Sådan holder du din Redmine -server sikker

sikkerhed

0. Introduktion

I denne artikel finder du nogle råd (herunder stærke anbefalinger) til, hvordan du holder din (Easy) Redmine sikker og modstandsdygtig. Nogle tips kan virke indlysende, men en god tjekliste bør indeholde alt.

1. Brug https -forbindelse

- opret selvsigneret certifikat eller køb et betroet. Instruktion i hvordan man opretter selvsigneret certifikat findes her - https://devcenter.heroku.com/articles/ssl-certificate-self
- konfigurer din webserver til at holde den sikre forbindelse korrekt. Begræns fuldstændigt anmodninger fra 80 eller 8080 porte eller konfigurer korrekt routing af dem til sikret port. Detaljerede instruktioner til sikker nginx -konfiguration er tilgængelige direkte i Easy Redmine -installationspakken under doc/INSTALL.
- i dine (Easy) Redmine -indstillinger (Administration >> Indstillinger) skal du konfigurere den korrekte protokoltype (HTTPS). Det er et meget vigtigt, men ofte savnet punkt. Husk, at ikke alle Redmine -plugins bruger korrekte ruter fra systemet. Nogle af dem leder kun efter denne specifikke indstilling for at definere, hvilken protokol der skal bruges. Det er ikke korrekt, men det sker. Så det er bedre at være sikker på, at protokollen altid vil være https.
- for at kontrollere kvaliteten af din SSL -konfiguration kan du bruge værktøjer som f.eks https://www.ssllabs.com/ssltest/
- hvis der er billeder eller andre data, du tager fra andre websteder (f.eks. logoer, billedkilder), skal du også sørge for at bruge https -protokollen. Ellers kan det teoretisk forårsage et uklart brud på dit system. Du kan nemt kontrollere, om alt er ok med dit websted eller ej. Hvis der er kilder fra http, fremhæver din browser din protokol med rød farve, og nogle gange kan den overstreges. Men generelt handler dette sidste punkt mest om uddannelse og disciplin af dine brugere. Nogle ting kan ikke tvinges.

2. Kontroller og del tilladelser

- Sørg for, at din applikation ikke kører fra root (i det mindste offentlige mapper, tmp, filer, log). Vi anbefaler kraftigt, at hele applikationen + rubin installeres fra en bestemt bruger.
- Sørg for, at du ikke har tilladelser som 777 til enhver applikationsmappe. Optimale tilladelser er 755, eller for nogle filer 644.

3. Hold ikke-brugte porte lukket

Bed dine systemadministratorer eller hostingudbydere om at lukke alle porte, der ikke er brugt. Åbn dem kun, hvis du har brug for at opdatere systemet, rubinen eller applikationen.

4. Brug stærke adgangskoder

Sørg for, at du ikke bruger den samme adgangskode til din rodserverbruger, roddatabasebruger, applikationsserverbruger, databaseapplikationsbruger og admin eller enhver anden bruger i din applikation. Alle adgangskoder skal være forskellige, lange nok - mindst 15 symboler, der indeholder bogstaver, tal og specielle symboler ... eller simpelthen bare lange (https://xkcd.com/936/). Kom ikke i sløvhed, og sørg for at ændre adgangskoder mindst i applikationen mindst hver 6. måned.

5. Opdater din server og dit program regelmæssigt

Det er meget vigtigt at holde alt opdateret. Verden ændrer sig hver dag. IT -verden ændrer sig endnu hurtigere. Hver dag findes der nye svagheder og nye sikkerhedsprotokoller oprettes. Hvis du bruger forældede applikationer - øger du risikoen for angreb eller fidus via din server. Hvornår er sidste gang du opdaterede dine rubygems?

6. Vær forsigtig med uploadede filer

Vi anbefaler dig at definere filstørrelser, der må uploades til din server. Du kan gøre det både fra din webserver eller indefra (Easy) Redmine (Adminsitration >> Settings >> Files). Sådan begrænses eller tillades specifikke filudvidelser i nginx, du kan finde her - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3. Hvis du har indstillinger på begge på samme tid, vinder webserveren.
En anden mulighed er at distribuere en antivirus for at kontrollere alle uploadede filer på serveren. En gratis mulighed er ClamAV.

Det er ikke alt ...

Disse tip er det minimum, der tillader en Redmine -administrator at sove fredeligt - applikationen er sikker. Men naturligvis kan du tilføje flere lag af beskyttelse, hvis det kræves (proxy, reverse proxy, VPN, IP -filter osv.)