אבטחה¶
האבטחה תלויה בשרת האינטרנט, PHP, מסד הנתונים, תצורת MRBS וספק הזהות הנבחר.
שמרו על התוכנה עדכנית¶
MRBS 1.12.2 מכיל תיקוני אבטחה, כולל הגנות מפני הפניות פתוחות וזיוף בקשות בצד השרת. עקוב אחר מהדורות מאוחרות יותר ועצות אבטחה במקום להתייחס ל-1.12.2 כעדכני לצמיתות.
שמור את PHP, מסד הנתונים, שרת האינטרנט ומערכת ההפעלה בתוך מחזורי החיים של הספקים הנתמכים.
הגנה על התצורה ועל התעבורה¶
- מגישים MRBS מעל HTTPS.
- הגבל גישה ל-
config.inc.php. - שמור את מסד הנתונים, SMTP, LDAP ואישורי API מחוץ לשליטת המקור.
- אמת TLS עמיתים ושמות מארח.
- סובב אישורים לאחר חשד לחשיפה.
הרשאות מסד נתונים¶
השתמש בחשבון מסד נתונים ייעודי לזמן ריצה. הענק רק את ההרשאות שהאפליקציה דורשת. השתמש בחשבון נפרד לשינוי סכימה עבור שדרוגים כאשר הדבר מעשי מבחינה תפעולית.
גיבויים מכילים נתוני הזמנות ומשתמשים ודורשים הגנה זהה למאגר הייצור.
גישה לציבור¶
בדוק במפורש את התנהגות היציאה מהחשבון:
- נראות פרטי ההזמנה;
- הזמנות פרטיות;
- חיפוש ודוחות פומביים;
- מצב קיוסק;
- ייצוא לוח שנה; ו
- שמות רישום.
השתמש ב-$auth['deny_public_access'] כאשר כל גישה צריכה לדרוש הפעלה.
קבצי התקנה¶
אל תחשוף כלי עזר לבדיקה, סקריפטים של SQL, גיבויים, יומנים או עותקי תצורה דרך שרת האינטרנט. קבצים כגון testdata.php מיועדים לבדיקה ואסור שיישאר נגיש לציבור.
רישום¶
רישום שגיאות תפעול ללא אישורים או תוכן הזמנה פרטית. רישום אישורים מושבת כברירת מחדל ואמור להישאר מושבת:
בדיקה תקופתית¶
סקור באופן קבוע:
- חשבונות מנהל;
- אנשי קשר של מנהל אזור וחדר;
- מפתחות דיווח ציבורי;
- פרטי הגישה הסודיים של ספק הזהות;
- שחזור גיבוי;
- עדכוני תלות ושחרור; ו
- יומני אינטרנט ואפליקציות לגישה בלתי צפויה.