This is automatic translation. If you do not like it, switch to English or another language. Thank you for understanding. OK Show original
Treść

Bezpieczny serwer Redmine - Wskazówki dotyczące bezpieczeństwa aplikacji sieci Web

Dajemy kilka rad (w tym mocne rekomendacje), jak zachować (Łatwość) Redmine jest bezpieczny i odporny. Niektóre wskazówki mogą wydawać się oczywiste, jednak dobra lista kontrolna powinna zawierać wszystko.

Bezpieczeństwo danych zawsze ma znaczenie dla wszystkich typów organizacji i oprogramowania. Przez długi czas bezpieczeństwo danych było również jednym z najczęściej omawiane tematy biznesowe. Im bardziej zaawansowana technologia, której używamy, tym wyższy poziom danych i ochrona aplikacji jest ogólnie oczekiwany i potrzebny. Dlaczego więc nie doceniać ryzyka, jeśli istnieje łatwe rozwiązanie dla Redmine? Zabezpiecz swój biznes dzięki Easy Redmine już dziś. Oto jak.

Zacznij Free Trial
i zabezpieczyć Redmine już dziś

1. Użyj połączenia HTTPS

  • Utwórz samopodpisany certyfikat lub kup zaufany. Instrukcje dotyczące sposobu tworzenia certyfikatu z podpisem własnym można znaleźć tutaj.
  • Skonfiguruj swój serwer internetowy, aby poprawnie utrzymywał bezpieczne połączenie. Całkowicie ogranicz żądania z portów 80 lub 8080 lub skonfiguruj odpowiednie ich routing do bezpiecznego portu. Szczegółowe instrukcje bezpiecznej konfiguracji Nginx są dostępne bezpośrednio w pakiecie instalacyjnym Easy Redmine pod doc / INSTALL.
  • W ustawieniach (Łatwy) Redmine (Administracja >> Ustawienia) ustaw prawidłowy typ protokołu (HTTPS). To bardzo ważny, ale często pomijany punkt. Pamiętaj, że nie wszystkie wtyczki Redmine używają prawidłowych tras z systemu. Niektóre z nich szukają tylko tego konkretnego ustawienia, aby określić, jakiego protokołu należy użyć. To nie jest poprawne, ale się zdarza. Dlatego lepiej mieć pewność, że protokół będzie zawsze HTTPS.
  • Aby zweryfikować jakość konfiguracji SSL, możesz użyć narzędzi takich jak ten.
  • Jeśli są jakieś obrazy lub inne dane, które pobierasz z innych witryn (na przykład logo, źródła obrazów), upewnij się, że używają one również protokołu HTTPS. W przeciwnym razie może teoretycznie spowodować niejasne naruszenie w systemie. Możesz łatwo sprawdzić, czy wszystko jest w porządku z witryną, czy nie. Jeśli są jakieś źródła z HTTP, twoja przeglądarka podświetli twój protokół kolorem czerwonym, a czasem może zostać przekreślony. Ale ogólnie rzecz biorąc, ten ostatni punkt dotyczy głównie edukacji i dyscypliny użytkowników. Niektórych rzeczy nie można wymusić.

2. Sprawdź i podziel uprawnienia

  • Upewnij się, że aplikacja nie działa z poziomu katalogu głównego (przynajmniej foldery publiczne, tmp, pliki, log). Zdecydowanie zalecamy zainstalowanie całej aplikacji + ruby ​​od konkretnego użytkownika.
  • Upewnij się, że nie masz uprawnień takich jak 777 dla dowolnego folderu aplikacji. Optymalne uprawnienia to 755 lub dla niektórych plików 644.

3. Nieużywane porty powinny być zamknięte

  • Poproś administratorów systemu lub dostawców hostingu o zamknięcie wszystkich nieużywanych portów. Otwórz je tylko na wypadek konieczności aktualizacji systemu, ruby ​​lub aplikacji.

4. Używaj silnych haseł

  • Upewnij się, że nie używasz tego samego hasła dla użytkownika serwera root, użytkownika root bazy danych, użytkownika serwera aplikacji, użytkownika aplikacji bazy danych oraz administratora lub jakiegokolwiek innego użytkownika w aplikacji.
  • Wszystkie hasła powinny być różne, wystarczająco długie - przynajmniej symbole 15, zawierające litery, cyfry i symbole specjalne ... lub po prostu tylko długo. Nie popadaj w letarg i upewnij się, że zmieniasz hasła przynajmniej w aplikacji przynajmniej co miesiąc 6.
  • Więcej o hasłach i uwierzytelnianiu w Easy Redmine zostało przedstawione w naszej przeszłości Webinarium RODO (poniżej) i Baza wiedzy.

5. Regularnie aktualizuj swój serwer i aplikację

  • Bardzo ważne jest, aby wszystko było aktualne. Świat zmienia się każdego dnia. Świat IT zmienia się jeszcze szybciej.
  • Każdego dnia pojawiają się nowe słabości i tworzone są nowe protokoły bezpieczeństwa. Jeśli korzystasz z przestarzałych aplikacji - zwiększasz ryzyko ataków lub oszustw za pośrednictwem serwera. Kiedy ostatnio aktualizujesz RubyGems?

6. Uważaj na przesyłane pliki

  • Zalecamy zdefiniowanie rozszerzeń plików, które można przesyłać na serwer. Możesz to zrobić zarówno na swoim serwerze internetowym, jak i wewnątrz (Łatwy) Redmine (Administracja >> Ustawienia >> Pliki). Jak ograniczyć lub zezwolić na określone rozszerzenia plików w Nginx, które możesz znaleźć tutaj. Jeśli masz oba ustawienia jednocześnie, wygrywa serwer WWW.
  • Inną opcją jest wdrożenie programu antywirusowego, aby sprawdzić wszystkie przesłane pliki na serwerze. Jedną z bezpłatnych opcji jest ClamAV.

To nie wszystko...

Te wskazówki to minimum, które pozwala administratorowi Redmine spać spokojnie - aplikacja jest bezpieczna. Ale oczywiście możesz dodać więcej warstw ochrony w razie potrzeby (proxy, odwrotne proxy, VPN, filtr IP itp.).

Możemy wziąć odpowiedzialność za bezpieczeństwo całego serwera i wdrożyć numer dodatkowych środków bezpieczeństwa dla ciebie na Redmine Private Cloud. Jeśli masz jakieś pytania, Ten adres pocztowy jest chroniony przed spamowaniem. W przeglądarce musi być włączona obsługa JavaScript, żeby go zobaczyć.. Zrób swój Redmine odpowiednio zabezpieczone dzięki Easy Redmine.

Autor: Lukáš Beňa, Robert Kováčik

Dodatkowe informacje
Free Trial

Łatwy upgrade Redmine 10
Najlepsze wtyczki i funkcje
Nowy i mobilny projekt
Uaktualnienia serwera
Globalna chmura

Zacznij Free Trial

Wypróbuj Easy Redmine w 30-dniowej bezpłatnej wersji próbnej

Pełne, 30 Dni, chronione przez SSL, codzienne archiwizacje, w Twojej lokalizacji geograficznej

or