Server Redmine Sicuro - Consigli di Sicurezza per la Tua Applicazione Web

La sicurezza dei dati è sempre importante per tutti i tipi di organizzazioni e software. Da molto tempo, la sicurezza dei dati è anche uno dei temi di business più discussi. Più avanzata è la tecnologia che usiamo, maggiore è il livello di protezione dei dati e delle applicazioni generalmente atteso e necessario. Quindi, perché sottovalutare i rischi se c'è una soluzione facile per il tuo Redmine? Proteggi la tua attività con Easy Redmine oggi. Ecco come.

Inizia la prova gratuita
& proteggi il tuo Redmine oggi stesso

1. Utilizza la connessione HTTPS

• Crea un certificato auto-firmato o acquistane uno affidabile. Le istruzioni su come creare un certificato auto-firmato possono essere trovate qui.
• Configura il tuo web server per mantenere una connessione sicura in modo appropriato. Limita completamente le richieste dalle porte 80 o 8080 o configura il loro instradamento verso una porta sicura. Le istruzioni dettagliate per la configurazione sicura di Nginx sono disponibili direttamente nel pacchetto di installazione di Easy Redmine sotto doc/INSTALL.
• Nelle impostazioni del tuo (Easy) Redmine (Amministrazione >> Impostazioni), configura il tipo di protocollo corretto (HTTPS). È un punto molto importante ma spesso trascurato. Ricorda che non tutti i plugin di Redmine utilizzano le route corrette dal sistema. Alcuni di essi cercano solo questa impostazione specifica per definire quale protocollo dovrebbe essere utilizzato. Non è corretto, ma succede. Quindi è meglio essere sicuri che il protocollo sarà sempre HTTPS.
• Per verificare la qualità della tua configurazione SSL, puoi utilizzare strumenti come questo.
• Se ci sono immagini o altri dati che prendi da altri siti (ad esempio, loghi, fonti di immagini), assicurati che utilizzino anche il protocollo HTTPS. In caso contrario, teoricamente può causare una violazione oscura nel tuo sistema. Puoi facilmente verificare se tutto è a posto o meno. Se ci sono fonti da HTTP, il tuo browser evidenzierà il tuo protocollo con il colore rosso e talvolta può essere barrato. Ma in generale, quest'ultimo punto riguarda principalmente l'educazione e la disciplina dei tuoi utenti. Alcune cose non possono essere forzate.

2. Verifica e dividi le autorizzazioni

• Assicurati che la tua applicazione non stia eseguendo dal root (almeno le cartelle public, tmp, files, log). Consigliamo vivamente di installare l'intera applicazione + ruby da un utente specifico.
• Assicurati di non avere autorizzazioni come 777 per alcuna cartella dell'applicazione. Le autorizzazioni ottimali sono 755 o per alcuni file 644.

3. Tieni chiusi i porti non utilizzati

• Chiedi ai tuoi amministratori di sistema o ai fornitori di hosting di chiudere tutti i porti non utilizzati. Aprili solo nel caso in cui sia necessario aggiornare il sistema, ruby o l'applicazione.

4. Utilizza password robuste

• Assicurati di non utilizzare la stessa password per l'utente root del server, l'utente root del database, l'utente del server dell'applicazione, l'utente dell'applicazione del database e l'amministratore o qualsiasi altro utente all'interno della tua applicazione.
• Tutte le password dovrebbero essere diverse, abbastanza lunghe - almeno 15 simboli, contenenti lettere, numeri e simboli speciali...o semplicemente solo lunghe. Non cadere in uno stato di letargia e assicurati di cambiare le password almeno all'interno dell'applicazione almeno ogni 6 mesi.
• Maggiori informazioni sulle password e sull'autenticazione in Easy Redmine sono presentate nel nostro passato webinar GDPR (sotto) e nella knowledge base.

5. Aggiorna regolarmente il tuo server e l'applicazione

• È molto importante mantenere tutto aggiornato. Il mondo cambia ogni giorno. Il mondo IT cambia ancora più velocemente.
• Ogni giorno vengono scoperte nuove debolezze e creati nuovi protocolli di sicurezza. Se usi applicazioni obsolete, aumenti il rischio di attacchi o truffe attraverso il tuo server. Quando è l'ultima volta che hai aggiornato i tuoi RubyGems?

6. Sii attento con i file caricati

• Ti consigliamo di definire le estensioni di file che sono consentite per essere caricate sul tuo server. Puoi farlo sia dal tuo web server che dall'interno di (Easy) Redmine (Amministrazione >> Impostazioni >> File). Come limitare o consentire specifiche estensioni di file in Nginx puoi trovare qui. Se hai impostazioni su entrambi contemporaneamente, vince il web server.
• Un'altra opzione è quella di implementare un antivirus per verificare tutti i file caricati sul server. Una delle opzioni gratuite è ClamAV.

Non è tutto...

Questi consigli sono il minimo che permette a un amministratore di Redmine di dormire tranquillo - l'applicazione è sicura. Ma naturalmente, se necessario, è possibile aggiungere ulteriori livelli di protezione (proxy, reverse proxy, VPN, filtro IP, ecc.).

Possiamo prendere la responsabilità della sicurezza dell'intero server e implementare un numero di ulteriori misure di sicurezza per te su Redmine Private Cloud. Se hai domande, contattaci. Rendi il tuo Redmine correttamente protetto grazie a Easy Redmine.