Biztonság¶

A biztonság a webszervertől, PHP, adatbázistól, MRBS konfigurációtól és a kiválasztott identitásszolgáltatótól függ.

Tartsa naprakészen a szoftvert¶

Az MRBS 1.12.2 biztonsági javításokat tartalmaz, többek között a nyílt átirányítások és a szerveroldali kéréshamisítás elleni védelmet. Kövesse az újabb kiadásokat és biztonsági közleményeket; az 1.12.2 nem marad korlátlan ideig naprakész.

Tartsa a PHP, az adatbázist, a webszervert és az operációs rendszert a támogatott szállítói életciklusokon belül.

Védje a konfigurációt és az adatátvitelt¶

MRBS a HTTPS számon keresztül.
Hozzáférés korlátozása a következőre: config.inc.php.
Tartsa távol az adatbázis, az SMTP, az LDAP és az API hitelesítő adatokat a forrás ellenőrzésétől.
Ellenőrizze a TLS társ- és gazdagépneveket.
Forgassa el a hitelesítő adatokat a feltételezett expozíció után.

Adatbázis jogosultságok¶

Használjon dedikált futásidejű adatbázis-fiókot. Csak az alkalmazás által igényelt jogosultságokat adja meg. Használjon külön sémamódosító fiókot a frissítésekhez, ahol ez praktikus.

A biztonsági másolatok foglalási és felhasználói adatokat tartalmaznak, és ugyanolyan védelmet igényelnek, mint az éles adatbázis.

Nyilvános hozzáférés¶

Tekintse át kifejezetten a kijelentkezett viselkedést:

a foglalás részleteinek láthatósága;
privát foglalások;
keresés és nyilvános jelentések;
kioszk mód;
naptárexport; és
regisztrációs nevek.

Használja a $auth['deny_public_access']-t, ha minden hozzáféréshez munkamenetre van szükség.

Telepítési fájlok¶

Ne tegye közzé teszt segédprogramokat, SQL-parancsfájlokat, biztonsági másolatokat, naplókat vagy konfigurációs másolatokat a webszerveren keresztül. Az olyan fájlok, mint a testdata.php, tesztelésre szolgálnak, és nem maradhatnak nyilvánosan elérhetők.

Naplózás¶

A működési hibák naplózása hitelesítő adatok vagy privát foglalási tartalom nélkül. A hitelesítő adatok naplózása alapértelmezés szerint le van tiltva, és továbbra is le van tiltva:

$auth['log_credentials'] = false;

Rutin felülvizsgálat¶

Rendszeres felülvizsgálat:

rendszergazdai fiókok;
terület és helyiség adminisztrátor elérhetőségei;
nyilvános jelentéskulcsok;
személyazonosság-szolgáltató titkai;
biztonsági mentés helyreállítása;
függőségi és kiadási frissítések; és
webes és alkalmazásnaplók a váratlan hozzáféréshez.