Funciones de seguridad de un vistazo

Para qué sirve

La versión 4.8.7 implementa los hallazgos de dos auditorías de seguridad. La mayoría de los cambios surten efecto sin ninguna acción: comprobaciones más estrictas de a quién pertenece un usuario, un teléfono o una ubicación, conexiones TLS verificadas con CUCM y Unity Connection, cabeceras de seguridad en todas las páginas y un registro de las acciones de escritura.

Algunas funciones, sin embargo, requieren una decisión o un paso manual del administrador. Este capítulo las resume y remite a los capítulos con las instrucciones correspondientes.

Requisitos previos

Una cuenta con el tipo de acceso Administrator (full access) (ROLE_APP_ADMIN) o la cuenta de propietario (ROLE_OWNER). Solo estas cuentas ven el menú Administration.
Para el inicio de sesión en dos factores: la cuenta de propietario y un envío de correo electrónico que funcione.
Para el registro de auditoría: el permiso Open logs and audit log (ROLE_APP_VIEW_LOG_PAGE) o una cuenta de administrador.

Paso a paso: refuerzo básico tras la instalación o la actualización

Cambie la contraseña de la cuenta de propietario mediante el menú de usuario de la cabecera, entrada Change Password. Tras un cambio de contraseña, finalizan todas las demás sesiones de esta cuenta.
Configure el envío de correo electrónico en Administration → System & Operations → System Configuration → SMTP Configuration y envíe un correo de prueba.
Active el inicio de sesión en dos factores en Administration → System & Operations → System Configuration → 2FA.
Cree una cuenta independiente para cada persona en Administration → Access & Appearance → Administrators & Roles. Asigne Administrator (full access) solo donde sea necesario.
Para las tareas recurrentes, cree plantillas de permisos con exactamente los permisos, clústeres y ubicaciones necesarios. Use Read only para las cuentas que no deban modificar nada.
En Administration → Integrations & Communication → API Access, compruebe si cada clave sigue siendo necesaria y elimine las demás.
Para cada webhook, compruebe que Enable SSL verification esté seleccionado.
Abra Logs → EasyUC Logs y familiarícese con el Audit log. Muestra quién cambió qué y cuándo.

Paso a paso: confirmar un nuevo certificado de CUCM

Abra EasyUC Cisco → Dashboard.
En el área CUCM Information, busque la tarjeta del nodo con la indicación Certificate does not match.
Haga clic en Accept new certificate. La ventana Review certificate for <node> muestra lado a lado el Stored certificate y el Current node certificate.
Compare el Certificate fingerprint (SHA-256) con el certificado que el nodo CUCM utiliza realmente. Para ello, lea el valor en el CUCM por un canal independiente.
Marque I have verified the fingerprint of the new certificate.
Haga clic en Accept new certificate. El mensaje Certificate accepted. The status is being refreshed. confirma la operación.

Campos y opciones

Campos y opciones
Campo / acción	Significado y uso
Inicio de sesión en dos factores	Un único interruptor para todas las cuentas de la administración. El código llega por correo electrónico, es válido durante 15 minutos y permite cinco intentos. Consulte el capítulo sobre el inicio de sesión en dos factores.
Protección del inicio de sesión	Tras cinco intentos fallidos para una cuenta en 15 minutos, EasyUC ralentiza los inicios de sesión siguientes. Esto se aplica a la administración, al portal de usuario final y al inicio de sesión con claves de API. No hay nada que configurar.
Sesiones	Un cambio de contraseña finaliza todas las demás sesiones de la cuenta. Los permisos y plantillas modificados también surten efecto para los usuarios que ya han iniciado sesión.
Tipos de acceso y plantillas de permisos	Permisos, modo de solo lectura, clústeres y ubicaciones por cuenta o por plantilla. Una cuenta sin conexión asignada no ve datos del CUCM.
Contraseñas almacenadas	La interfaz ya no muestra las contraseñas de SMTP ni de las fuentes externas. Los campos de contraseña vacíos conservan el valor almacenado solo mientras el destino siga siendo el mismo. Tras un cambio de host o de puerto, introduzca la contraseña de nuevo.
TLS hacia CUCM y Unity Connection	EasyUC recuerda el certificado de un nodo en el primer contacto y lo verifica en cada conexión posterior. Un certificado modificado debe ser confirmado por un administrador.
Verificación SSL para webhooks	Se puede definir por webhook. Valor predeterminado: activada.
Audit log	Registra las acciones de escritura en EasyUC y los cambios realizados directamente en el CUCM. Permisos independientes rigen el acceso a detalles técnicos como las direcciones IP, la exportación y los ajustes de retención.
Acceso por API	El secreto se muestra solo una vez. La documentación de la API solo se puede consultar tras iniciar sesión.
Autoservicio del usuario final	Los usuarios finales solo pueden usar sus propios números en las teclas de línea. La búsqueda en el plan de numeración y la creación de números nuevos a partir del plan de numeración están bloqueadas para los usuarios finales.

Comprobar el resultado y acotar errores

El inicio de sesión en dos factores está activo cuando, tras la contraseña, aparece la página Check 2 Factor Authentication Code.
Indicación Certificate does not match en un nodo CUCM: el certificado del nodo ha cambiado, por ejemplo tras una renovación. Confírmelo como se describe arriba. Hasta entonces, las consultas a este nodo fallan.
Indicación This certificate is already stored. The TLS error has another cause.: compruebe la accesibilidad, la hora y el nombre de host del nodo.
El botón Accept new certificate permanece bloqueado: falta la marca de la comprobación de la huella o su cuenta no es de administrador.
Se rechaza un inicio de sesión a pesar de que la contraseña es correcta: tras varios intentos fallidos se aplica la protección del inicio de sesión. Espere unos minutos.
Un usuario ya no ve ningún clúster tras la actualización: no hay ninguna conexión asignada a la cuenta. Indique los clústeres permitidos en Administrators & Roles.
Al guardar la configuración SMTP o una fuente externa se vuelve a solicitar la contraseña: se modificó el host, el puerto o el cifrado.