Cumplimiento de STIG de AlloyDB Omni

Selecciona una versión de la documentación:

La matriz de cumplimiento de la Guía de implementación técnica de seguridad (STIG) para AlloyDB Omni describe los detalles de implementación de los controles relevantes para la seguridad a nivel del sistema y de la base de datos. Para obtener más información, consulta la lista de verificación de cumplimiento de la guía de implementación técnica de seguridad (STIG) de PostgreSQL 9.x en Red Hat Enterprise Linux.

Todos los controles que administra Google se implementan y verifican por completo de forma continua. Para mantener el cumplimiento, el cliente debe configurar y administrar los controles que requieren acción del cliente. Para obtener más información, consulta Responsabilidad compartida de STIG.

Matriz de cumplimiento de STIG

En la siguiente tabla, se proporcionan los IDs de STIG, las descripciones, los estados de aplicación de medidas por incumplimiento por operador, los requisitos de responsabilidad del cliente y la gravedad:

ID de STIG Descripción del control de seguridad Se aplica de forma predeterminada Responsabilidad del cliente Gravedad
V-214151 El acceso a los archivos de la base de datos debe limitarse a los procesos pertinentes y a los usuarios administrativos autorizados. Sí No Media
V-214127 Se debe inhabilitar o restringir el acceso a los ejecutables externos. Sí No Media
V-214154 Se deben generar registros de auditoría cuando se borra información categorizada, por ejemplo, niveles de clasificación y niveles de seguridad. Sí No Media
V-214150 El contenido de la base de datos debe protegerse de la transferencia de información no autorizada y no deseada mediante la aplicación de una política de transferencia de datos. No No Media
V-214074 Los objetos de la base de datos, incluidos, entre otros, las tablas, los índices, el almacenamiento, los procedimientos de activadores, las funciones y los vínculos al software externo a PostgreSQL, deben ser propiedad de las principales de la base de datos y del DBMS autorizadas para la propiedad. Sí No Media
V-214076 El software de la base de datos, incluidos los archivos de configuración de PostgreSQL, debe almacenarse en directorios exclusivos separados del SO host y otras aplicaciones. No No Media
V-214078 La ejecución de módulos de software (incluidas las funciones y los procedimientos de activación) con privilegios elevados debe restringirse solo a los casos necesarios. No No Media
V-214130 Si se usan contraseñas para la autenticación, PostgreSQL solo debe almacenar representaciones de contraseñas con hash y sal. Sí No Alta
V-214056 Si se usan contraseñas para la autenticación, PostgreSQL solo debe transmitir representaciones encriptadas de las contraseñas. Sí No Alta
V-214064 PostgreSQL y las aplicaciones asociadas deben reservar el uso de la ejecución de código dinámico para las situaciones que lo requieran. No No Media
V-214065 PostgreSQL y las aplicaciones asociadas, cuando utilizan la ejecución de código dinámico, deben analizar los datos de entrada en busca de valores no válidos que puedan indicar un ataque de inyección de código. No No Media
V-214066 PostgreSQL debe asignar capacidad de almacenamiento de registros de auditoría de acuerdo con los requisitos de almacenamiento de registros de auditoría definidos por la organización. No Sí Media
V-214071 PostgreSQL debe permitir que solo el administrador de seguridad del sistema de información (ISSM) o las personas o los roles designados por el ISSM seleccionen qué eventos auditables se deben auditar. No Sí Media
V-214129 PostgreSQL debe asociar los tipos de etiquetas de seguridad definidos por la organización que tengan valores de etiquetas de seguridad definidos por la organización con la información en proceso. No Sí Media
V-214062 PostgreSQL debe asociar los tipos de etiquetas de seguridad definidos por la organización que tienen valores de etiquetas de seguridad definidos por la organización con la información almacenada. No Sí Media
V-214058 PostgreSQL debe asociar los tipos de etiquetas de seguridad definidos por la organización que tengan valores de etiquetas de seguridad definidos por la organización con la información en transmisión. No Sí Media
V-214147 PostgreSQL debe finalizar automáticamente una sesión de usuario después de que se cumplan las condiciones definidas por la organización o se activen eventos que requieran la desconexión de la sesión. Sí No Media
V-214096 PostgreSQL debe poder generar registros de auditoría cuando se recuperan privilegios y permisos. Sí No Media
V-214101 PostgreSQL debe poder generar registros de auditoría cuando se accede a los objetos de seguridad. Sí No Media
V-214048 PostgreSQL debe configurarse para prohibir o restringir el uso de funciones, puertos, protocolos y servicios definidos por la organización, como se define en la lista de garantía de categoría (CAL) de administración de puertos, protocolos y servicios (PPSM) y en las evaluaciones de vulnerabilidades. Sí No Media
V-214063 PostgreSQL debe verificar la validez de todas las entradas de datos, excepto las que la organización identifique específicamente. No No Media
V-214131 PostgreSQL debe aplicar las restricciones de acceso asociadas con los cambios en la configuración de PostgreSQL o la base de datos. Sí No Media
V-214057 PostgreSQL debe aplicar autorizaciones aprobadas para el acceso lógico a la información y los recursos del sistema de conformidad con las políticas de control de acceso aplicables. No No Alta
V-214136 PostgreSQL debe aplicar el acceso autorizado a todas las claves privadas de la PKI que PostgreSQL almacena y usa. Sí No Alta
V-214067 PostgreSQL debe aplicar políticas de control de acceso discrecional, según lo defina el propietario de los datos, sobre los sujetos y objetos definidos. Sí No Media
V-214156 PostgreSQL debe generar registros de auditoría para todo acceso directo a la base de datos. Sí No Media
V-214099 PostgreSQL debe generar registros de auditoría para todas las actividades con privilegios o cualquier otro acceso a nivel del sistema. Sí No Media
V-214088 PostgreSQL debe generar registros de auditoría que muestren la hora de inicio y finalización del acceso del usuario a la base de datos. Sí No Media
V-214085 PostgreSQL debe generar registros de auditoría cuando se accede a información categorizada, por ejemplo, niveles de clasificación y niveles de seguridad. Sí No Media
V-214108 PostgreSQL debe generar registros de auditoría cuando se modifica la información categorizada, por ejemplo, los niveles de clasificación y los niveles de seguridad. No Sí Media
V-214103 PostgreSQL debe generar registros de auditoría cuando se producen accesos y conexiones simultáneos del mismo usuario desde diferentes estaciones de trabajo. Sí No Media
V-214090 PostgreSQL debe generar registros de auditoría cuando se agregan privilegios y permisos. Sí No Media
V-214102 PostgreSQL debe generar registros de auditoría cuando se borran privilegios y permisos. Sí No Media
V-214105 PostgreSQL debe generar registros de auditoría cuando se modifican los privilegios y los permisos. Sí No Media
V-214093 PostgreSQL debe generar registros de auditoría cuando se borran objetos de seguridad. Sí No Media
V-214107 PostgreSQL debe generar registros de auditoría cuando se modifican los objetos de seguridad. Sí No Media
V-214155 PostgreSQL debe generar registros de auditoría cuando se produzcan accesos exitosos a objetos. Sí No Media
V-214092 PostgreSQL debe generar registros de auditoría cuando se produzcan accesos o conexiones exitosos. Sí No Media
V-214098 PostgreSQL debe generar registros de auditoría cuando se produzcan accesos fallidos a los objetos. Sí No Media
V-214100 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos fallidos de acceder a información categorizada, por ejemplo, niveles de clasificación y niveles de seguridad. Sí No Media
V-214086 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos fallidos de acceso a objetos de seguridad. Sí No Media
V-214110 PostgreSQL debe generar registros de auditoría cuando se producen intentos fallidos de agregar privilegios y permisos. Sí No Media
V-214091 PostgreSQL debe generar registros de auditoría cuando se producen intentos fallidos de borrar información categorizada, por ejemplo, niveles de clasificación o niveles de seguridad. Sí No Media
V-214095 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos fallidos de borrar privilegios y permisos. Sí No Media
V-214104 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos fallidos de borrar objetos de seguridad. Sí No Media
V-214106 PostgreSQL debe generar registros de auditoría cuando se producen intentos fallidos de ejecutar actividades con privilegios o cualquier otro acceso a nivel del sistema. Sí No Media
V-214097 PostgreSQL debe generar registros de auditoría cuando se producen intentos fallidos de modificar información categorizada, por ejemplo, niveles de clasificación o niveles de seguridad. Sí No Media
V-214109 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos fallidos de modificar privilegios y permisos. Sí No Media
V-214089 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos fallidos de modificar objetos de seguridad. Sí No Media
V-214094 PostgreSQL debe generar registros de auditoría cuando se producen intentos fallidos de recuperar privilegios y permisos. Sí No Media
V-214087 PostgreSQL debe generar registros de auditoría cuando se produzcan intentos de acceso o conexión fallidos. Sí No Media
V-214115 PostgreSQL debe generar marcas de tiempo para los registros de auditoría y los datos de la aplicación con un nivel de detalle mínimo de un segundo. Sí No Media
V-214139 PostgreSQL debe implementar mecanismos criptográficos que impidan la divulgación no autorizada de la información definida por la organización en reposo en los componentes del sistema de información definidos por la organización. Sí No Media
V-214124 PostgreSQL debe implementar mecanismos criptográficos para evitar la modificación no autorizada de la información definida por la organización en reposo, lo que incluye, como mínimo, la PII y la información clasificada, en los componentes del sistema de información definidos por la organización. Sí No Media
V-214117 PostgreSQL debe implementar módulos criptográficos validados por NIST FIPS 140-2 o 140-3 para generar y validar hashes criptográficos. No No Alta
V-214119 PostgreSQL debe implementar módulos criptográficos validados por NIST FIPS 140-2 o 140-3 para proteger la información no clasificada que requiere confidencialidad y protección criptográfica, de acuerdo con los requisitos de los propietarios de los datos. No No Alta
V-214077 PostgreSQL debe incluir información adicional y más detallada, definida por la organización, en los registros de auditoría para los eventos de auditoría identificados por tipo, ubicación o asunto. No Sí Media
V-214123 PostgreSQL debe iniciar la auditoría de sesiones al inicio. Sí No Media
V-214052 PostgreSQL debe integrarse con un mecanismo de autenticación y acceso a nivel de la organización que proporcione administración de la cuenta y automatización para todos los usuarios, grupos, roles y cualquier otra entidad principal. No No Alta
V-214140 PostgreSQL debe invalidar los identificadores de sesión cuando el usuario salga de la cuenta o cuando finalice la sesión de otra manera. Sí No Media
V-214081 PostgreSQL debe aislar las funciones de seguridad de las que no son de seguridad. Sí No Media
V-214055 PostgreSQL debe limitar los privilegios para cambiar funciones y activadores, y vínculos a software externo a PostgreSQL. Sí No Media
V-214059 PostgreSQL debe limitar la cantidad de sesiones simultáneas a un número definido por la organización por usuario para todas las cuentas y los tipos de cuentas. No No Media
V-214145 PostgreSQL debe mantener la autenticidad de las sesiones de comunicación protegiéndose contra los ataques en ruta que adivinan los valores de ID de sesión. Sí No Media
V-214113 PostgreSQL debe mantener la confidencialidad y la integridad de la información durante la preparación para la transmisión. Sí No Media
V-214073 PostgreSQL debe mantener la confidencialidad y la integridad de la información durante la recepción. Sí No Media
V-214149 PostgreSQL debe asignar la identidad autenticada por PKI a una cuenta de usuario asociada. No No Media
V-214144 PostgreSQL debe descargar los datos de auditoría en una instalación de administración de registros independiente. Esto debe ser continuo y casi en tiempo real para los sistemas con una conexión de red a la instalación de almacenamiento. La descarga debe realizarse semanalmente o con mayor frecuencia en los sistemas independientes. No Sí Media
V-214137 PostgreSQL solo debe aceptar certificados de entidad final emitidos por PKI o autoridades de certificación (AC) de PKI aprobadas para el establecimiento de todas las sesiones encriptadas. No No Media
V-214148 PostgreSQL debe impedir que los usuarios sin privilegios ejecuten funciones con privilegios, lo que incluye inhabilitar, eludir o alterar las protecciones y contramedidas de seguridad implementadas. Sí No Alta
V-214116 PostgreSQL debe producir registros de auditoría que contengan información suficiente para establecer la identidad de cualquier usuario, sujeto o proceso asociado con el evento. Sí No Media
V-214049 PostgreSQL debe producir registros de auditoría que contengan información suficiente para establecer el resultado (éxito o falla) de los eventos. Sí No Media
V-214125 PostgreSQL debe producir registros de auditoría que contengan información suficiente para establecer las fuentes o los orígenes de los eventos. Sí No Media
V-214138 PostgreSQL debe producir registros de auditoría que contengan suficiente información para establecer qué tipo de eventos ocurrieron. Sí No Media
V-214112 PostgreSQL debe producir registros de auditoría que contengan información suficiente para establecer dónde ocurrieron los eventos. Sí No Media
V-214142 PostgreSQL debe producir registros de auditoría que contengan marcas de tiempo para establecer cuándo ocurrieron los eventos. Sí No Media
V-214082 PostgreSQL debe producir registros de auditoría de su aplicación de las restricciones de acceso asociadas con los cambios en la configuración de PostgreSQL o las bases de datos. Sí No Media
V-214121 PostgreSQL debe prohibir la instalación por parte del usuario de módulos lógicos, por ejemplo, funciones, procedimientos de activadores y vistas, sin un estado de privilegio explícito. Sí No Media
V-214132 PostgreSQL debe proteger contra el repudio falso de un usuario de haber realizado acciones definidas por la organización. Sí No Media
V-214152 PostgreSQL debe proteger su configuración de auditoría de modificaciones no autorizadas. Sí No Media
V-214141 PostgreSQL debe proteger sus funciones de auditoría del acceso no autorizado. Sí No Media
V-214143 PostgreSQL debe proteger sus funciones de auditoría contra la eliminación no autorizada. Sí No Media
V-214120 PostgreSQL debe proteger la confidencialidad y la integridad de toda la información en reposo. Sí No Alta
V-214072 PostgreSQL debe proporcionar una alerta inmediata en tiempo real al personal de asistencia adecuado sobre todas las fallas de los registros de auditoría. No Sí Media
V-214114 PostgreSQL debe proporcionar la capacidad de generar registros de auditoría para los eventos auditables definidos por la organización en todos los componentes de DBMS y de la base de datos. No No Media
V-214053 PostgreSQL debe proporcionar a los usuarios sin privilegios mensajes de error que brinden la información necesaria para tomar medidas correctivas sin revelar información que puedan aprovechar los adversarios. Sí No Media
V-214069 PostgreSQL debe registrar marcas de tiempo, en los registros de auditoría y los datos de la aplicación, que se puedan asignar al tiempo universal coordinado (UTC, antes GMT). Sí No Media
V-214135 PostgreSQL debe exigir que los usuarios se vuelvan a autenticar cuando las circunstancias o situaciones definidas por la organización requieran una nueva autenticación. Sí No Media
V-214070 PostgreSQL debe revelar mensajes de error detallados solo al ISSO, al ISSM, al SA y al DBA. Sí No Media
V-214122 PostgreSQL debe separar la funcionalidad del usuario (incluidos los servicios de la interfaz de usuario) de la funcionalidad de administración de bases de datos. Sí No Media
V-214061 PostgreSQL debe identificar y autenticar de forma inequívoca a los usuarios o procesos que no pertenecen a la organización y que actúan en nombre de usuarios que no pertenecen a la organización. Sí No Media
V-214146 PostgreSQL debe identificar y autenticar de forma única a los usuarios o procesos organizacionales que actúan en nombre de los usuarios organizacionales. Sí No Media
V-214153 PostgreSQL debe usar módulos criptográficos validados por NIST FIPS 140-2 o 140-3 para las operaciones criptográficas. No No Alta
V-220321 PostgreSQL debe usar criptografía aprobada por la NSA para proteger la información clasificada de acuerdo con los requisitos de los propietarios de los datos. No No Media
V-214080 PostgreSQL debe usar la administración centralizada del contenido capturado en los registros de auditoría que generan todos los componentes de PostgreSQL. No No Media
V-214111 PostgreSQL, cuando usa la autenticación basada en PKI, debe validar los certificados realizando una validación de la ruta de certificación que cumpla con la RFC 5280. No No Media
V-214054 Los privilegios para cambiar los módulos de software de PostgreSQL deben ser limitados. Sí No Media
V-214050 Las actualizaciones de software relevantes para la seguridad de PostgreSQL se deben instalar en el período indicado por una fuente autorizada, por ejemplo, IAVM, CTO, DTM y STIG. Sí No Alta
V-214068 La información de auditoría que produce PostgreSQL debe protegerse contra la eliminación no autorizada. Sí No Media
V-214051 La información de auditoría que produce PostgreSQL debe protegerse contra modificaciones no autorizadas. Sí No Media
V-214083 La información de auditoría que produce PostgreSQL debe protegerse del acceso de lectura no autorizado. Sí No Media
V-214157 El DBMS se debe configurar en una plataforma que tenga una instalación de OpenSSL con certificación FIPS 140-2 o 140-3 del NIST. No No Alta
V-214075 La cuenta de instalación del software de PostgreSQL debe restringirse a los usuarios autorizados. No No Alta
V-214060 Los roles y grupos que se usan para modificar la estructura de la base de datos, incluidos, entre otros, las tablas, los índices y el almacenamiento, y los módulos lógicos, por ejemplo, las funciones, los procedimientos de activación y los vínculos a software externo a PostgreSQL, deben restringirse a los usuarios autorizados. Sí No Media
V-214133 El sistema debe proporcionar una advertencia al personal de asistencia adecuado cuando el volumen de almacenamiento de registros de auditoría asignado alcance el 75% de la capacidad máxima de almacenamiento de registros de auditoría. No Sí Media
V-214128 Se deben inhabilitar los componentes de la base de datos que no se usen, que estén integrados en PostgreSQL y que no se puedan desinstalar. No No Media
V-214126 Se deben quitar los componentes de la base de datos, el software de PostgreSQL y los objetos de la base de datos que no se usen. Sí No Media
V-214079 Cuando se reciben entradas no válidas, PostgreSQL debe comportarse de una manera predecible y documentada que refleje los objetivos organizacionales y del sistema. Sí No Media
V-214084 Cuando se aplican actualizaciones al software de PostgreSQL, se deben quitar todos los componentes de software que se hayan reemplazado o que ya no sean necesarios. No No Media

¿Qué sigue?