Πώς να διατηρήσετε τον διακομιστή Redmine σας ασφαλή

0. Εισαγωγή

Σε αυτό το άρθρο θα βρείτε μερικές συμβουλές (συμπεριλαμβανομένων ισχυρών συστάσεων) πώς να διατηρήσετε το (Easy) Redmine σας ασφαλές και ανθεκτικό. Μερικές συμβουλές μπορεί να φαίνονται προφανείς, αλλά μια καλή λίστα ελέγχου πρέπει να περιέχει τα πάντα.

1. Χρησιμοποιήστε τη σύνδεση https

- δημιουργήστε πιστοποιητικό με αυτο-υπογραφή ή αγοράστε ένα αξιόπιστο. Οδηγίες σχετικά με τη δημιουργία πιστοποιητικού με αυτο -υπογραφή μπορείτε να βρείτε εδώ - https://devcenter.heroku.com/articles/ssl-certificate-self
- ρυθμίστε τον διακομιστή ιστού σας για να διατηρείται σωστά η ασφαλής σύνδεση. Περιορίστε πλήρως τα αιτήματα από 80 ή 8080 θύρες ή ρυθμίστε τη σωστή δρομολόγησή τους σε ασφαλή θύρα. Λεπτομερείς οδηγίες για ασφαλή διαμόρφωση nginx διατίθενται απευθείας στο πακέτο εγκατάστασης Easy Redmine στο doc/INSTALL.
- στις (Εύκολες) ρυθμίσεις Redmine (Διαχείριση >> Ρυθμίσεις) ρυθμίστε τον σωστό τύπο πρωτοκόλλου (HTTPS). Είναι ένα πολύ σημαντικό αλλά συχνά παραλειπόμενο σημείο. Λάβετε υπόψη ότι δεν χρησιμοποιούν όλες οι προσθήκες Redmine σωστές διαδρομές από το σύστημα. Μερικά από αυτά αναζητούν μόνο αυτήν τη συγκεκριμένη ρύθμιση για να καθορίσουν ποιο πρωτόκολλο πρέπει να χρησιμοποιηθεί. Δεν είναι σωστό, αλλά συμβαίνει. Είναι καλύτερα λοιπόν να είστε σίγουροι ότι το πρωτόκολλο θα είναι πάντα https.
- για να επαληθεύσετε την ποιότητα της διαμόρφωσής σας SSL, μπορείτε να χρησιμοποιήσετε εργαλεία όπως π.χ. https://www.ssllabs.com/ssltest/
- εάν υπάρχουν εικόνες ή άλλα δεδομένα που λαμβάνετε από άλλους ιστότοπους (για παράδειγμα, λογότυπα, πηγές εικόνας), βεβαιωθείτε ότι χρησιμοποιούν επίσης πρωτόκολλο https. Διαφορετικά μπορεί θεωρητικά να προκαλέσει μια σκοτεινή παραβίαση στο σύστημά σας. Μπορείτε εύκολα να ελέγξετε αν όλα είναι εντάξει με τον ιστότοπό σας ή όχι. Εάν υπάρχουν πηγές από το http, το πρόγραμμα περιήγησής σας θα επισημάνει το πρωτόκολλό σας με κόκκινο χρώμα και μερικές φορές μπορεί να διαγραφεί. Συνολικά, αυτό το τελευταίο σημείο αφορά κυρίως την εκπαίδευση και την πειθαρχία των χρηστών σας. Κάποια πράγματα δεν μπορούν να εξαναγκαστούν.

2. Ελέγξτε και διαιρέστε τα δικαιώματα

- βεβαιωθείτε ότι η εφαρμογή σας δεν εκτελείται από τη ρίζα (τουλάχιστον φάκελοι δημόσιοι, tmp, αρχεία, log). Συνιστούμε ανεπιφύλακτα να εγκατασταθεί ολόκληρη η εφαρμογή + το ρουμπίνι από συγκεκριμένο χρήστη.
- βεβαιωθείτε ότι δεν έχετε δικαιώματα όπως το 777 για οποιονδήποτε φάκελο εφαρμογών. Τα βέλτιστα δικαιώματα είναι 755 ή για ορισμένα αρχεία 644.

3. Κρατήστε τις μη χρησιμοποιούμενες θύρες κλειστές

Ζητήστε από τους διαχειριστές του συστήματος ή τους παρόχους φιλοξενίας να κλείσουν όλες τις μη χρησιμοποιούμενες θύρες. Ανοίξτε τα μόνο σε περίπτωση που χρειαστεί να ενημερώσετε το σύστημα, το ρουμπίνι ή την εφαρμογή.

4. Χρησιμοποιήστε ισχυρούς κωδικούς πρόσβασης

Και βεβαιωθείτε ότι δεν χρησιμοποιείτε τον ίδιο κωδικό πρόσβασης για τον χρήστη διακομιστή ρίζας, τον χρήστη βάσης δεδομένων βάσης δεδομένων, τον χρήστη διακομιστή εφαρμογών, τον χρήστη και τον διαχειριστή εφαρμογής βάσης δεδομένων ή οποιονδήποτε άλλο χρήστη μέσα στην εφαρμογή σας. Όλοι οι κωδικοί πρόσβασης πρέπει να είναι διαφορετικοί, αρκετά μεγάλοι - τουλάχιστον 15 σύμβολα, που περιέχουν γράμματα, αριθμούς και ειδικά σύμβολα ... ή απλά απλά μεγάλα (https://xkcd.com/936/). Μην πέσετε σε κατάσταση λήθαργου και βεβαιωθείτε ότι αλλάζετε κωδικούς πρόσβασης τουλάχιστον εντός της εφαρμογής τουλάχιστον κάθε 6 μήνες.

5. Ενημερώστε τακτικά τον διακομιστή και την εφαρμογή σας

Είναι πολύ σημαντικό να διατηρείτε τα πάντα ενημερωμένα. Ο κόσμος αλλάζει κάθε μέρα. Ο κόσμος της πληροφορικής αλλάζει ακόμη πιο γρήγορα. Κάθε μέρα εντοπίζονται νέες αδυναμίες και δημιουργούνται νέα πρωτόκολλα ασφαλείας. Εάν χρησιμοποιείτε ξεπερασμένες εφαρμογές - αυξάνετε τον κίνδυνο επιθέσεων ή απάτης μέσω του διακομιστή σας. Πότε είναι η τελευταία φορά που ενημερώσατε τα rubygems σας;

6. Προσέξτε τα φορτωμένα αρχεία

Σας συνιστούμε να ορίσετε επεκτάσεις αρχείων που επιτρέπεται να μεταφορτωθούν στον διακομιστή σας. Μπορείτε να το κάνετε είτε από τον διακομιστή ιστού σας είτε από μέσα (Easy) Redmine (Διαχείριση >> Ρυθμίσεις >> Αρχεία). Πώς να περιορίσετε ή να επιτρέψετε συγκεκριμένες επεκτάσεις αρχείων στο nginx, μπορείτε να βρείτε εδώ - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3Το Εάν έχετε ρυθμίσεις και στα δύο ταυτόχρονα, κερδίζει ο διακομιστής ιστού.
Μια άλλη επιλογή είναι να αναπτύξετε ένα antivirus για να ελέγξετε όλα τα αρχεία που έχουν μεταφορτωθεί στο διακομιστή. Μια δωρεάν επιλογή είναι ClamAV.

Δεν είναι μόνο αυτό...

Αυτές οι συμβουλές είναι το ελάχιστο που επιτρέπει σε έναν διαχειριστή του Redmine να κοιμάται ειρηνικά - η εφαρμογή είναι ασφαλής. Φυσικά, μπορείτε να προσθέσετε περισσότερα επίπεδα προστασίας εάν απαιτείται (διακομιστής μεσολάβησης, αντίστροφος διακομιστής μεσολάβησης, VPN, φίλτρο IP κλπ.)