Beveiliging¶
De beveiliging hangt af van de webserver, PHP, de database, de MRBS-configuratie en de gekozen identiteitsprovider.
Houd software actueel¶
MRBS 1.12.2 bevat beveiligingsoplossingen, waaronder bescherming tegen open omleidingen en vervalsing van verzoeken aan de serverzijde. Controleer latere releases en beveiligingsadviezen in plaats van 1.12.2 als permanent actueel te beschouwen.
Houd PHP, de database, de webserver en het besturingssysteem binnen de ondersteunde levenscycli van de leverancier.
Bescherm configuratie en transport¶
- Serveer MRBS boven HTTPS.
- Beperk de toegang tot
config.inc.php. - Houd database-, SMTP, LDAP en API-referenties buiten het bronbeheer.
- Controleer TLS peers en hostnamen.
- Roteer inloggegevens na vermoedelijke blootstelling.
Databaserechten¶
Gebruik een speciaal databaseaccount voor de toepassing en verleen alleen de vereiste rechten. Gebruik waar dit operationeel haalbaar is een afzonderlijk account voor schemawijzigingen tijdens upgrades.
Back-ups bevatten boekings- en gebruikersgegevens en vereisen dezelfde bescherming als de productiedatabase.
Publieke toegang¶
Bekijk het gedrag bij het afmelden expliciet:
- zichtbaarheid van boekingsdetails;
- privéboekingen;
- zoeken en openbare rapporten;
- kioskmodus;
- kalenderexport; en
- registratie namen.
Gebruik $auth['deny_public_access'] wanneer voor alle toegang een sessie vereist is.
Installatiebestanden¶
Stel geen testhulpprogramma's, SQL-scripts, back-ups, logboeken of configuratiekopieën via de webserver beschikbaar. Bestanden zoals testdata.php zijn bedoeld om te testen en mogen niet openbaar bereikbaar blijven.
Loggen¶
Registreer operationele fouten zonder inloggegevens of privéboekingsinhoud. Het loggen van inloggegevens is standaard uitgeschakeld en moet uitgeschakeld blijven:
Routinematige beoordeling¶
Regelmatig beoordelen:
- beheerdersaccounts;
- contacten van gebouw- en ruimtebeheerders;
- sleutels voor openbare rapporten;
- geheimen van identiteitsproviders;
- back-upherstel;
- afhankelijkheids- en release-updates; en
- web- en applicatielogboeken voor onverwachte toegang.