Bezpieczeństwo¶
Bezpieczeństwo zależy od serwera WWW, PHP, bazy danych, konfiguracji MRBS oraz wybranego dostawcy tożsamości.
Dbaj o aktualność oprogramowania¶
MRBS 1.12.2 zawiera poprawki bezpieczeństwa, w tym zabezpieczenia przed otwartymi przekierowaniami i fałszowaniem żądań po stronie serwera. Zamiast traktować wersję 1.12.2 jako stale aktualną, monitoruj późniejsze wydania i porady dotyczące bezpieczeństwa.
Zachowaj PHP, bazę danych, serwer WWW i system operacyjny w ramach cyklów życia obsługiwanych dostawców.
Chroń konfigurację i transport¶
- Podaj MRBS ponad HTTPS.
- Ogranicz dostęp do
config.inc.php. - Trzymaj bazy danych, SMTP, LDAP i poświadczenia API poza kontrolą źródła.
- Sprawdź urządzenia równorzędne i nazwy hostów TLS.
- Zmieniaj dane uwierzytelniające po podejrzeniu ujawnienia.
Uprawnienia do bazy danych¶
Użyj dedykowanego konta bazy danych środowiska wykonawczego. Nadaj tylko te uprawnienia, których wymaga aplikacja. Użyj osobnego konta zmieniającego schemat do aktualizacji, jeśli jest to praktyczne pod względem operacyjnym.
Kopie zapasowe zawierają dane rezerwacji i użytkowników i wymagają takiej samej ochrony jak produkcyjna baza danych.
Dostęp publiczny¶
Przejrzyj jawnie zachowanie po wylogowaniu się:
- widoczność szczegółów rezerwacji;
- rezerwacje prywatne;
- wyszukiwania i raporty publiczne;
- tryb kiosku;
- eksport kalendarzy; i
- nazwy rejestracyjne.
Użyj $auth['deny_public_access'], gdy cały dostęp powinien wymagać sesji.
Pliki instalacyjne¶
Nie udostępniaj narzędzi testowych, skryptów SQL, kopii zapasowych, dzienników ani kopii konfiguracji za pośrednictwem serwera WWW. Pliki takie jak testdata.php służą do celów testowych i nie mogą pozostać publicznie dostępne.
Rejestrowanie¶
Rejestruj błędy operacyjne bez poświadczeń i prywatnych treści rezerwacji. Rejestrowanie poświadczeń jest domyślnie wyłączone i powinno pozostać wyłączone:
Rutynowy przegląd¶
Regularnie przeglądaj:
- konta administratora;
- kontakty administratorów obszaru i pokoju;
- publiczne klucze raportów;
- tajemnice dostawcy tożsamości;
- przywracanie kopii zapasowych;
- aktualizacje zależności i wersji; i
- dzienniki sieciowe i aplikacji w przypadku nieoczekiwanego dostępu.