Eiti prie turinio 
Užtikrinu prieigą prie "Plesk plesk naudotojo teisės ir aiškiai apibrėžti vaidmenis. Taip galiu kontroliuoti užduotis, sumažinti atakų sritis ir užtikrinti visų pakeitimų atsekamumą.
Centriniai taškai
- Ritinėliai Švariai atskirti
- Minimalios teisės Griežtai įgyvendinti
- Protokolai Nuolat tikrinkite
- Duomenų bazės Apsaugokite atskirai
- Ugniasienė ir naudoti MFA
Kodėl teisių valdymas "Plesk" sistemoje yra svarbus
Teisingai nustatyti leidimai apsaugo nuo veikimo klaidų ir padeda išlaikyti Atakos per atstumą. Kiekvienas nereikalingas leidimas atveria galimus kelius į sistemą, todėl man reikia aiškių kiekvienos užduoties ribų. "Plesk" leidžia labai tiksliai kontroliuoti, todėl galiu tiksliai apibrėžti, ką paskyrai leidžiama daryti, o kas lieka griežtai uždrausta. Toks atskyrimas sumažina riziką, apsaugo slaptus duomenis ir padidina kiekvieno vaidmens atsakomybę [2][1][3]. Tai leidžia man veikti užtikrintai, išlaikyti apžvalgą ir greitai reaguoti kilus kritinei situacijai. Ryškūs bruožai.
Aiškiai atskirti vaidmenys "Plesk
Aiškiai paskiriu atsakomybę: savininkas valdo viską, administratorius turi plačias teises, o naudotojams suteikiamos tik konkrečių užduočių funkcijos. Taigi strategija priklauso savininkui, kasdienis darbas - administratoriui, o įgyvendinimas - naudotojų paskyroms. Pavyzdžiui, redaktoriams reikia prieigos prie failų ir TVS, bet ne prieigos prie DNS ar prieglobos nustatymų. Grynai duomenų bazės paskyra veikia atskirai nuo žiniatinklio ir pašto funkcijų, todėl išlieka griežtai apribota [3]. Tokia aiški organizacija sukuria Skaidrumas ir vengia Prieigos klaidos.
Tiksliai sureguliuokite teises: Ką kiekvienas vaidmuo gali daryti
Sąmoningai leidimus nustatau taupiai, kad kiekvienas vaidmuo gautų būtent tai, ko jam reikia. Tai apima svetainių kūrimą, domenų, el. pašto funkcijų, žurnalų rotacijos, nepageidaujamų laiškų filtrų ir duomenų bazių valdymą. Programoje "Plesk" leidžiu arba blokuoju kiekvieną leidimą atskirai - tai taikoma standartinėms funkcijoms ir jautriems nustatymams. Taip sukuriama aiški komandinio darbo sistema be abipusio kišimosi. Ši apžvalga man padeda Vertinimas tipiškesnis Patvirtinimai:
| Funkcija | Savininkas | Administratorius | Vartotojas | DB paskyra |
|---|---|---|---|---|
| Tvarkyti prenumeratas | Taip | Taip | Ne | Ne |
| Redaguoti domenus / subdomenus | Taip | Taip | Apribota | Ne |
| Web failai/FTP | Taip | Taip | Apribota | Ne |
| Tvarkykite el. pašto paskyras | Taip | Taip | Apribota | Ne |
| Protokolo rotacija | Taip | Taip | Ne | Ne |
| Pritaikykite nepageidaujamų laiškų filtrą | Taip | Taip | Apribota | Ne |
| Tvarkyti duomenų bazes | Taip | Taip | Apribota | Taip (tik DB) |
Žingsnis po žingsnio: vaidmenų kūrimas ir priskyrimas
Atidarau "Plesk", einu į "Vartotojai" ir susikuriu naują vaidmenį skiltyje "Vartotojų vaidmenys". Tada individualiai priskiriu teises, patikrinu ribinius atvejus ir išsaugau vaidmenį tik tada, kai kiekvienas nustatymas yra aiškiai pagrįstas [1][4][5]. Tada priskiriu vaidmenį norimai naudotojo paskyrai ir išbandau prieigą su atskiru prisijungimu. Taip galiu iš karto atpažinti per plačias teises ir sugriežtinti nustatymus. Papildomam sugriežtinimui naudoju apžvalgą "Plesk Obsidian Security ir pridėti trūkstamas apsaugos priemones be Apylankos arba Spragos.
Išlaikykite švarias naudotojų paskyras
Kiekvienai paskyrai suteikiamas vaidmuo, atitinkantis faktines užduotis, ir vengiu dubliuojančių vaidmenų. Redaktorius gauna prieigą prie failų ir TVS, bet neturi prieigos prie DNS, atsarginių kopijų ar prieglobos nustatymų. Pagalbinė paskyra gali iš naujo nustatyti slaptažodžius, bet negali kurti naujų prenumeratų. Nuolat šalinu senas arba nenaudojamas paskyras, nes neveikiančios paskyros kelia pavojų. Dėl to naudotojų administravimas išlieka taupus, apžvalga - didelė, o Prieiga nuoseklus ribotas [3][4].
Saugi prieiga prie duomenų bazės
Sukūriau atskiras DB paskyras su aiškiais duomenų bazių įgaliojimais: Skaitymas ir rašymas, tik skaitymas arba tik rašymas. Naudodamasis "MySQL", jei reikia, suteikiu smulkesnes teises, pavyzdžiui, lentelės lygmeniu, kad paskyra iš tikrųjų atliktų tik savo užduotį. Atsarginėms kopijoms kurti naudoju savo DB naudotojus, kurie neturi jokių keitimo teisių ir kurių slaptažodžiai yra trumpalaikiai. IP autorizacijas DB prieigai naudoju retai ir reguliariai tikrinu prisijungimus. Ši disciplina apsaugo duomenų bazes, sumažina žalą ir sustiprina Atitiktis per Atskyrimas [6].
Saugi prieiga: MFA, IP akcijos, ugniasienė
Įjungiu daugiafaktorinį autentifikavimą, nustatau griežtą slaptažodžių politiką ir, jei reikia, apriboju prisijungimus per IP filtrus. Leidžiu tik administratoriaus prisijungimus iš nustatytų tinklų ir žurnaluose stebiu nesėkmingus bandymus. Švari ugniasienės politika blokuoja nereikalingus prievadus ir akivaizdžiai sumažina atakų galimybes. Nustatymui naudoju "Plesk" užkardos vadovaskad taisyklės būtų nuoseklios. Taip apsaugau išorinį perimetrą ir palaikau Teisės su techninėmis Valdymas.
Naudojimo protokolai ir stebėsena
Reguliariai tikrinu prieigos žurnalus, lyginu laiką, IP adresus ir veiksmus bei nedelsdamas reaguoju į anomalijas. Laikinai užblokuoju įtartinas paskyras, atšaukiu teises ir tikrinu priežastis naudodamasis aiškiais kontroliniais sąrašais. Plesk pateikia žurnalus ir statistiką, kad galėčiau atpažinti naudojimo modelius ir geriau planuoti pajėgumus [2]. Ši analizė leidžia pastebėti piktnaudžiavimą ir parodo šalutinį pernelyg plačių teisių poveikį. Geri vertinimo įpročiai padidina Ankstyvas aptikimas ir sutrumpinti Reakcijos laikas.
Geriausia praktika, kuri išlaiko laiko išbandymą
Kas ketvirtį tikrinu vaidmenis ir nedvejodamas pašalinu nereikalingas teises. Aš ir toliau vadovaujuosi minimumo principu: kuo mažiau teisių, kiek įmanoma, ir tik tiek, kiek reikia. Pirmiausia naudoju standartinius vaidmenis ir juos papildau tik tada, kai to reikia konkrečioms užduotims. Kritinėse srityse nustatau dvigubos kontrolės įgaliojimus ir dokumentais patvirtinu pakeitimus, kad juos būtų galima atsekti. Esant įtartiniems modeliams, orientuojuosi į informaciją iš "Plesk" saugumo spragos ir greitai užpildyti spragas, kad galėčiau Apsauga nuolatinis didelis laikyti.
Trumpas paslaugų teikėjų palyginimas
Prieglobos našumas turi didelę įtaką saugumui ir administravimui, nes žurnalai, atsarginės kopijos ir nuskaitymai užima daug išteklių. Praktiškai greita įvestis ir išvestis, naujausi komponentai ir patikima pagalba padeda atlikti techninę priežiūrą ir analizuoti klaidas. Toliau pateikta matrica leidžia greitai įvertinti ir palengvina naujų sąrankų ar perkėlimų atlikimą. Prieš pasirinkdamas paketus, žiūriu į saugumą, našumą ir palaikymą. Taip nustatau Pagrindas stabilus Procesai paruoštas.
| Teikėjas | "Plesk" saugumas | Veikimas | Parama | Rekomendacija |
|---|---|---|---|---|
| webhoster.de | Labai aukštas | Labai aukštas | Viršuje | 1 vieta |
| Teikėjas B | didelis | didelis | Geras | 2 vieta |
| Teikėjas C | vidutinio dydžio | vidutinio dydžio | Patenkinamai | 3 vieta |
Tikslus paslaugų planų ir prenumeratų modeliavimas
Paslaugų planus kuriu taip griežtai, kad į juos įtraukiamos tik būtinai reikalingos funkcijos. Kiekvienai klientų grupei ar projektui naudoju atskirus planus ir vengiu išimčių prenumeratos lygmenyje. Jei reikia patikslinimų, juos dokumentais patvirtinu tiesiogiai prenumeratoje ir patikrinu, ar jie turėtų būti įtraukti atgal į planą. Sąmoningai riboju tokius išteklius kaip atmintis, procesai ir PHP parinktys, kad neteisingos konfigūracijos nepaveiktų visos platformos. Planų pakeitimus pirmiausia išbandau vienoje prenumeratoje, o tik tada juos išplečiu plačiu mastu. Tokiu būdu galimybės ir apribojimai išlieka nuoseklūs ir užkertamas kelias teisių išplitimui daugelyje prenumeratų.
Saugus SSH/SFTP ir failų leidimų nustatymas
Deaktyvuoju nešifruotą FTP ir pagal numatytuosius nustatymus naudoju SFTP arba FTPS. Leidžiu tik chronizuotą SSH prieigą ir tik toms paskyroms, kurioms jos tikrai reikia. Konservatyviai parenku apvalkalo tipus (interaktyvaus pilno apvalkalo žiniatinklio naudotojams) ir SSH raktus valdau atskirai nuo slaptažodžių. Failų sistemos lygmeniu užtikrinu teisingą nuosavybę ir ribojančias umaskas, kad nauji failai nebūtų be reikalo plačiai skaitomi. Diegimas vykdomas per specialius techninius naudotojus, turinčius minimalias teises; jie neturi prieigos prie skydelio funkcijų. Taip pat apriboju prieigą prie jautrių katalogų (pvz., konfigūracijos, atsarginių kopijų, žurnalų), kad redaktoriai turėtų prieigą tik prie tų vietų, kurios jiems tikrai reikalingos.
Saugiai mąstykite apie automatizavimą: API, CLI ir scenarijai
Automatizavimui naudoju atskiras technines paskyras ir API žetonus, kurių taikymo sritis labai ribota. Žetonai niekada nėra saugomi pradiniame kode, o saugiuose kintamuosiuose arba saugyklose ir yra reguliariai keičiami. Vykdau scenarijus su aiškiai apibrėžtais keliais ir minimaliais aplinkos kintamaisiais, žurnalai patenka į specialius žurnalų failus su tinkamomis rotacijos taisyklėmis. Plesk CLI komandoms išleidžiu tik tuos parametrus, kurių būtinai reikia užduočiai, ir atskiriu skaitymo ir rašymo procesus. Kiekvienam automatiniam paleidimui suteikiamas unikalus identifikatorius, kad galėčiau jį iš karto priskirti žurnalams. Taip galiu didinti pasikartojančių užduočių mastą neprarasdamas autorizacijų kontrolės.
Tikslingai apribokite "WordPress" ir programų valdymą
Jei redaktoriai dirba su TVS, leidžiu jiems valdyti tik atitinkamą egzempliorių, bet ne visuotines prieglobos parinktis. Įskiepių ir temų diegimą susieju su patvirtinimais, o automatinius atnaujinimus kontroliuoju centralizuotai ir juos registruoju. Švariai atskiriu bandomuosius egzempliorius nuo gamybinių, kad bandymai neliestų gyvų duomenų. Importo ir klonavimo funkcijas naudoju tik tuo atveju, jei yra tinkama saugojimo vieta ir aiškios tikslinės aplinkos teisės. Taip patogios funkcijos išlieka tinkamos naudoti netyčia nepažeidžiant saugumo apribojimų.
Atskiros atsarginės kopijos, atkūrimas ir stadija
Atsarginių kopijų kūrimą, atsisiuntimą ir atkūrimą suskirsčiau į skirtingas atsakomybes. Kas įgaliotas kurti atsargines kopijas, negali jų automatiškai atkurti, ir atvirkščiai. Šifruoju atsargines kopijas, nustatau saugojimo laikotarpius ir reguliariai tikrinu, ar atkūrimo darbai tinkamai veikia bandomojoje aplinkoje. Išorinių taikinių (pvz., saugyklos) prieigos duomenis laikau atskirai ir tam naudoju atskiras, minimaliai autorizuotas paskyras. Kadangi atsarginėse kopijose yra slaptų duomenų, registruoju atsisiuntimus ir perspėju apie neįprastą prieigą. Tokiu būdu atsarginės duomenų kopijos tampa saugumo priemone, o ne rizika.
Kontroliuokite suplanuotas užduotis (cron)
Nustatau aiškius "cronjobs" programos vaidmenis: Kas gali kurti, kas gali keisti, kas gali vykdyti. Nustatau fiksuotus kelius, minimalistinius PATH kintamuosius ir apriboju vykdymo laiką, kad procesai neišsiblaškytų. Išvestis patenka į žurnalo failus, kuriuos keičiu ir stebiu; vengiu siųsti laiškus į root, kad niekas nepasimestų. Riboju išorinius iškvietimus (wget/curl) ir dokumentais patvirtinu, kam jie naudojami. Tokiu būdu automatikos veiksmai išlieka atsekami, o kilus abejonių juos galima greitai sustabdyti.
Aiškiai atskirkite perpardavėjo ir kliento operacijas
Užtikrinu, kad kelių nuomininkų aplinkoje perpardavinėtojai galėtų veikti tik savo kliento erdvėje. Klientams pritaikau standartinius vaidmenis, kad jie negalėtų kurti kryžminių sąsajų su kitomis prenumeratomis. Vengiu bendrų naudotojų keliose prenumeratose - vietoj to kiekvienam projektui nustatau aiškias paskyras ir vaidmenis. Toks drausmingas atskyrimas užkerta kelią šoniniam judėjimui sistemoje ir gerokai palengvina atsiskaitymą bei ataskaitų teikimą.
Darbuotojų atleidimas iš darbo ir vaidmens gyvavimo ciklas
Kai žmonės palieka komandą, parengiu fiksuotą atleidimo iš darbo kontrolinį sąrašą: Užblokuokite paskyrą, pakeiskite slaptažodžius ir žetonus, pašalinkite SSH raktus, patikrinkite nukreipimus ir stebėkite prieigą žurnaluose. Tada visiškai ištrinu paskyras arba archyvuoju jas su minimaliomis teisėmis. Atšaukus užduotis, koreguoju vaidmenis, kad neliktų "tuščių" teisių. Ši higiena užtikrina inventoriaus saugumą ir neleidžia nepastebimai tęsti senų įgaliojimų.
Avarinis ir pakartotinio paleidimo planas
Jei įtariu kompromisą, veikiu nustatytais etapais: Nedelsiant blokuoju paveiktas paskyras, iš naujo nustatau slaptažodžius visame pasaulyje, apsaugau žurnalus, izoliuoju atsargines kopijas ir patikrinu sistemas, ar jose nėra svarbių atnaujinimų. Informuoju susijusius asmenis, pateikdamas aiškias instrukcijas, dokumentais patvirtinu priemones ir tik išanalizavęs situaciją palaipsniui atkuriu teises. Tada tobulinu taisykles, MFA kvotas ir stebėjimo ribas. Taip incidentas tampa privaloma mokymosi patirtimi, kuri sustiprina visą sistemą.
Didesnis duomenų bazių saugumas kasdieniame gyvenime
Be atskirų DB paskyrų, jei įmanoma, naudoju šifruotus ryšius ir specialiai įjungiu konkrečioms programoms būdingas teises. Prieigą iš išorinių tinklų leidžiu tik laikinai ir tik iš žinomų IP adresų. Slaptažodžiai turi trumpą gyvavimo ciklą; paslaugų paskyroms suteikiami atskiri įgaliojimai, kad galėčiau aiškiai sekti prieigą. Sudėtingus perkėlimus atlieku naudodamasis specialiomis paskyromis, kurios panaikinamos juos užbaigus. Tokiu būdu duomenys išlieka veiksmingai apsaugoti net ir dirbant didelėje komandoje.
Užgrūdinti ritinėliai, apsaugantys nuo tipiškų konfigūravimo klaidų
Vengiu kolektyvinių vaidmenų, kurie "saugumo sumetimais" leidžia viską. PHP nustatymų, DNS, žiniatinklio serverio konfigūracijos, pašto perdavimo ir failų tvarkyklių, kurių keliai sutampa, teisės yra ypač svarbios. Tokias parinktis leidžiu tik tada, kai užduočiai to būtinai reikia, ir visada su galiojimo terminu. Dokumentuoju laikinus padidinimus ir nustatau priminimus, kad jie neliktų visam laikui. Toks dėmesys apsaugo nuo dažniausių pasimetimų ir išlaiko sistemą valdomą.
Saugių "Plesk" naudotojų teisių pradžios kontrolinis sąrašas
- Apibrėžkite vaidmenis ir galvokite apie poreikius (minimumo principas).
- Nustatykite griežtus paslaugų planus, dokumentuokite išimtis.
- Suaktyvinkite MFA visiems skydelio prisijungimams, sugriežtinkite slaptažodžių gaires.
- SSH su slaptažodžiu, tik jei reikia; FTP nešifruotąjį FTP išjunkite.
- Duomenų bazės per atskiras paskyras, minimalios teisės, trumpi slaptažodžių ciklai.
- Užšifruokite atsargines kopijas, suteikite atskiras atkūrimo teises, reguliariai testuokite atsarginių kopijų kūrimą.
- Laikykitės nuoseklių ugniasienės taisyklių, o IP leidimų skaičius turi būti siauras.
- Tikrinkite žurnalus ir pavojaus signalus, nedelsdami spręskite anomalijas.
- Nustatykite nuolatinius išvykimo iš darbo ir skubios pagalbos procesus.
- Atlikite ketvirtinę vaidmenų peržiūrą ir pašalinkite laikinai atleistus darbuotojus.
Santrauka
"Plesk" valdau naudodamas aiškiai atskirtus vaidmenis ir taupymo teises, kad kiekviena paskyra matytų tik tai, kas būtina. Paskyrų higiena, MFA, IP filtrai ir aiški ugniasienės politika sumažina riziką ir užkerta kelią žalai. Žurnalai, pavojaus signalai ir reguliarios peržiūros apsaugo mane nuo aklųjų dėmių ir pagreitina reakciją. Duomenų bazėms sukuriu atskiras paskyras su ribotais įgaliojimais ir laikau trumpalaikius slaptažodžius. Taip apsaugoma prieiga, užtikrinamas operacijų veiksmingumas ir Apsauga kiekviename taške suprantamas.
