Sikkerhet¶
Sikkerhet avhenger av webserveren, PHP, databasen, MRBS-konfigurasjonen og den valgte identitetsleverandøren.
Hold programvare oppdatert¶
MRBS 1.12.2 inneholder sikkerhetsreparasjoner, inkludert beskyttelse mot åpne omdirigeringer og forfalskning av serversiden. Overvåk senere utgivelser og sikkerhetsråd i stedet for å behandle 1.12.2 som permanent gjeldende.
Hold PHP, databasen, webserveren og operativsystemet innenfor støttede leverandørlivssykluser.
Beskytt konfigurasjon og transport¶
- Server MRBS over HTTPS.
- Begrens tilgang til
config.inc.php. - Hold database-, SMTP, LDAP og API-legitimasjon utenfor kildekontroll.
- Bekreft TLS jevnaldrende og vertsnavn.
- Roter legitimasjon etter mistenkt eksponering.
Databaserettigheter¶
Bruk en dedikert applikasjonens databasekonto. Gi bare rettighetene applikasjonen krever. Bruk en egen konto for endring av skjema for oppgraderinger der det er praktisk mulig.
Sikkerhetskopier inneholder booking- og brukerdata og krever samme beskyttelse som produksjonsdatabasen.
Offentlig tilgang¶
Gjennomgå avlogget atferd eksplisitt:
- bestillingsdetaljsynlighet;
- private bestillinger;
- søk og offentlige rapporter;
- kiosk-modus;
- kalender eksport; og
- registreringsnavn.
Bruk $auth['deny_public_access'] når all tilgang skal kreve en økt.
Installasjonsfiler¶
Ikke utsett testverktøy, SQL-skript, sikkerhetskopier, logger eller konfigurasjonskopier gjennom webserveren. Filer som testdata.php er for testing og må ikke forbli offentlig tilgjengelige.
Logging¶
Logg driftsfeil uten legitimasjon eller privat bookinginnhold. Påloggingslogging er deaktivert som standard og bør forbli deaktivert:
Rutinemessig gjennomgang¶
Gjennomgå regelmessig:
- administratorkontoer;
- område- og romadministratorkontakter;
- offentlige rapportnøkler;
- identitetsleverandørens hemmeligheter;
- gjenoppretting av sikkerhetskopier;
- avhengighet og utgivelsesoppdateringer; og
- web- og applikasjonslogger for uventet tilgang.