Jak zajistit bezpečnost serveru Redmine

zabezpečení

0. Úvod

V tomto článku najdete několik rad (včetně silných doporučení), jak udržet (Easy) Redmine v bezpečí a odolnosti. Některé tipy se mohou zdát zřejmé, ale dobrý kontrolní seznam by měl obsahovat vše.

1. Použijte připojení https

- vytvořte certifikát podepsaný svým držitelem nebo si kupte důvěryhodný. Návod, jak vytvořit certifikát podepsaný svým držitelem, najdete zde - https://devcenter.heroku.com/articles/ssl-certificate-self
- nastavte svůj webový server tak, aby správně držel zabezpečené připojení. Plně omezte požadavky z 80 nebo 8080 portů nebo nastavte jejich správné směrování na zabezpečený port. Podrobné pokyny pro bezpečnou konfiguraci nginx jsou k dispozici přímo v instalačním balíčku Easy Redmine pod doc/INSTALL.
- v nastavení (Snadné) Redmine (Správa >> Nastavení) nastavte správný typ protokolu (HTTPS). Je to velmi důležitý, ale často opomíjený bod. Pamatujte, že ne všechny doplňky Redmine používají správné cesty ze systému. Někteří z nich hledají pouze toto konkrétní nastavení, aby definovali, jaký protokol by měl být použit. Není to správné, ale stává se to. Proto je lepší mít jistotu, že protokol bude vždy https.
- Chcete -li ověřit kvalitu konfigurace SSL, můžete použít nástroje jako https://www.ssllabs.com/ssltest/
- pokud existují nějaké obrázky nebo jiná data, která pořizujete z jiných webů (například loga, zdroje obrázků), ujistěte se, že také používají protokol https. Jinak to teoreticky může způsobit obskurní narušení vašeho systému. Můžete snadno zkontrolovat, zda je na vašem webu vše v pořádku nebo ne. Pokud existují nějaké zdroje z http, váš prohlížeč zvýrazní váš protokol červenou barvou a někdy může být přeškrtnut. Celkově je ale tento poslední bod většinou o vzdělání a disciplíně vašich uživatelů. Některé věci nelze vynutit.

2. Zkontrolujte a rozdělujte oprávnění

- ujistěte se, že vaše aplikace není spuštěna z root (alespoň veřejné složky, tmp, soubory, protokol). Důrazně doporučujeme, aby byla celá aplikace + rubín nainstalována od konkrétního uživatele.
- ujistěte se, že pro žádnou složku aplikace nemáte oprávnění jako 777. Optimální oprávnění jsou 755 nebo pro některé soubory 644.

3. Udržujte nepoužívané porty zavřené

Požádejte správce systému nebo poskytovatele hostingu o ukončení všech nepoužívaných portů. Otevřete je pouze v případě, že potřebujete aktualizovat systém, ruby nebo aplikaci.

4. Používejte silná hesla

A ujistěte se, že nepoužíváte stejné heslo pro uživatele root serveru, uživatele root databáze, uživatele aplikačního serveru, uživatele databázové aplikace a administrátora ani žádného jiného uživatele uvnitř vaší aplikace. Všechna hesla by měla být různá, dostatečně dlouhá - alespoň 15 symbolů, obsahujících písmena, číslice a speciální symboly ... nebo prostě jen dlouhá (https://xkcd.com/936/). Nepropadejte letargii a dbejte na to, abyste alespoň každých 6 měsíců změnili hesla alespoň v aplikaci.

5. Pravidelně aktualizujte svůj server a aplikaci

Je velmi důležité udržovat vše aktuální. Svět se mění každým dnem. Svět IT se mění ještě rychleji. Každý den se objevují nové slabiny a vytvářejí se nové bezpečnostní protokoly. Pokud používáte zastaralé aplikace - zvyšujete riziko útoků nebo podvodu prostřednictvím svého serveru. Kdy jste naposledy aktualizovali své rubygemy?

6. Buďte opatrní s nahranými soubory

Doporučujeme definovat rozsahy souborů, které je možné nahrát na váš server. Můžete to provést jak z webového serveru, tak zevnitř (Snadné) Redmine (Správa >> Nastavení >> Soubory). Jak omezit nebo povolit konkrétní přípony souborů v nginx naleznete zde - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3. Pokud máte nastavení na obou současně, vyhrává webový server.
Další možností je nasadit antivirový program a zkontrolovat všechny nahrané soubory na serveru. Jedna volná volba je ClamAV.

To není vše...

Tyto tipy jsou minimum, které umožňuje správci Redmine klidně spát - aplikace je zabezpečená. V případě potřeby však můžete přirozeně přidat další vrstvy ochrany (proxy, reverzní proxy, VPN, filtr IP atd.)