Esta sección abarca las preguntas y respuestas relacionadas con la seguridad de VMware Unified Access Gateway.
¿Puedo instalar agentes de terceros o software antivirus en Unified Access Gateway?
No. El software antivirus o los agentes de terceros no son necesarios en un dispositivo de Unified Access Gateway y el uso de dicho software no es compatible y se aplica a todos los dispositivos virtuales con marca de VMware. Para obtener más información, consulte https://kb.vmware.com/s/article/80767 y https://kb.vmware.com/s/article/2090839.
¿Unified Access Gateway se ve afectado por la incidencia CVE-XXX-XXXX?
Unified Access Gateway se sirve de unas opciones de análisis de código, análisis de composición de software y herramientas de análisis de vulnerabilidades líderes del sector, y supervisa los canales de información del sector en busca de posibles vulnerabilidades recién identificadas. Si se detectan vulnerabilidades, se abordarán según la directiva de respuesta de seguridad de VMware.
Si es necesario, se pueden enviar notificaciones a los clientes de acuerdo con las prácticas de divulgación responsable a través de un aviso de seguridad de VMware (VMSA). Puede suscribirse para recibir notificaciones sobre avisos recién publicados en https://www.vmware.com/security/advisories.html. Se recomienda aplicar actualizaciones de productos de forma periódica para aprovechar las mejoras más recientes de seguridad, fiabilidad y funciones.
Para obtener más información sobre las versiones de Unified Access Gateway, consulte Actualizaciones de producto.
Es posible que después de que VMware publique dispositivos virtuales como Unified Access Gateway, las actualizaciones de seguridad de Photon estén disponibles entre las fechas de publicación. La gravedad de estas actualizaciones de seguridad es genérica y básicamente no afecta a la seguridad de Unified Access Gateway en sí. Esto puede deberse a que Unified Access Gateway no utiliza el componente afectado o a que la vulnerabilidad está en una función del componente que Unified Access Gateway no admite. La realización de actualizaciones dinámicas no autorizadas de estos componentes de Photon puede desestabilizar el dispositivo y puede introducir una nueva vulnerabilidad que no se puede detectar en las pruebas antes de la publicación.
Todos los dispositivos de VMware se prueban minuciosamente y se califican en función de los componentes y las versiones que se incluyen en la versión original. Por lo tanto, la actualización o el cambio de cualquier componente en un dispositivo virtual puede provocar un comportamiento inesperado del sistema y, por lo tanto, no se admiten actualizaciones no autorizadas.
De forma coherente con otros dispositivos virtuales con marca de VMware, VMware no admite ninguna modificación o personalización en el sistema operativo subyacente ni en los paquetes incluidos en un dispositivo virtual de VMware. Esto incluye agregar, actualizar o eliminar paquetes, y utilizar scripts personalizados dentro del sistema operativo del dispositivo. Para obtener más información sobre la directiva de VMware para dispositivos virtuales, consulte https://kb.vmware.com/s/article/2090839.
Si VMware, un cliente o cualquier otra persona identifica una vulnerabilidad de seguridad, existe una directiva definida para notificarlo y para la respuesta de VMware en función de la gravedad que se aplique al producto en particular. Para obtener más información, consulte la Directiva de respuesta de seguridad.
Una vulnerabilidad de seguridad crítica en un componente de Photon que no utiliza Unified Access Gateway o no se aplica a ninguna funcionalidad de Unified Access Gateway no tiene importancia para la seguridad y, por lo tanto, no es fundamental en el contexto de Unified Access Gateway.
Si se determina que una vulnerabilidad de seguridad crítica afecta a Unified Access Gateway, es posible que VMware publique una versión con revisiones del dispositivo, además de proporcionar la actualización en la próxima versión trimestral. Esto puede ser para un problema crítico que se aplica a Unified Access Gateway para el que no hay ninguna solución alternativa. VMware publica avisos de seguridad de vez en cuando para comunicar estas vulnerabilidades.
¿Con qué frecuencia VMware publica nuevas versiones de Unified Access Gateway?
Si desea obtener más información, consulte Actualizaciones de producto.
¿Cuándo se aplican actualizaciones de paquetes de Photon a Unified Access Gateway?
Cada versión planificada de Unified Access Gateway contiene versiones actualizadas de Photon y Java determinadas en el momento en que se crea el dispositivo virtual. Por lo general, esto es alrededor de dos semanas antes de la fecha de disponibilidad general (GA), para brindar una oportunidad para que el equipo de varias funciones final y la cualificación de seguridad garanticen que las combinaciones de la versión del paquete funcionen correctamente juntas. Los paquetes de Photon se actualizan incluso si la actualización pretende solucionar una vulnerabilidad que no se aplica a Unified Access Gateway.
¿Existe un mecanismo con Unified Access Gateway para descargar y aplicar automáticamente actualizaciones de vulnerabilidades de Photon críticas?
Sí. Esta función se agregó con la versión 2009. En ocasiones, VMware puede autorizar la actualización de uno o varios paquetes de SO para rectificar una vulnerabilidad crítica que afecte a una versión específica de Unified Access Gateway y para la que no haya ninguna solución alternativa viable disponible. A partir de Unified Access Gateway versión 2009, el administrador dispone de una nueva capacidad para configurar una comprobación automática de las actualizaciones de paquetes autorizadas. Para obtener más información, consulte la sección Configurar la comprobación automática en Actualizaciones de producto.
Si un analizador informa de un paquete de Photon desactualizado, ¿significa que Unified Access Gateway es vulnerable?
En ocasiones, un informe de exploración puede indicar una vulnerabilidad, pero la mayoría de las veces un informe sobre una versión más reciente del paquete que está disponible no se aplica a Unified Access Gateway. Esto puede deberse a que la acción correctiva para mitigar la vulnerabilidad ya se aplicó o a que la vulnerabilidad se encuentra en un componente que Unified Access Gateway no ha utilizado ni activado. Los analizadores de vulnerabilidades pueden ser propensos a falsos positivos incluso si están configurados correctamente y se mantienen actualizados.
Si existe un informe de análisis de vulnerabilidades con "falsos positivos", ¿aplicar la actualización del paquete para ese paquete hará que Unified Access Gateway sea más seguro?
Si se aplica la actualización del paquete en estos casos, no habrá diferencia, ya que Unified Access Gateway no es vulnerable con "falsos positivos". VMware no admite la aplicación de actualizaciones de paquetes a dispositivos virtuales con marca de VMware. La actualización o el cambio de cualquier componente puede provocar un comportamiento inesperado del sistema.
¿Por qué VMware no admite la modificación o la actualización del cliente de paquetes Photon en dispositivos virtuales con marca de VMware?
- Podría provocar un comportamiento inesperado del sistema debido a incompatibilidades con otro software en el dispositivo y problemas de compatibilidad con versiones anteriores de la configuración.
- La actualización de un paquete podría introducir una nueva vulnerabilidad de seguridad que no se detectaría durante las pruebas de seguridad antes de la versión original del dispositivo.
- Para los "falsos positivos", la aplicación de una actualización de la versión del paquete no supondrá ninguna mejora de seguridad.
Las pruebas realizadas por VMware se encuentran en el conjunto de componentes que conforman la imagen del dispositivo virtual exactamente como se publicó originalmente.
Si me preocupa un informe de vulnerabilidades del analizador, ¿puedo solicitar información sobre él desde VMware?
La mayoría de los analizadores funcionan identificando qué producto y versión se están ejecutando en la red y comparando esa información con una lista de vulnerabilidades conocidas públicamente. Los analizadores de vulnerabilidades pueden ser propensos a falsos positivos incluso si están configurados correctamente y se mantienen actualizados. Un cliente puede generar una solicitud de soporte, y el soporte técnico de VMware junto con VMware Security Response Center (vSRC) responderá y explicará el motivo por el cual la actualización no se aplica al dispositivo en particular.
¿VMware realiza análisis periódicamente en los dispositivos de Unified Access Gateway de forma interna?
Sí. El ciclo de vida de desarrollo de seguridad de VMware incluye análisis regulares y automáticos de dispositivos para que VMware pueda realizar un análisis temprano.
¿Con qué frecuencia se actualizan las versiones de paquetes de Photon?
Se publican varias actualizaciones de paquetes y kernel de Photon cada mes. En la mayoría de los casos, no se publican para Unified Access Gateway y se envían por lotes para su publicación en la próxima versión Unified Access Gateway planificada.
Si se identifica un paquete de Photon crítico o una vulnerabilidad de seguridad de software de Unified Access Gateway que afecta a Unified Access Gateway, ¿cómo puedo identificarlo?
Los clientes pueden suscribirse a avisos de seguridad de VMware que se publican para informar a los clientes sobre la acción que deben realizar para proteger los productos frente a vulnerabilidades conocidas que afectan a productos de VMware.
¿Cuál es la respuesta de VMware si se identifica una vulnerabilidad crítica de Unified Access Gateway? ¿Debo esperar a la próxima versión planificada?
VMware publica la directiva de respuesta de seguridad que define los tiempos de respuesta de las vulnerabilidades de seguridad identificadas. El tiempo de respuesta se basa en la gravedad porque se aplica a un producto en particular. Por ejemplo, una vulnerabilidad de seguridad crítica detectada en Unified Access Gateway requiere que VMware empiecen a trabajar en una corrección o una acción correctiva inmediatamente. VMware proporcionará la solución o la acción correctiva a los clientes en el menor tiempo comercialmente razonable. Se proporciona una solución como una versión de imagen de revisión y el cliente debe actualizar a esa versión lo antes posible. No espere a la próxima versión planificada de Unified Access Gateway. En este caso, VMware también publica un aviso de seguridad y también puede hacer que la actualización esté disponible como una actualización automática. Consulte la Directiva de respuesta de seguridad.
