Как обеспечить безопасность биллинговой системы

По-умолчанию за инфраструктуру и обеспечение информационной безопасности отвечают администраторы на стороне клиента, который пользуется любым программным обеспечением, в том числе и биллингом. Однако мы как разработчики АСР Platex® хотим дать первичные рекомендации по безопасности при установке и использовании биллинговой системы.

Итак, на что нужно обращать внимание при наличии типового варианта инсталляции АСР с такими компонентами, как сервер СУБД, сервер-коллектор и веб-сервер.

Исключите физический доступ третьих лиц к серверу

Первым делом нужно убедиться, что сервер защищен физически. Также не подключайте к нему непроверенные носители. Установите пароль для входа в BIOS.

Исключите физический доступ третьих лиц к серверу

Первым делом нужно убедиться, что сервер защищен физически. Также не подключайте к нему непроверенные носители. Установите пароль для входа в BIOS.

Удалите ненужные сервисы

При первичной установке ОС на сервер в инсталляционный пакет по-умолчанию может входить множество сетевых служб, использование которых не предполагается конкретно на этом сервере. Чем больше сервисов запущено, тем больше портов будет открыто. Это дает вероятность «распахнутых дверей» на сервер для злоумышленников. Кстати, удаление ненужных сервисов повысит производительность вашего оборудования.

Удалите ненужные сервисы

При первичной установке ОС на сервер в инсталляционный пакет по-умолчанию может входить множество сетевых служб, использование которых не предполагается конкретно на этом сервере. Чем больше сервисов запущено, тем больше портов будет открыто. Это дает вероятность «распахнутых дверей» на сервер для злоумышленников. Кстати, удаление ненужных сервисов повысит производительность вашего оборудования.

Создавайте отдельное окружение под разработку и тестирование, не совмещайте его с продакшн

Одна из наиболее распространенных ошибок — вести разработку и тестирование функционала на боевых серверах. Это приводит к раскрытию ненужной отладочной информации, а также повышает риск взлома, так как новая, не до конца протестированная сборка может иметь ряд уязвимостей. Изолируйте разработку и тестирование от продакшн-среды. Так вы снизите риски взлома.

Создавайте отдельное окружение под разработку и тестирование, не совмещайте его с продакшн

Одна из наиболее распространенных ошибок — вести разработку и тестирование функционала на боевых серверах. Это приводит к раскрытию ненужной отладочной информации, а также повышает риск взлома, так как новая, не до конца протестированная сборка может иметь ряд уязвимостей. Изолируйте разработку и тестирование от продакшн-среды. Так вы снизите риски взлома.

Своевременно обновляйте ПО и зависимости

Отсутствие обновлений программного обеспечения может позволить злоумышленникам проникнуть в вашу сеть. Для предотвращения такой вероятности настройте планировщик crond, который позволит автоматизировать обновления.

Своевременно обновляйте ПО и зависимости

Отсутствие обновлений программного обеспечения может позволить злоумышленникам проникнуть в вашу сеть. Для предотвращения такой вероятности настройте планировщик crond, который позволит автоматизировать обновления.

Храните логи сервера отдельно и пользуйтесь службами мониторинга

В рамках регулярной проверки безопасности рекомендуется журналы сервера хранить отдельно, а также регулярно их отслеживать на наличие аномалий. Необычные записи в логах могут содержать информацию о попытках атаки. Можно также установить и настроить ПО «Инспектор подозрительной активности» (к примеру, fail2ban) для мониторинга и блокировки несанкционированных подключений.

Храните логи сервера отдельно и пользуйтесь службами мониторинга

В рамках регулярной проверки безопасности рекомендуется журналы сервера хранить отдельно, а также регулярно их отслеживать на наличие аномалий. Необычные записи в логах могут содержать информацию о попытках атаки. Можно также установить и настроить ПО «Инспектор подозрительной активности» (к примеру, fail2ban) для мониторинга и блокировки несанкционированных подключений.

Настройте firewall и не отключайте SELinux

Рекомендуется детально выполнить настройки iptables (это можно сделать с помощью вспомогательных инструментов, таких как firewalld в RHEL-подобных системах и UFW в Debian-подобных). Для контроля доступа (в том числе приложений к ресурсам) рекомендуется использовать SELinux. Ограничьте возможность подключения по портам для протоколов SSH, HTTPS (HTTP не рекомендуется использовать) и сервисов Oracle, PostgreSQL только доверенным адресам. Используйте защищенные протоколы (SSH, HTTPS и т.д.).

Настройте firewall и не отключайте SELinux

Рекомендуется детально выполнить настройки iptables (это можно сделать с помощью вспомогательных инструментов, таких как firewalld в RHEL-подобных системах и UFW в Debian-подобных). Для контроля доступа (в том числе приложений к ресурсам) рекомендуется использовать SELinux. Ограничьте возможность подключения по портам для протоколов SSH, HTTPS (HTTP не рекомендуется использовать) и сервисов Oracle, PostgreSQL только доверенным адресам. Используйте защищенные протоколы (SSH, HTTPS и т.д.).

Ведите учет пользователей и контролируйте привилегии доступа в файловой системе

Рекомендуется использовать различные разделы для пользовательских (каталог /home) и системных файлов. Создайте пользователя с ограниченными правами, добавьте его в группу sudo и выполняйте за него все действия, не требующие прав суперпользователя. Заблокируйте возможность входа в систему для пользователя root, отключите аутентификацию SSH по паролю и настройте вход по ключам. Своевременно обновляйте ключи и блокируйте учетные записи при смене/увольнении сотрудников.

Ведите учет пользователей и контролируйте привилегии доступа в файловой системе

Рекомендуется использовать различные разделы для пользовательских (каталог /home) и системных файлов. Создайте пользователя с ограниченными правами, добавьте его в группу sudo и выполняйте за него все действия, не требующие прав суперпользователя. Заблокируйте возможность входа в систему для пользователя root, отключите аутентификацию SSH по паролю и настройте вход по ключам. Своевременно обновляйте ключи и блокируйте учетные записи при смене/увольнении сотрудников.

Настройте параметры безопасности СУБД

Обратите внимание на параметры безопасности используемой СУБД. Например, в случае с PostgreSQL рекомендуется корректно настроить прослушивамый адрес (listen_addresses). В файле pg_hba.conf ограничьте возможность подключения к базе только для тех хостов, с которых это необходимо. Проверьте СУБД на наличие пользователей с пустым паролем.

Настройте параметры безопасности СУБД

Обратите внимание на параметры безопасности используемой СУБД. Например, в случае с PostgreSQL рекомендуется корректно настроить прослушивамый адрес (listen_addresses). В файле pg_hba.conf ограничьте возможность подключения к базе только для тех хостов, с которых это необходимо. Проверьте СУБД на наличие пользователей с пустым паролем.

Настройте детально роли и правила в интерфейсе биллинговой системы

АСР Platex позволяет гибко разграничивать права доступа к объектам и модулям системы. Определите и создайте перечень необходимых ролей (при наличии интеграции с LDAP-доменом он может быть синхронизирован с ним), назначьте нужные роли пользователям. Настройте сложность пароля, сроки действия, возможное количество неудачных попыток входа. При наличии лицензии включите модуль многофакторной аутентификации или модуль интеграции с LDAP-доменом.

Настройте детально роли и правила в интерфейсе биллинговой системы

АСР Platex позволяет гибко разграничивать права доступа к объектам и модулям системы. Определите и создайте перечень необходимых ролей (при наличии интеграции с LDAP-доменом он может быть синхронизирован с ним), назначьте нужные роли пользователям. Настройте сложность пароля, сроки действия, возможное количество неудачных попыток входа. При наличии лицензии включите модуль многофакторной аутентификации или модуль интеграции с LDAP-доменом.

Регулярно делайте резервное копирование

Эта процедура гарантирует, что даже если средства защиты будут скомпрометированы, у вас останется возможность быстро восстановить работоспособность и данные.

Регулярно делайте резервное копирование

Эта процедура гарантирует, что даже если средства защиты будут скомпрометированы, у вас останется возможность быстро восстановить работоспособность и данные.

Наши рекомендации являются относительно универсальными. Однако, применяя их, учитывайте индивидуальные особенности именно вашего варианта инсталляции. Например:
1. АСР Platex® может стоять на разных ОС;
2. Рядом с системой в подсети может работать разное прикладное ПО;
3. Может использоваться разное оборудование и системное ПО и т.д.

Проконсультироваться по вопросам безопасности АСР Platex® вы можете, обратившись к сотрудникам компании Биллинг.РФ через форму Обратной связи.

 

 

Нравится
Поделиться
Call Now Button