Preguntas frecuentes sobre seguridad

Esta sección abarca las preguntas y respuestas relacionadas con la seguridad de Unified Access Gateway.

¿Puedo instalar agentes de terceros o software antivirus en Unified Access Gateway?

No. El software antivirus o los agentes de terceros no son necesarios en un dispositivo Unified Access Gateway y el uso de dicho software no es compatible y se aplica a todos los dispositivos virtuales de la marca Omnissa. Para obtener más información, consulte https://kb.omnissa.com/s/article/2090839.

¿Unified Access Gateway se ve afectado por la incidencia CVE-XXX-XXXX?

Unified Access Gateway se sirve de unas opciones de análisis de código, análisis de composición de software y herramientas de análisis de vulnerabilidades líderes del sector, y supervisa los canales de información del sector en busca de posibles vulnerabilidades recién identificadas. Si se detectan vulnerabilidades, se abordarán según la directiva de respuesta de seguridad de Omnissa.

Si es necesario, se pueden enviar notificaciones a los clientes de acuerdo con las prácticas de divulgación responsable a través de un aviso de seguridad. Los últimos avisos publicados están disponibles en https://www.omnissa.com/omnissa-security-response/. Se recomienda aplicar actualizaciones de productos de forma periódica para aprovechar las mejoras más recientes de seguridad, fiabilidad y funciones.

Es posible que después de que Omnissa publique dispositivos virtuales como Unified Access Gateway, las actualizaciones de seguridad de AlmaLinux estén disponibles entre las fechas de publicación. La gravedad de estas actualizaciones de seguridad es genérica y básicamente no afecta a la seguridad de Unified Access Gateway en sí. Esto puede deberse a que Unified Access Gateway no utiliza el componente afectado o a que la vulnerabilidad está en una función del componente que Unified Access Gateway no admite. La realización de actualizaciones dinámicas no autorizadas de estos componentes de AlmaLinux puede desestabilizar el dispositivo y puede introducir una nueva vulnerabilidad que no se puede detectar en las pruebas antes de la publicación.

Todos los dispositivos de Omnissa se prueban minuciosamente y se califican en función de los componentes y las versiones que se incluyen en la versión original. Por lo tanto, la actualización o el cambio de cualquier componente en un dispositivo virtual puede provocar un comportamiento inesperado del sistema y, por lo tanto, no se admiten actualizaciones no autorizadas.

De forma coherente con otros dispositivos virtuales de la marca Omnissa, Omnissa no admite ninguna modificación o personalización en el sistema operativo subyacente ni en los paquetes incluidos en un dispositivo virtual de Omnissa. Esto incluye agregar, actualizar o eliminar paquetes, y utilizar scripts personalizados dentro del sistema operativo del dispositivo. Para obtener más información sobre la directiva de Omnissa para dispositivos virtuales, consulte https://kb.omnissa.com/s/article/2090839.

Si Omnissa, un cliente o cualquier otra persona identifica una vulnerabilidad de seguridad, existe una directiva definida para notificarlo y para la respuesta de Omnissa en función de la gravedad que se aplique al producto en particular. Para obtener más información, consulte la Directiva de respuesta de seguridad de Omnissa.

Una vulnerabilidad de seguridad crítica en un componente de AlmaLinux que no utiliza Unified Access Gateway o no se aplica a ninguna funcionalidad de Unified Access Gateway no tiene importancia para la seguridad y, por lo tanto, no es fundamental en el contexto de Unified Access Gateway.

Si se determina que una vulnerabilidad de seguridad crítica afecta a Unified Access Gateway, es posible que Omnissa publique una versión con revisiones del dispositivo, además de proporcionar la actualización en la próxima versión trimestral. Esto puede ser para un problema crítico que se aplica a Unified Access Gateway para el que no hay ninguna solución alternativa. Omnissa publica avisos de seguridad de vez en cuando para comunicar estas vulnerabilidades.

¿Con qué frecuencia publica Omnissa nuevas versiones de Unified Access Gateway?

Si desea obtener más información, consulte Actualizaciones de producto.

¿Cuándo se aplican actualizaciones de paquetes de AlmaLinux a Unified Access Gateway?

Cada versión planificada de Unified Access Gateway contiene versiones actualizadas de AlmaLinux y Java determinadas en el momento en que se crea el dispositivo virtual. Por lo general, esto es alrededor de dos semanas antes de la fecha de disponibilidad general (GA), para brindar una oportunidad para que el equipo de varias funciones final y la cualificación de seguridad garanticen que las combinaciones de la versión del paquete funcionen correctamente juntas. Los paquetes de AlmaLinux se actualizan incluso si la actualización pretende solucionar una vulnerabilidad que no se aplica a Unified Access Gateway.

¿Existe un mecanismo con Unified Access Gateway para descargar y aplicar automáticamente actualizaciones de vulnerabilidades de AlmaLinux críticas?

Esta función estaba disponible en las versiones anteriores a la 2412 (que utilizaban Photon OS), pero no está disponible a partir de la versión 2412 debido a la transición a AlmaLinux. Para disponer de las últimas actualizaciones de seguridad, se recomienda a los administradores que actualicen a la última versión de Unified Access Gateway.

Si un analizador informa de un paquete de AlmaLinux desactualizado, ¿significa que Unified Access Gateway es vulnerable?

Es posible que algún informe de exploración indique una vulnerabilidad, pero la mayoría de las veces un informe sobre una versión más reciente del paquete que está disponible no se aplica a Unified Access Gateway. Esto puede deberse a que la acción correctiva para mitigar la vulnerabilidad ya se aplicó o a que la vulnerabilidad se encuentra en un componente que Unified Access Gateway no ha utilizado ni activado. Los analizadores de vulnerabilidades pueden ser propensos a falsos positivos incluso si están configurados correctamente y se mantienen actualizados. Para obtener más información sobre los escáneres recomendados, consulte el artículo de la base de conocimientos Análisis de seguridad de Linux en Unified Access Gateway (UAG) versión 2412 y posteriores (6000738).

Si existe un informe de análisis de vulnerabilidades con "falsos positivos", ¿aplicar la actualización del paquete para ese paquete hará que Unified Access Gateway sea más seguro?

Si se aplica la actualización del paquete en estos casos, no habrá diferencia, ya que Unified Access Gateway no es vulnerable con "falsos positivos". Omnissa no admite la aplicación de actualizaciones de paquetes a dispositivos virtuales de la marca Omnissa. La actualización o el cambio de cualquier componente puede provocar un comportamiento inesperado del sistema.

¿Por qué Omnissa no admite la modificación o la actualización del cliente de paquetes AlmaLinux en dispositivos virtuales con marca de Omnissa?

• Podría provocar un comportamiento inesperado del sistema debido a incompatibilidades con otro software en el dispositivo y problemas de compatibilidad con versiones anteriores de la configuración.
• La actualización de un paquete podría introducir una nueva vulnerabilidad de seguridad que no se detectaría durante las pruebas de seguridad antes de la versión original del dispositivo.
• Para los "falsos positivos", la aplicación de una actualización de la versión del paquete no supondrá ninguna mejora de seguridad.

Las pruebas realizadas por Omnissa se encuentran en el conjunto de componentes que conforman la imagen del dispositivo virtual exactamente como se publicó originalmente.

Si me preocupa un informe de vulnerabilidades del analizador, ¿puedo solicitar información sobre él desde Omnissa?

La mayoría de los analizadores funcionan identificando qué producto y versión se están ejecutando en la red y comparando esa información con una lista de vulnerabilidades conocidas públicamente. Los analizadores de vulnerabilidades pueden ser propensos a falsos positivos incluso si están configurados correctamente y se mantienen actualizados. Un cliente puede generar una solicitud de soporte, y el soporte técnico de Omnissa junto con Omnissa Security Response Center responderá y explicará el motivo por el cual la actualización no se aplica al dispositivo en particular. Consulte Respuesta de seguridad de Omnissa.

¿Omnissa realiza análisis periódicamente en los dispositivos Unified Access Gateway de forma interna?

Sí. El ciclo de vida de desarrollo de seguridad de Omnissa incluye análisis regulares y automáticos de dispositivos para que Omnissa pueda realizar un análisis temprano.

Si se identifica un paquete de AlmaLinux crítico o una vulnerabilidad de seguridad de software de Unified Access Gateway que afecta a Unified Access Gateway, ¿cómo puedo identificarlo?

Esta función está planificada para una próxima versión. Las preguntas frecuentes se actualizarán cuando la función esté disponible.

¿Cuál es la respuesta de Omnissa si se identifica una vulnerabilidad crítica de Unified Access Gateway? ¿Debo esperar a la próxima versión planificada?

Omnissa publica la directiva de respuesta de seguridad que define los tiempos de respuesta de las vulnerabilidades de seguridad identificadas. El tiempo de respuesta se basa en la gravedad porque se aplica a un producto en particular. Por ejemplo, una vulnerabilidad de seguridad crítica detectada en Unified Access Gateway requiere que Omnissa empiece a trabajar en una corrección o una acción correctiva inmediatamente. Omnissa proporcionará la solución o la acción correctiva a los clientes lo antes posible en un tiempo comercialmente razonable. Se proporciona una solución como una versión de imagen de revisión y el cliente debe actualizar a esa versión lo antes posible. No espere a la próxima versión planificada de Unified Access Gateway. En este caso, Omnissa también publica un aviso de seguridad y también puede hacer que la actualización esté disponible como una actualización automática. Consulte la Directiva de respuesta de seguridad de Omnissa.

¿Cuál es el detector recomendado para comprobar si hay vulnerabilidades?

Consulte el artículo de la base de conocimientos Análisis de seguridad de Linux en Unified Access Gateway (UAG) versión 2412 y posteriores (6000738).