Säkerhet¶
Systemets säkerhet beror på webbservern, PHP, databasen, MRBS-konfigurationen och den valda identitetsleverantören.
Håll programvaran aktuell¶
MRBS 1.12.2 innehåller säkerhetskorrigeringar, inklusive skydd mot öppna omdirigeringar och förfalskning av förfrågningar på serversidan. Övervaka senare versioner och säkerhetsråd istället för att behandla 1.12.2 som permanent aktuell.
Håll PHP, databasen, webbservern och operativsystemet inom leverantörens livscykler som stöds.
Skydda konfiguration och transport¶
- Servera MRBS över HTTPS.
- Begränsa åtkomsten till
config.inc.php. - Håll databas, SMTP, LDAP och API-uppgifter utom källkontroll.
- Verifiera TLS kamrater och värdnamn.
- Rotera inloggningsuppgifter efter misstänkt exponering.
Databasrättigheter¶
Använd ett särskilt databaskonto för programmet och ge bara de behörigheter som behövs. Använd om möjligt ett separat konto för schemaändringar vid uppgraderingar.
Säkerhetskopieringar innehåller boknings- och användardata och kräver samma skydd som produktionsdatabasen.
Allmänhetens tillgång¶
Granska utloggat beteende uttryckligen:
- bokningsdetaljsynlighet;
- privata bokningar;
- sökning och offentliga rapporter;
- kioskläge;
- kalenderexport; och
- registreringsnamn.
Använd $auth['deny_public_access'] när all åtkomst bör kräva en session.
Installationsfiler¶
Exponera inte testverktyg, SQL-skript, säkerhetskopior, loggar eller konfigurationskopior via webbservern. Filer som testdata.php är för testning och får inte förbli offentligt tillgängliga.
Skogsavverkning¶
Logga driftfel utan inloggningsuppgifter eller privat bokningsinnehåll. Autentiseringsloggning är inaktiverad som standard och bör förbli inaktiverad:
Rutinmässig granskning¶
Regelbundet granska:
- administratörskonton;
- områdes- och rumsadministratörskontakter;
- offentliga rapportnycklar;
- identitetsleverantörens hemligheter;
- återställning av backup;
- beroende och releaseuppdateringar; och
- webb- och programloggar för oväntad åtkomst.