Ασφάλεια¶

Η ασφάλεια εξαρτάται από τον διακομιστή ιστού, την PHP, τη βάση δεδομένων, τη διαμόρφωση του MRBS και τον επιλεγμένο πάροχο ταυτότητας.

Διατηρήστε το λογισμικό ενημερωμένο¶

Το MRBS 1.12.2 περιέχει διορθώσεις ασφαλείας, μεταξύ άλλων προστασία από ανοικτές ανακατευθύνσεις και πλαστογράφηση αιτημάτων από την πλευρά του διακομιστή. Παρακολουθείτε τις νεότερες εκδόσεις και τις ανακοινώσεις ασφαλείας· μην θεωρείτε την έκδοση 1.12.2 επ' αόριστον επίκαιρη.

Διατηρείτε την PHP, τη βάση δεδομένων, τον διακομιστή ιστού και το λειτουργικό σύστημα σε εκδόσεις που εξακολουθούν να υποστηρίζονται από τους προμηθευτές τους.

Προστατέψτε τη διαμόρφωση και τη μεταφορά¶

Παρέχετε το MRBS αποκλειστικά μέσω HTTPS.
Περιορίστε την πρόσβαση στο config.inc.php.
Μην αποθηκεύετε διαπιστευτήρια βάσης δεδομένων, SMTP, LDAP και API στο σύστημα ελέγχου εκδόσεων.
Επαληθεύετε τα πιστοποιητικά TLS και τα ονόματα κεντρικών υπολογιστών.
Αλλάζετε τα διαπιστευτήρια όταν υπάρχει υποψία έκθεσής τους.

Προνόμια βάσης δεδομένων¶

Χρησιμοποιήστε έναν αποκλειστικό λογαριασμό βάσης δεδομένων χρόνου εκτέλεσης. Παραχωρήστε μόνο τα προνόμια που απαιτεί η εφαρμογή. Χρησιμοποιήστε έναν ξεχωριστό λογαριασμό αλλαγής σχήματος για αναβαθμίσεις όπου είναι λειτουργικά πρακτικά.

Τα αντίγραφα ασφαλείας περιέχουν δεδομένα κράτησης και χρήστη και απαιτούν την ίδια προστασία με τη βάση δεδομένων παραγωγής.

Δημόσια πρόσβαση¶

Ελέγξτε ρητά τη συμπεριφορά αποσύνδεσης:

ορατότητα λεπτομερειών κράτησης.
ιδιωτικές κρατήσεις·
αναζήτηση και δημόσιες αναφορές·
λειτουργία περιπτέρου·
εξαγωγές ημερολογίου· και
ονόματα εγγραφής.

Χρησιμοποιήστε το $auth['deny_public_access'] όταν κάθε πρόσβαση απαιτεί περίοδο λειτουργίας.

Αρχεία εγκατάστασης¶

Μην εκθέτετε βοηθητικά προγράμματα δοκιμής, σενάρια SQL, αντίγραφα ασφαλείας, αρχεία καταγραφής ή αντίγραφα διαμόρφωσης μέσω του διακομιστή web. Αρχεία όπως testdata.php προορίζονται για δοκιμή και δεν πρέπει να παραμένουν δημόσια προσβάσιμα.

Καταγραφή¶

Καταγράφετε τα λειτουργικά σφάλματα χωρίς διαπιστευτήρια ή ιδιωτικό περιεχόμενο κρατήσεων. Η καταγραφή διαπιστευτηρίων είναι απενεργοποιημένη από προεπιλογή και πρέπει να παραμείνει έτσι:

$auth['log_credentials'] = false;

Ανασκόπηση ρουτίνας¶

Αναθεωρήστε τακτικά:

λογαριασμούς διαχειριστή·
στοιχεία επικοινωνίας διαχειριστών περιοχών και αιθουσών·
κλειδιά δημόσιας αναφοράς.
μυστικά παρόχου ταυτότητας·
δυνατότητα επαναφοράς αντιγράφων ασφαλείας·
ενημερώσεις εξαρτήσεων και εκδόσεων· και
αρχεία καταγραφής ιστού και εφαρμογών για απροσδόκητη πρόσβαση.