Redmine sunucunuzu nasıl güvende tutabilirsiniz?

0. Giriş

Bu makalede (Easy) Redmine'inizi nasıl güvenli ve dayanıklı tutacağınıza dair bazı tavsiyeler (güçlü tavsiyeler dahil) bulacaksınız. Bazı ipuçları bariz görünebilir, ancak iyi bir kontrol listesi her şeyi içermelidir.

1. https bağlantısını kullanın

- kendinden imzalı sertifika oluşturun veya güvenilir bir sertifika satın alın. Kendinden imzalı sertifika oluşturma talimatı burada bulunabilir - https://devcenter.heroku.com/articles/ssl-certificate-self
- web sunucunuzu güvenli bağlantıyı uygun şekilde tutacak şekilde ayarlayın. 80 veya 8080 bağlantı noktalarından gelen istekleri tamamen kısıtlayın veya güvenli bağlantı noktasına doğru yönlendirmeyi ayarlayın. Güvenli nginx yapılandırması için ayrıntılı talimatlar, doc/INSTALL altındaki Easy Redmine kurulum paketinde doğrudan mevcuttur.
- (Kolay) Redmine ayarlarınızda (Yönetim >> Ayarlar) doğru protokol türünü (HTTPS) ayarlayın. Bu çok önemli ama çoğu zaman kaçırılan bir nokta. Lütfen tüm Redmine eklentilerinin sistemden doğru yolları kullanmadığını unutmayın. Bazıları, hangi protokolün kullanılması gerektiğini tanımlamak için yalnızca bu özel ayarı arar. Doğru değil ama oluyor. Bu yüzden protokolün her zaman https olacağından emin olmak daha iyidir.
- SSL yapılandırmanızın kalitesini doğrulamak için aşağıdaki gibi araçları kullanabilirsiniz. https://www.ssllabs.com/ssltest/
- Başka sitelerden (örneğin logolar, resim kaynakları) aldığınız herhangi bir resim veya başka veri varsa, bunların da https protokolünü kullandığından emin olun. Aksi takdirde teorik olarak sisteminizde belirsiz bir ihlale neden olabilir. Sitenizde her şeyin yolunda olup olmadığını kolayca kontrol edebilirsiniz. Http'den herhangi bir kaynak varsa, tarayıcınız protokolünüzü kırmızı renkle vurgulayacaktır ve bazen üstü çizilebilir. Ancak genel olarak, bu son nokta daha çok kullanıcılarınızın eğitimi ve disiplini ile ilgilidir. Bazı şeyler zorlanamaz.

2. İzinleri kontrol et ve böl

- uygulamanızın kökten çalışmadığından emin olun (en azından genel klasörler, tmp, dosyalar, günlük). Tüm uygulamanın + Ruby'nin belirli bir kullanıcıdan yüklenmesini şiddetle tavsiye ederiz.
- herhangi bir uygulama klasörü için 777 gibi izinlerinizin olmadığından emin olun. En uygun izinler 755 veya bazı dosyalar için 644'tür.

3. Kullanılmayan bağlantı noktalarını kapalı tutun

Kullanılmayan tüm bağlantı noktalarını kapatmalarını sistem yöneticilerinizden veya barındırma sağlayıcılarınızdan isteyin. Bunları yalnızca sistemi, yakutu veya uygulamayı güncellemeniz gerektiğinde açın.

4. Güçlü şifreler kullanın

Ayrıca kök sunucu kullanıcınız, kök veritabanı kullanıcınız, uygulama sunucusu kullanıcınız, veritabanı uygulaması kullanıcınız ve yöneticiniz veya uygulamanızın içindeki başka herhangi bir kullanıcı için aynı parolayı kullanmadığınızdan emin olun. Tüm şifreler farklı, yeterince uzun olmalıdır - harfler, sayılar ve özel semboller içeren en az 15 sembol... veya sadece uzun (https://xkcd.com/936/). Uyuşukluk durumuna düşmeyin ve en az 6 ayda bir en az uygulama içinde şifreleri değiştirdiğinizden emin olun.

5. Sunucunuzu ve uygulamanızı düzenli olarak güncelleyin

Her şeyi güncel tutmak çok önemlidir. Dünya her gün değişiyor. BT dünyası daha da hızlı değişiyor. Her gün yeni zayıflıklar bulunur ve yeni güvenlik protokolleri oluşturulur. Eski uygulamalar kullanıyorsanız - sunucunuz üzerinden saldırı veya dolandırıcılık riskini artırırsınız. Rubygems'inizi en son ne zaman güncellediniz?

6. Yüklenen dosyalara dikkat edin

Sunucunuza yüklenmesine izin verilen dosya uzantılarını tanımlamanızı öneririz. Bunu hem web sunucunuzdan hem de içeriden (Kolay) Redmine'den (Yönetim >> Ayarlar >> Dosyalar) yapabilirsiniz. Burada bulabileceğiniz nginx'te belirli dosya uzantılarını nasıl kısıtlayabilir veya bunlara izin verebilirsiniz - https://www.ruby-forum.com/t/only-allow-certain-file-extensions/161296/3. Her ikisinde de aynı anda ayarlarınız varsa, web sunucusu kazanır.
Başka bir seçenek de sunucuya yüklenen tüm dosyaları kontrol etmek için bir virüsten koruma yazılımı dağıtmaktır. Bir ücretsiz seçenek Clam AV.

Hepsi bu değil...

Bu ipuçları, bir Redmine yöneticisinin huzur içinde uyumasına izin veren minimum değerlerdir - uygulama güvenlidir. Ancak doğal olarak, gerekirse daha fazla koruma katmanı ekleyebilirsiniz (proxy, ters proxy, VPN, IP filtresi vb.)