Безопасность¶
Безопасность системы зависит от веб-сервера, PHP, базы данных, конфигурации MRBS и выбранного поставщика удостоверений.
Поддерживайте актуальность программного обеспечения¶
MRBS 1.12.2 содержит исправления безопасности, включая защиту от открытых перенаправлений и подделки запросов на стороне сервера. Следите за более поздними выпусками и рекомендациями по безопасности, а не рассматривайте версию 1.12.2 как постоянно актуальную.
Сохраняйте PHP, базу данных, веб-сервер и операционную систему в рамках жизненного цикла, поддерживаемого поставщиком.
Защита конфигурации и транспортировки¶
- Подавайте MRBS за HTTPS.
- Ограничить доступ к
config.inc.php. - Храните базу данных, SMTP, LDAP и учетные данные API вне системы контроля версий.
- Проверьте узлы и имена хостов TLS.
- Меняйте учетные данные после подозрения на заражение.
Привилегии базы данных¶
Используйте выделенную учетную запись базы данных среды выполнения. Предоставляйте только те привилегии, которые требуются приложению. Используйте отдельную учетную запись для изменения схемы для обновлений, где это практически осуществимо.
Резервные копии содержат данные бронирования и пользовательские данные и требуют такой же защиты, как и рабочая база данных.
Публичный доступ¶
Подробно проверьте поведение выхода из системы:
- видимость деталей бронирования;
- частные бронирования;
- поиск и публичные отчеты;
- режим киоска;
- экспорт календаря; и
- регистрационные имена.
Используйте $auth['deny_public_access'], если для любого доступа требуется сеанс.
Установочные файлы¶
Не открывайте тестовые утилиты, сценарии SQL, резервные копии, журналы или копии конфигурации через веб-сервер. Такие файлы, как testdata.php, предназначены для тестирования и не должны оставаться общедоступными.
Ведение журнала¶
Регистрируйте операционные ошибки без учетных данных или содержимого частного бронирования. Ведение журнала учетных данных отключено по умолчанию и должно оставаться отключенным:
Регулярный обзор¶
Регулярно просматривайте:
- учетные записи администратора;
- контакты администратора зоны и помещения;
- ключи общедоступного отчета;
- секреты провайдера удостоверений;
- восстановление резервной копии;
- обновления зависимостей и выпусков; и
- журналы веб-страниц и приложений для непредвиденного доступа.