Bezbednost

Bezbednost sistema zavisi od veb servera, PHP, baze podataka, MRBS konfiguracije i izabranog provajdera identiteta.

Održavajte softver ažurnim

MRBS 1.12.2 sadrži bezbednosne ispravke, uključujući zaštitu od otvorenih preusmeravanja i falsifikovanja zahteva na strani servera. Nadgledajte kasnija izdanja i bezbednosne savete umesto da tretirate 1.12.2 kao trajno aktuelnu.

Čuvajte PHP, bazu podataka, veb server i operativni sistem unutar podržanih životnih ciklusa dobavljača.

Zaštitite konfiguraciju i transport

• Poslužite MRBS preko HTTPS.
• Ograničite pristup na config.inc.php.
• Držite bazu podataka, SMTP, LDAP i API akreditive van kontrole izvora.
• Verifikujte TLS ravnopravne računare i imena hostova.
• Rotirajte akreditive nakon sumnje na izlaganje.

Privilegije baze podataka

Koristite namenski nalog baze podataka za vreme izvršavanja. Dajte samo privilegije koje zahteva aplikacija. Koristite poseban nalog za promenu šeme za nadogradnje gde je to operativno praktično.

Rezervne kopije sadrže podatke o rezervacijama i korisnicima i zahtevaju istu zaštitu kao proizvodna baza podataka.

Javni pristup

Eksplicitno pregledajte ponašanje odjavljenog:

• preglednost detalja rezervacije;
• privatne rezervacije;
• pretraga i javni izveštaji;
• režim kioska;
• izvoz kalendara; i
• registraciona imena.

Koristite $auth['deny_public_access'] kada sav pristup zahteva sesiju.

Instalacione datoteke

Nemojte izlagati testne uslužne programe, SKL skripte, rezervne kopije, evidencije ili kopije konfiguracije preko veb servera. Fajlovi kao što je testdata.php su za testiranje i ne smeju ostati javno dostupni.

Logging

Evidentirajte operativne greške bez akreditiva ili privatnog sadržaja rezervacije. Evidentiranje akreditiva je podrazumevano onemogućeno i trebalo bi da ostane onemogućeno:

$auth['log_credentials'] = false;

Rutinski pregled

Redovno pregledajte:

• administratorski nalozi;
• kontakti administratora područja i prostorija;
• ključevi javnih izveštaja;
• tajne provajdera identiteta;
• backup restauracija;
• ažuriranja zavisnosti i izdanja; i
• evidencije veba i aplikacija za neočekivani pristup.