A Redmine szerver biztonságának megőrzése
0. Bevezetés
Ebben a cikkben talál néhány tanácsot (beleértve az erős ajánlásokat), hogyan tartsa biztonságban és rugalmasan az (Easy) Redmine készülékét. Néhány tipp nyilvánvalónak tűnhet, de egy jó ellenőrző listának mindent tartalmaznia kell.
1. Használja a https kapcsolatot
- hozzon létre saját aláírású tanúsítványt, vagy vásároljon megbízhatót. Az önaláírt tanúsítvány létrehozására vonatkozó utasítás itt található - https://devcenter.heroku.com/articles/ssl-certificate-self
- állítsa be webszerverét a biztonságos kapcsolat megfelelő tartására. Teljesen korlátozza a 80 vagy 8080 portról érkező kéréseket, vagy állítsa be azok megfelelő irányítását a biztonságos portra. A biztonságos nginx konfigurációra vonatkozó részletes utasítások közvetlenül az Easy Redmine telepítőcsomagban érhetők el a doc/INSTALL alatt.
- az (Easy) Redmine beállításaiban (Administration >> Settings) állítsa be a megfelelő protokolltípust (HTTPS). Ez egy nagyon fontos, de gyakran kihagyott pont. Ne feledje, hogy nem minden Redmine bővítmény használja a megfelelő útvonalakat a rendszerből. Néhányuk csak ezt a speciális beállítást keresi annak meghatározásához, hogy milyen protokollt kell használni. Nem helyes, de előfordul. Ezért jobb biztosra venni, hogy a protokoll mindig https lesz.
- Az SSL -konfiguráció minőségének ellenőrzéséhez használhat olyan eszközöket, mint a https://www.ssllabs.com/ssltest/
- ha vannak olyan képek vagy egyéb adatok, amelyeket más webhelyekről (például logókról, képforrásokról) vesz, győződjön meg arról, hogy azok is https protokollt használnak. Ellenkező esetben elméletileg homályos hibát okozhat a rendszerben. Könnyen ellenőrizheti, hogy minden rendben van -e webhelyével, vagy sem. Ha vannak források a http -ből, akkor a böngészője piros színnel kiemeli a protokollt, és néha áthúzható. Összességében azonban ez az utolsó pont leginkább a felhasználók oktatására és fegyelmezettségére vonatkozik. Néhány dolgot nem lehet erőltetni.
2. Ellenőrizze és ossza meg az engedélyeket
- Győződjön meg arról, hogy az alkalmazás nem root -ból fut (legalábbis nyilvános mappák, tmp, fájlok, napló). Erősen javasoljuk, hogy a teljes alkalmazást + rubint egy adott felhasználó telepítse.
- Győződjön meg arról, hogy egyetlen alkalmazásmappához sem rendelkezik 777 -es jogosultsággal. Az optimális engedélyek 755, vagy egyes fájlok esetében 644.
3. Tartsa zárva a nem használt portokat
Kérje meg rendszergazdáit vagy a tárhely szolgáltatóit, hogy zárjanak be az összes nem használt portot. Csak akkor nyissa meg őket, ha frissíteni kell a rendszert, a rubint vagy az alkalmazást.
4. Használjon erős jelszavakat
És győződjön meg arról, hogy nem ugyanazt a jelszót használja a gyökérkiszolgáló felhasználója, a gyökér adatbázis felhasználó, az alkalmazásszerver felhasználó, az adatbázis alkalmazás felhasználója és az adminisztrátor vagy bármely más felhasználó számára az alkalmazáson belül. Minden jelszónak eltérőnek kell lennie, elég hosszúnak kell lennie - legalább 15 szimbólumnak, amely betűket, számokat és speciális szimbólumokat tartalmaz ... vagy egyszerűen csak hosszú (https://xkcd.com/936/). Ne essen letargia állapotába, és győződjön meg arról, hogy legalább hathavonta legalább az alkalmazáson belül megváltoztatja a jelszavakat.
5. Rendszeresen frissítse a szervert és az alkalmazást
Nagyon fontos, hogy mindent naprakészen tartsunk. A világ minden nap változik. Az IT világ még gyorsabban változik. Minden nap új gyengeségeket találnak, és új biztonsági protokollokat hoznak létre. Ha elavult alkalmazásokat használ - növeli a támadások vagy átverések kockázatát a szerverén keresztül. Mikor frissítette utoljára a rubygemeit?
6. Legyen óvatos a feltöltött fájlokkal
Javasoljuk, hogy határozza meg a fájl kiterjesztéseit, amelyeket fel lehet tölteni a szerverére. Ezt megteheti mind a webszerverről, mind belülről (Easy) Redmine (Adminsitration >> Settings >> Files). Itt találhat bizonyos fájlkiterjesztések korlátozását vagy engedélyezését az nginx -ben - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3. Ha mindkettőnél egyszerre vannak beállítások, akkor a webszerver nyer.
Egy másik lehetőség egy víruskereső telepítése a szerveren feltöltött fájlok ellenőrzésére. Az egyik ingyenes lehetőség ClamAV.
Ez nem minden...
Ezek a tippek a minimumok, amelyek lehetővé teszik a Redmine rendszergazda számára, hogy békésen aludjon - az alkalmazás biztonságos. Természetesen szükség esetén további védelmi rétegeket is hozzáadhat (proxy, fordított proxy, VPN, IP -szűrő stb.)
