Compartir a través de

Planeación de la seguridad para un entorno de acceso anónimo externo (Windows SharePoint Services)

  • Artículo

En este artículo:

  • Protección de los servidores back-end

  • Configuración del acceso anónimo

  • Protección del sitio de Administración central

  • Deshabilitación del correo electrónico entrante

  • Lista de comprobación del diseño de la seguridad

  • Planeación del endurecimiento de la seguridad para las funciones de servidor

  • Planeación de configuraciones seguras para las características de Windows SharePoint Services

La orientación de seguridad para un entorno de acceso anónimo externo está destinada a permitir el acceso anónimo al contenido y, al mismo tiempo, proteger a los servidores back-end de la granja de servidores ante el acceso directo por parte de usuarios o acciones maliciosas realizadas mediante servidores cliente web. En los entornos en los que se implementan varias granjas de servidores para proporcionar compatibilidad con características de creación, almacenamiento provisional y publicación, la orientación está destinada para la granja de servidores publicada (la granja de servidores a la que los usuarios tienen acceso de manera anónima).

Existen varias recomendaciones específicas para un entorno de acceso anónimo externo. Es posible que algunas de estas recomendaciones no sean prácticas para todas las soluciones.

Protección de los servidores back-end

Hospedar sitios para su uso anónimo requiere servidores expuestos a Internet. Puede limitar la exposición al tráfico de Internet mediante la protección de servidores back-end, incluidos los servidores de aplicaciones (búsqueda) y los servidores que hospedan bases de datos:

  • Protección de servidores de base de datos   Como mínimo, coloque un firewall entre los servidores cliente web y los servidores que hospedan bases de datos. Algunos entornos dictan que los servidores de base de datos se deben hospedar en una red interna en lugar de directamente en un entorno de extranet.

  • Protección de la función Índice   El componente de índice se comunica a través de un servidor cliente web para rastrear el contenido de los sitios. Para proteger este canal de comunicaciones, considere la opción de configurar un servidor cliente web dedicado para que lo usen uno o más servidores de índices. Esto aísla la comunicación de rastreo a un servidor cliente web que no es accesible para los usuarios. Además, configure Internet Information Services (IIS) para que restrinja SiteData.asmx (el servicio SOAP del rastreador) para permitir que sólo el servidor de índices (u otros rastreadores) puedan tener acceso a él. Si se proporciona un servidor cliente web dedicado al rastreo de contenido también se mejora el rendimiento al reducir la carga en los servidores cliente web principales, con lo que se mejora la experiencia del usuario.

Configuración del acceso anónimo

Para que el contenido esté disponible para el acceso anónimo, se deben configurar:

  • El sitio o la colección de sitios deben estar configurados para permitir el acceso anónimo.

  • Al menos una zona de la aplicación web debe estar configurada para permitir el acceso anónimo.

Habilite el acceso anónimo sólo para las aplicaciones web que requieran acceso sin autenticación. Si desea usar la autenticación para fines de personalización, implemente la autenticación de formularios mediante un simple proveedor de autenticación de bases de datos.

Protección del sitio de Administración central

Como los usuarios externos tienen acceso a la zona de red, es importante proteger el sitio de Administración central a fin de bloquear el acceso externo y proteger el acceso interno:

  • Asegúrese de que el sitio de Administración central no esté hospedado en un servidor cliente web.

  • Bloquee el acceso externo al sitio de Administración central. Esto se puede conseguir colocando un firewall entre los servidores cliente web y el servidor que hospeda el sitio de Administración central.

  • Configure el sitio de Administración central mediante Capa de sockets seguros (SSL). De esta manera, se garantiza que la comunicación entre la red interna y el sitio de Administración central sea segura.

Deshabilitación del correo electrónico entrante

No use la integración de correo electrónico para el correo electrónico entrante. De esta manera, protegerá su entorno contra los riesgos asociados con el correo electrónico enviado desde orígenes anónimos en Internet. Si decide autorizar el correo electrónico entrante, configure el sitio de Administración central para que habilite el correo electrónico anónimo. Si bien es una opción posible, no es muy segura.

Lista de comprobación del diseño de la seguridad

Use esta lista de comprobación del diseño junto con las listas de comprobación en Revisión de las listas de comprobación de diseño de topología segura (Windows SharePoint Services).

Topología

[ ]

Proteja los servidores back-end colocando como mínimo un firewall entre los servidores cliente web y los servidores de aplicaciones y de base de datos.

[ ]

Planee un servidor cliente web dedicado para rastrear contenido. No incluya este servidor cliente web en la rotación de clientes web de usuario final.

Arquitectura lógica

[ ]

Habilite el acceso anónimo únicamente para las zonas de aplicaciones web que hospeden sitios o colecciones de sitios configurados para permitir el acceso anónimo.

Para obtener más información, vea Planeación de métodos de autenticación (Windows SharePoint Services).

[ ]

Use SSL para proteger la implementación de contenido.

[ ]

Bloquee el acceso al sitio de Administración central y configure SSL para el sitio.

Planeación del endurecimiento de la seguridad para las funciones de servidor

En la tabla siguiente, se describen recomendaciones adicionales de endurecimiento de la seguridad para entornos externos de acceso anónimo.

Componente Recomendación

Puertos

Bloquee el acceso externo al puerto para el sitio de Administración central.

Protocolos

Deshabilitar SMTP.

IIS

Si está configurando un servidor cliente web dedicado para indización, configure IIS para que restrinja SiteData.asmx (el servicio SOAP del rastreador) de manera que permita únicamente al servidor de índices (o a otros rastreadores) tener acceso a él.

Planeación de configuraciones seguras para las características de Windows SharePoint Services

No se recomiendan instrucciones adicionales para este entorno.

Descarga de este libro

Este tema se incluye en el siguiente libro descargable para facilitar la lectura y la impresión:

Vea la lista completa de libros disponibles en la página de libros descargables para Windows SharePoint Services.