Zmiany pomiędzy wersją 8 and wersją 9 dla AdminGuide/SecurityGuidelines

Data i czas:

05/07/20 14:41:34 (4 years temu)

Autor:

JP (IP: 83.144.106.170)

Komentarz:

--

AdminGuide/SecurityGuidelines

@@ -1 @@
-= Wytyczne bezpieczeństwa =
+= Wytyczne dla uzyskania wysokiego poziomu bezpieczeństwa serwera aplikacyjnego =
 
-W zakresie bezpieczeństwa aplikacji korzystamy z naszego kilkunastoletniego doświadczenia w tworzeniu aplikacji webowych (jako firma BetaSoft na rynku aplikacji webowych od 2003 r.), a kompetencje naszych pracowników potwierdzone są indywidualnymi certyfikatami uzyskiwanymi podczas szkoleń m.in. współpraca z firmą Niebezpiecznik.pl i konferencji (od początku powstania jesteśmy corocznym sponsorem PHPCon - największej konferencji poświęconej PHP).
+W zakresie bezpieczeństwa aplikacji webowych korzystamy z naszego kilkunastoletniego doświadczenia w tworzeniu aplikacji webowych (jako firma BetaSoft na rynku aplikacji webowych od 2003 r.), a kompetencje naszych pracowników potwierdzone są indywidualnymi certyfikatami uzyskiwanymi podczas szkoleń m.in. współpraca z firmą Niebezpiecznik.pl i konferencji (od początku powstania jesteśmy corocznym sponsorem PHPCon - największej konferencji poświęconej PHP).
 
 Wdrożenia realizowane przez naszą firmę objęte są udokumentowanymi metodykami Agile i Prince, a pracownicy je wykonujący posiadają odpowiednie certyfikaty: Agile / Prince Foundation / Practitioner. 
 Dzięki temu jesteśmy w stanie zachować najwyższe standardy bezpieczeństwa, nie tylko w odniesieniu do aplikacji i systemu operacyjnego, ale również w zakresie realizowanych usług. Potwierdzeniem naszych kompetencji są udane i referencyjne wdrożenia w wymagającym pod tym względem sektorze publicznym i obronnym.
 
-W celu zapewnienia bezpieczeństwa i ciągłości działania systemu eDokumenty jest zalecane jest wprowadzenie polityk bezpieczeństwa:
-    * polityki bezpieczeństwa serwera
-    * polityki zarządzania kopiami bezpieczeństwa
-    * polityki haseł
-    * polityki zabezpieczenia sieci
+W celu zapewnienia bezpieczeństwa i ciągłości działania systemu eDokumenty, w tym udostępnienie usługi w sieci publicznej, zalecane jest wprowadzenie poniższych zasad.
 
-= Kluczowe wymagania bezpieczeństwa środowiska aplikacyjnego =
-
-== 1. Bezpieczeństwo fizyczne ==
+== 1. Bezpieczeństwo fizyczne (nie dotyczy wirtualnych maszyn) ==
     * Dostęp do BIOS'u (Basic Input/Output System) serwera powinien być zabezpieczony hasłem.
     * Możliwość uruchamiania systemu z urządzeń innych niż wewnętrzny dysk twardy (np. USB, CD-ROM, floppy drive) powinna być zablokowana.
@@ -36 +30 @@
     === 4.1 Firewall ===
      * Dostęp do serwera przez sieć powinien być zabezpieczony firewall'em, jeśli to możliwe serwer powinien znajdować się w DMZ
-     * Usługa SSH powinna być dostępna tylko dla ograniczonej liczby adresów IP.
+     * Usługa SSH powinna być dostępna tylko dla ograniczonej liczby adresów IP lub wyłącznie dla połączeń VPN.
      * Dostęp do HTTPS powinien być ograniczony dla wybranych prefiksów adresów IP (geolokalizacja adresów IP).
      * Protokół IPv6 jeśli nie jest używany powinien być wyłączny.
      * Przekazywanie pakietów między interfejsami sieciowymi powinno być wyłączone (IP forwarding).
+   
     === 4.2 Zdalny dostęp przez SSH ===
      * Domyślny port 22 powinien być zmieniony na inny np. 2134.
@@ -63 +58 @@
   * Komunikacja sieciowa serwera może być dodatkowo zabezpieczona za pomocą systemów IPS/IDS (np. Snort).
 
+== 8. Zabezpieczenie oprogramowania serwera aplikacyjnego ==
+   * Apache ...
+   * PHP
 
-= Kluczowe wymagania bezpieczeństwa aplikacji =
+== 9. Zabezpieczenia aplikacji eDokumenty/Ready_™ ==
 
-W celu zapewnienia bezpieczeństwa aplikacji, podczas jej tworzenia stosowane są w praktyce zasady bezpieczeństwa wynikające z najnowszych standardów i wypracowane w trakcie wieloletnich doświadczeń w tworzeniu webowych systemów zarządzania informacjami. 
+    * Opcje do włączenia/sprawdzenia w config.inc
 
-Bezpieczeństwo danych zapewnione jest na kilku poziomach. Na poziomie platformy za pomocą ściśle przestrzeganych zasad tworzenia aplikacji webowych i restrykcyjnych ustawień serwera. Wszystkie zasady zebrane są w formie rozbudowanej checklisty, wg której weryfikowane są tworzone komponenty systemu. Checklista w swoim zakresie w większości odpowiada obecnemu standardowi OWASP Level 2.
+== 10. Weryfikacja checklisty OWASP ==
+
+Kluczowe wytyczne standardu bezpieczeństwa OWASP zostały zebrane są w formie checklisty, wg której weryfikowane są tworzone komponenty systemu. Checklista w swoim zakresie w większości odpowiada obecnemu standardowi OWASP Level 2.