Hur du håller din Redmine -server säker

säkerhet

0. Inledning

I den här artikeln hittar du några råd (inklusive starka rekommendationer) om hur du håller din (Easy) Redmine säker och motståndskraftig. Vissa tips kan verka självklara, men en bra checklista bör innehålla allt.

1. Använd https -anslutning

- skapa självsignerat certifikat eller köp ett pålitligt. Instruktion om hur du skapar ett självsignerat certifikat hittar du här - https://devcenter.heroku.com/articles/ssl-certificate-self
- konfigurera din webbserver för att hålla säker anslutning korrekt. Begränsa förfrågningar från 80 eller 8080 portar helt eller ställ in korrekt routning av dem till säker port. Detaljerade instruktioner för säker nginx -konfiguration finns direkt i Easy Redmine -installationspaketet under doc/INSTALL.
- i dina (enkla) Redmine -inställningar (Administration >> Inställningar) ställer du in korrekt protokollstyp (HTTPS). Det är en mycket viktig men ofta missad punkt. Kom ihåg att inte alla Redmine -plugins använder rätta rutter från systemet. Några av dem letar bara efter den här specifika inställningen för att definiera vilket protokoll som ska användas. Det är inte korrekt, men det händer. Så det är bättre att vara säker på att protokollet alltid kommer att vara https.
- för att verifiera kvaliteten på din SSL -konfiguration kan du använda verktyg som t.ex. https://www.ssllabs.com/ssltest/
- om det finns bilder eller annan data som du tar från andra webbplatser (till exempel logotyper, bildkällor), se till att de också använder https -protokollet. Annars kan det teoretiskt orsaka ett otydligt brott i ditt system. Du kan enkelt kontrollera om allt är ok med din webbplats eller inte. Om det finns några källor från http kommer din webbläsare att markera ditt protokoll med röd färg och ibland kan det strykas över. Men totalt sett handlar den sista punkten mest om utbildning och disciplin för dina användare. Vissa saker kan inte tvingas fram.

2. Kontrollera och dela behörigheter

- se till att din applikation inte körs från root (åtminstone offentliga mappar, tmp, filer, logg). Vi rekommenderar starkt att hela applikationen + rubin installeras från en specifik användare.
- se till att du inte har behörigheter som 777 för någon applikationsmapp. Optimala behörigheter är 755, eller för vissa filer 644.

3. Håll icke-använda portar stängda

Be dina systemadministratörer eller webbhotell att stänga alla portar som inte används. Öppna dem bara om du behöver uppdatera systemet, rubin eller applikationen.

4. Använd starka lösenord

Och se till att du inte använder samma lösenord för din rotserveranvändare, rotdatabasanvändare, applikationsserveranvändare, databasapplikationsanvändare och admin eller någon annan användare i din applikation. Alla lösenord ska vara olika, tillräckligt långa - minst 15 symboler, innehållande bokstäver, siffror och specialsymboler ... eller helt enkelt bara långa (https://xkcd.com/936/). Kom inte in i slöhet och se till att du byter lösenord åtminstone i programmet minst var sjätte månad.

5. Uppdatera din server och applikation regelbundet

Det är mycket viktigt att hålla allt uppdaterat. Världen förändras varje dag. IT -världen förändras ännu snabbare. Varje dag upptäcks nya svagheter och nya säkerhetsprotokoll skapas. Om du använder föråldrade program ökar du risken för attacker eller bluffar via din server. När är sista gången du uppdaterade dina rubygems?

6. Var försiktig med uppladdade filer

Vi rekommenderar dig att definiera filstorlekar som får laddas upp till din server. Du kan göra det både från din webbserver eller från (Easy) Redmine (Adminsitration >> Inställningar >> Filer). Hur man begränsar eller tillåter specifika filtillägg i nginx som du kan hitta här - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3. Om du har inställningar på båda samtidigt vinner webbservern.
Ett annat alternativ är att distribuera ett antivirusprogram för att kontrollera alla uppladdade filer på servern. Ett gratis alternativ är ClamAV.

Det är inte allt...

Dessa tips är det minsta som gör att en Redmine -administratör kan sova lugnt - programmet är säkert. Men naturligtvis kan du lägga till fler lager av skydd om det behövs (proxy, omvänd proxy, VPN, IP -filter, etc.)