セキュリティ¶
セキュリティは、Web サーバー、PHP、データベース、MRBS 設定、および選択した ID プロバイダーによって異なります。
ソフトウェアを最新の状態に保つ¶
MRBS 1.12.2 には、オープン リダイレクトやサーバー側のリクエスト フォージェリに対する保護などのセキュリティ修正が含まれています。 1.12.2 を永続的に最新のものとして扱うのではなく、以降のリリースとセキュリティ アドバイザリを監視します。
PHP、データベース、Web サーバー、およびオペレーティング システムは、サポートされているベンダーのライフサイクル内に維持してください。
設定と通信を保護する¶
- MRBS を HTTPS よりも優先します。
config.inc.phpへのアクセスを制限します。- データベース、SMTP、LDAP、および API 資格情報をソース管理の対象外に保ちます。
- TLS ピアとホスト名を確認します。
- 漏洩の疑いがある場合は、認証情報をローテーションします。
データベース権限¶
専用のアプリケーション用データベースアカウントを使用します。アプリケーションに必要な権限のみを付与します。運用上実用的な場合は、アップグレードに別のスキーマ変更アカウントを使用します。
バックアップには予約データとユーザー データが含まれており、運用データベースと同じ保護が必要です。
パブリックアクセス¶
サインアウト動作を明示的に確認します。
- 予約詳細の可視性。
- プライベート予約。
- 調査と公開レポート。
- キオスクモード。
- カレンダーのエクスポート。
- 登録名。
すべてのアクセスにセッションが必要な場合は、$auth['deny_public_access'] を使用します。
インストールファイル¶
テスト ユーティリティ、SQL スクリプト、バックアップ、ログ、設定のコピーを Web サーバー経由で公開しないでください。 testdata.php などのファイルはテスト用であり、公開されたままにしてはいけません。
ロギング¶
認証情報やプライベートな予約コンテンツなしで操作エラーをログに記録します。認証情報のログはデフォルトで無効になっており、無効のままにする必要があります。
定期的なレビュー¶
定期的に確認してください:
- 管理者アカウント。
- エリアおよび部屋の管理者の連絡先。
- 公開レポートキー。
- アイデンティティプロバイダーの秘密。
- バックアップ復元。
- 依存関係とリリースの更新。
- 予期しないアクセスに対する Web およびアプリケーションのログ。