Gå til indholdet

Sikkerhed

Sikkerhed afhænger af webserveren, PHP, databasen, MRBS-konfigurationen og den valgte identitetsudbyder.

Hold software opdateret

MRBS 1.12.2 indeholder sikkerhedsrettelser, herunder beskyttelse mod åbne omdirigeringer og forfalskning af anmodninger på serversiden. Følg nyere udgivelser og sikkerhedsmeddelelser; version 1.12.2 er ikke permanent opdateret.

Hold PHP, databasen, webserveren og operativsystemet inden for understøttede leverandørlivscyklusser.

Beskyt konfiguration og transport

  • Gør kun MRBS tilgængelig via HTTPS.
  • Begræns adgangen til config.inc.php.
  • Hold legitimationsoplysninger til database, SMTP, LDAP og API ude af versionsstyring.
  • Kontrollér TLS-modparten og værtsnavnet.
  • Udskift legitimationsoplysninger ved mistanke om lækage.

Databaserettigheder

Brug en særskilt databasekonto til den kørende applikation, og giv den kun de nødvendige rettigheder. Brug om muligt en separat konto med ret til at ændre skemaet ved opgraderinger.

Sikkerhedskopier indeholder booking- og brugerdata og kræver samme beskyttelse som produktionsdatabasen.

Offentlig adgang

Gennemgå udlogget adfærd eksplicit:

  • synlighed af bookingoplysninger;
  • private reservationer;
  • søgning og offentlige rapporter;
  • kiosktilstand;
  • kalendereksport;
  • registreringsnavne.

Brug $auth['deny_public_access'], hvis al adgang skal kræve en session.

Installationsfiler

Udsæt ikke testværktøjer, SQL-scripts, sikkerhedskopier, logfiler eller konfigurationskopier gennem webserveren. Filer såsom testdata.php er til test og må ikke forblive offentligt tilgængelige.

Logning

Log driftsfejl uden legitimationsoplysninger eller indhold fra private bookinger. Logning af legitimationsoplysninger er som standard deaktiveret og bør forblive sådan:

$auth['log_credentials'] = false;

Rutinemæssig gennemgang

Gennemgå regelmæssigt:

  • administratorkonti;
  • kontaktpersoner for område- og lokaleadministratorer;
  • nøgler til offentlige rapporter;
  • identitetsudbyderens følsomme oplysninger;
  • gendannelse af sikkerhedskopier;
  • opdateringer til afhængigheder og udgivelser;
  • web- og applikationslogfiler for uventet adgang.