran a los usuarios.
• Analice periódicamente dependencias de terceros, aplique parches .NET y supervise avisos de System.DirectoryServices y System.Management.
• Aplique prácticas de codificación segura a scripts PowerShell personalizados.

Gestión de vulnerabilidades

Clasificación de gravedad

• Critical: ejecución remota de código, escalada de privilegios o exposición de datos.
• High: divulgación de información, denegación de servicio o elusión de autenticación.
• Medium: problemas de configuración de seguridad o controles de acceso inadecuados.
• Low: divulgaciones informativas u observaciones menores.

La evaluación considera el impacto en la infraestructura PKI, la posible exposición de credenciales o certificados, la integridad de auditorías y evidencias, y las implicaciones de cumplimiento.

Corrección y publicación

Los parches se desarrollan en ramas aisladas, se prueban en distintos entornos PKI, se evalúa su compatibilidad con resultados existentes y se revisan antes de publicarse. Las actualizaciones se distribuyen como versiones de parche (por ejemplo, 1.0.1); las notas describen las vulnerabilidades y se notifica a usuarios por varios canales. Para problemas críticos puede haber publicaciones aceleradas.

Divulgación coordinada

• La divulgación se realiza después de que haya un parche.
• Se reconoce a investigadores que sigan la divulgación responsable.
• La información pública debe permitir evaluar el riesgo.
• No se divulgan vulnerabilidades zero-day sin mitigación disponible.

Canales: GitHub Security Advisories, avisos por correo a usuarios registrados, anuncios web y redes sociales.

Buenas prácticas para usuarios

• Instale la herramienta en servidores de auditoría dedicados y use cuentas con privilegios mínimos.
• Proteja el directorio de resultados y los archivos `parameters.json`.
• Use cuentas de servicio de dominio específicas para acceder a CA.
• Implemente registros, supervisión y revisión periódica de configuraciones.
• Limite el acceso de red a puertos y protocolos necesarios; separe funciones y revise cuentas.
• Ejecute auditorías durante ventanas de mantenimiento cuando sea posible; proteja evidencias y elimine de forma segura archivos temporales.

Cumplimiento y respuesta a incidentes

PKI Trust Auditor ayuda a evaluar controles relacionados con NIST SP 800-53, PCI DSS, ISO 27001 y CIS Benchmarks. Puede generar registros detallados con marcas de tiempo, evidencias por control, estados de cumplimiento y seguimiento de correcciones. La conformidad depende de la implementación y los controles generales de la organización.

Mantenga procedimientos para notificar incidentes, analizar evidencias, comunicar eventos de seguridad y realizar revisiones posteriores.

Actualizaciones, versiones y fin de vida

• Supervise avisos de seguridad y escanee dependencias con regularidad.
• Las actualizaciones de seguridad se publican según sea necesario; las versiones de mantenimiento pueden incluir mejoras de seguridad.
• La política indica soporte para la versión principal actual y la anterior, con parches de seguridad solo para versiones compatibles.
• Se prevén 6 meses de aviso antes del fin de vida y 12 meses de soporte de seguridad tras el lanzamiento. Se indica soporte extendido para clientes Enterprise y rutas de migración.

Contacto y aspectos legales

Responsable de seguridad: [email protected]
Soporte técnico: [email protected]
Contacto de emergencia para incidentes críticos: disponible según la política.

Esta política puede cambiar sin previo aviso. Los usuarios son responsables de implementar medidas de seguridad adecuadas. El equipo de desarrollo proporciona soporte de seguridad según sus mejores esfuerzos.