כיצד לשמור על שרת ה- Redmine שלך ​​מאובטח

0. מבוא

במאמר זה תוכלו למצוא כמה עצות (כולל המלצות חזקות) כיצד לשמור על ה- Redmine (הקל) והגמיש שלכם. כמה טיפים עשויים להיראות מובנים מאליהם, אך רשימת בדיקות טובה צריכה להכיל הכל.

1. השתמש בחיבור https

- צור תעודה בחתימה עצמית או קנה תעודה מהימנה. ניתן למצוא כאן הוראות כיצד ליצור תעודה בחתימה עצמית - https://devcenter.heroku.com/articles/ssl-certificate-self
- הגדר את שרת האינטרנט שלך בכדי להחזיק את החיבור המאובטח כראוי. הגבל באופן מלא את הבקשות מ -80 או 8080 יציאות או הגדר ניתוב נכון להן ליציאה מאובטחת. הוראות מפורטות לתצורת nginx מאובטחת זמינות ישירות בחבילת ההתקנה של Easy Redmine תחת doc/INSTALL.
- בהגדרות (קל) Redmine שלך ​​(ניהול >> הגדרות) הגדר סוג פרוטוקול נכון (HTTPS). זו נקודה חשובה מאוד אך לעתים קרובות מפספסים אותה. זכור כי לא כל הפלאגינים של Redmine משתמשים במסלולים הנכונים מהמערכת. חלקם מחפשים רק הגדרה ספציפית זו כדי להגדיר באיזה פרוטוקול יש להשתמש. זה לא נכון, אבל זה קורה. אז עדיף להיות בטוח שהפרוטוקול יהיה תמיד https.
- כדי לאמת את איכות תצורת ה- SSL שלך, תוכל להשתמש בכלים כגון https://www.ssllabs.com/ssltest/
- אם יש תמונות או נתונים אחרים שאתה לוקח מאתרים אחרים (למשל, לוגו, מקורות תמונה), ודא שהם משתמשים בפרוטוקול https גם כן. אחרת זה יכול תיאורטית לגרום להפרה לא ברורה במערכת שלך. אתה יכול בקלות לבדוק אם הכל בסדר עם האתר שלך או לא. אם יש מקורות מ- http, הדפדפן שלך יסמן את הפרוטוקול שלך בצבע אדום ולפעמים ניתן לחצות אותו. אבל בסך הכל, הנקודה האחרונה הזו עוסקת בעיקר בחינוך ומשמעת של המשתמשים שלך. יש דברים שאי אפשר לכפות עליהם.

2. בדוק וחלק הרשאות

- וודא שהיישום שלך אינו פועל מהשורש (לפחות תיקיות ציבוריות, tmp, קבצים, יומן). אנו ממליצים בחום שכל היישום + אודם יותקן ממשתמש ספציפי.
- ודא שאין לך הרשאות כמו 777 עבור תיקיית יישומים כלשהי. ההרשאות האופטימליות הן 755, או עבור קבצים מסוימים 644.

3. השאר יציאות שאינן בשימוש סגור

בקש ממנהלי המערכת או מספקיות האירוח שלך לסגור את כל היציאות שאינן בשימוש. פתח אותם רק במקרה שאתה צריך לעדכן את המערכת, רובי או יישום.

4. השתמש בסיסמאות חזקות

וודא שאתה לא משתמש באותה סיסמה עבור משתמש שרת השורש שלך, משתמש בסיס הנתונים של שורש, משתמש שרת היישומים, משתמש ביישום מסד הנתונים ומנהל מערכת או כל משתמש אחר בתוך היישום שלך. כל הסיסמאות צריכות להיות שונות, מספיק ארוכות - לפחות 15 סמלים, המכילים אותיות, מספרים וסמלים מיוחדים ... או פשוט ארוכים (https://xkcd.com/936/). אל תיפול למצב של עייפות וודא שאתה משנה סיסמאות לפחות בתוך היישום לפחות כל 6 חודשים.

5. עדכן את השרת והיישום הרגיל שלך

חשוב מאוד שהכל יהיה מעודכן. העולם משתנה כל יום. עולם ה- IT משתנה עוד יותר מהר. בכל יום נמצאות חולשות חדשות ונוצרים פרוטוקולי בטיחות חדשים. אם אתה משתמש ביישומים מיושנים - אתה מגדיל את הסיכון להתקפות או הונאה דרך השרת שלך. מתי פעם אחרונה עדכנת את רובי הגמדים שלך?

6. היזהר עם קבצים שהועלו

אנו ממליצים לך להגדיר את מידות הקבצים שמותר להעלות לשרת שלך. אתה יכול לעשות זאת הן משרת האינטרנט שלך והן מבפנים (Easy) Redmine (ניהול >> הגדרות >> קבצים). כיצד להגביל או לאפשר הרחבות קבצים ספציפיות ב- nginx שתוכל למצוא כאן - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3. אם יש לך הגדרות על שניהם בו זמנית, שרת האינטרנט מנצח.
אפשרות נוספת היא לפרוס אנטי וירוס כדי לבדוק את כל הקבצים שהועלו בשרת. אפשרות אחת חופשית ClamAV.

זה לא הכל...

טיפים אלה הם המינימום המאפשר למנהל Redmine לישון בשקט - היישום מאובטח. אך מטבע הדברים, ניתן להוסיף שכבות הגנה נוספות במידת הצורך (פרוקסי, פרוקסי הפוך, VPN, מסנן IP וכו ').