751 lines
23 KiB
Markdown
751 lines
23 KiB
Markdown
# Безопасность LogBoard+
|
||
|
||
**Автор:** Сергей Антропов
|
||
**Сайт:** https://devops.org.ru
|
||
|
||
## Содержание
|
||
|
||
1. [Обзор безопасности](#обзор-безопасности)
|
||
2. [Генерация ключей](#генерация-ключей)
|
||
3. [Аутентификация](#аутентификация)
|
||
4. [Настройка HTTPS](#настройка-https)
|
||
5. [Доступ к Docker](#доступ-к-docker)
|
||
6. [Сетевая безопасность](#сетевая-безопасность)
|
||
7. [Мониторинг безопасности](#мониторинг-безопасности)
|
||
8. [Рекомендации для продакшена](#рекомендации-для-продакшена)
|
||
|
||
## Обзор безопасности
|
||
|
||
LogBoard+ включает в себя несколько уровней безопасности для защиты доступа к логам и системной информации. Правильная настройка безопасности критически важна для продакшена.
|
||
|
||
### Уровни безопасности
|
||
|
||
1. **Аутентификация** - JWT токены для доступа к API
|
||
2. **Шифрование** - Защита чувствительных данных
|
||
3. **Сетевая безопасность** - HTTPS, файрвол, ограничение доступа
|
||
4. **Docker безопасность** - Ограничение прав доступа к Docker socket
|
||
5. **Мониторинг** - Логирование событий безопасности
|
||
|
||
## Генерация ключей
|
||
|
||
### SECRET_KEY
|
||
|
||
SECRET_KEY используется для подписи JWT токенов. Это критически важный ключ для безопасности аутентификации.
|
||
|
||
#### Генерация SECRET_KEY
|
||
|
||
**Метод 1: OpenSSL (рекомендуется)**
|
||
|
||
```bash
|
||
# Генерация 32-байтового ключа в hex формате
|
||
openssl rand -hex 32
|
||
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6
|
||
|
||
# Генерация 64-байтового ключа (для максимальной безопасности)
|
||
openssl rand -hex 64
|
||
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6...
|
||
```
|
||
|
||
**Метод 2: Python**
|
||
|
||
```bash
|
||
# Использование Python для генерации
|
||
python3 -c "import secrets; print(secrets.token_hex(32))"
|
||
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6
|
||
|
||
# Генерация через Python скрипт
|
||
python3 -c "
|
||
import secrets
|
||
import base64
|
||
key = secrets.token_bytes(32)
|
||
print('Hex:', key.hex())
|
||
print('Base64:', base64.b64encode(key).decode())
|
||
"
|
||
```
|
||
|
||
**Метод 3: Node.js**
|
||
|
||
```bash
|
||
# Использование Node.js
|
||
node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
|
||
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6
|
||
```
|
||
|
||
#### Требования к SECRET_KEY
|
||
|
||
- **Длина:** Минимум 32 байта (64 символа в hex)
|
||
- **Энтропия:** Используйте криптографически стойкий генератор случайных чисел
|
||
- **Уникальность:** Каждая установка должна иметь уникальный ключ
|
||
- **Хранение:** Храните в безопасном месте, не в коде
|
||
|
||
### ENCRYPTION_KEY
|
||
|
||
ENCRYPTION_KEY используется для шифрования чувствительных данных в приложении.
|
||
|
||
#### Генерация ENCRYPTION_KEY
|
||
|
||
**Метод 1: OpenSSL (рекомендуется)**
|
||
|
||
```bash
|
||
# Генерация 32-байтового ключа шифрования
|
||
openssl rand -hex 32
|
||
# Пример вывода: 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9s0t1u2v3w4x5y6z7
|
||
|
||
# Генерация ключа для AES-256
|
||
openssl rand -base64 32
|
||
# Пример вывода: 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9s0t1u2v3w4x5y6z7
|
||
```
|
||
|
||
**Метод 2: Python с Fernet**
|
||
|
||
```bash
|
||
# Генерация ключа для Fernet (Base64)
|
||
python3 -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"
|
||
# Пример вывода: 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9s0t1u2v3w4x5y6z7
|
||
|
||
# Генерация через Python скрипт
|
||
python3 -c "
|
||
import secrets
|
||
import base64
|
||
key = secrets.token_bytes(32)
|
||
print('Hex:', key.hex())
|
||
print('Base64:', base64.b64encode(key).decode())
|
||
print('Fernet:', base64.urlsafe_b64encode(key).decode())
|
||
"
|
||
```
|
||
|
||
**Метод 3: Скрипт генерации ключей**
|
||
|
||
Создайте файл `generate_keys.sh`:
|
||
|
||
```bash
|
||
#!/bin/bash
|
||
# Скрипт генерации ключей безопасности для LogBoard+
|
||
# Автор: Сергей Антропов
|
||
# Сайт: https://devops.org.ru
|
||
|
||
echo "=== Генерация ключей безопасности для LogBoard+ ==="
|
||
echo ""
|
||
|
||
# Проверка наличия OpenSSL
|
||
if ! command -v openssl &> /dev/null; then
|
||
echo "OpenSSL не найден. Установите OpenSSL для генерации ключей."
|
||
exit 1
|
||
fi
|
||
|
||
echo "Генерация SECRET_KEY..."
|
||
SECRET_KEY=$(openssl rand -hex 32)
|
||
echo "SECRET_KEY=$SECRET_KEY"
|
||
echo ""
|
||
|
||
echo "Генерация ENCRYPTION_KEY..."
|
||
ENCRYPTION_KEY=$(openssl rand -hex 32)
|
||
echo "ENCRYPTION_KEY=$ENCRYPTION_KEY"
|
||
echo ""
|
||
|
||
echo "Генерация пароля пользователя..."
|
||
USER_PASSWORD=$(openssl rand -base64 16 | tr -d "=+/" | cut -c1-16)
|
||
echo "LOGBOARD_PASS=$USER_PASSWORD"
|
||
echo ""
|
||
|
||
echo "Обновление .env файла..."
|
||
if [ -f .env ]; then
|
||
# Создание резервной копии
|
||
cp .env .env.backup.$(date +%Y%m%d_%H%M%S)
|
||
echo "Создана резервная копия .env"
|
||
|
||
# Обновление ключей
|
||
sed -i "s/^SECRET_KEY=.*/SECRET_KEY=$SECRET_KEY/" .env
|
||
sed -i "s/^ENCRYPTION_KEY=.*/ENCRYPTION_KEY=$ENCRYPTION_KEY/" .env
|
||
sed -i "s/^LOGBOARD_PASS=.*/LOGBOARD_PASS=$USER_PASSWORD/" .env
|
||
|
||
echo "Ключи обновлены в .env"
|
||
else
|
||
echo "Файл .env не найден. Создайте его из env.example"
|
||
fi
|
||
|
||
echo ""
|
||
echo "=== Рекомендации по безопасности ==="
|
||
echo "1. Сохраните ключи в безопасном месте"
|
||
echo "2. Не передавайте ключи через незащищенные каналы"
|
||
echo "3. Регулярно обновляйте ключи"
|
||
echo "4. Используйте разные ключи для разных окружений"
|
||
echo ""
|
||
echo "Генерация ключей завершена!"
|
||
```
|
||
|
||
```bash
|
||
# Установка прав на выполнение
|
||
chmod +x generate_keys.sh
|
||
|
||
# Запуск генерации
|
||
./generate_keys.sh
|
||
```
|
||
|
||
#### Требования к ENCRYPTION_KEY
|
||
|
||
- **Длина:** 32 байта для AES-256
|
||
- **Формат:** Hex или Base64
|
||
- **Энтропия:** Криптографически стойкий генератор
|
||
- **Уникальность:** Уникальный для каждой установки
|
||
|
||
### Проверка качества ключей
|
||
|
||
```bash
|
||
# Проверка энтропии ключа
|
||
python3 -c "
|
||
import secrets
|
||
import base64
|
||
|
||
def check_entropy(key_hex):
|
||
# Преобразование hex в байты
|
||
key_bytes = bytes.fromhex(key_hex)
|
||
|
||
# Подсчет уникальных байтов
|
||
unique_bytes = len(set(key_bytes))
|
||
total_bytes = len(key_bytes)
|
||
|
||
# Вычисление энтропии
|
||
entropy = unique_bytes / total_bytes
|
||
|
||
print(f'Длина ключа: {total_bytes} байт')
|
||
print(f'Уникальных байтов: {unique_bytes}')
|
||
print(f'Энтропия: {entropy:.2%}')
|
||
|
||
if entropy > 0.8:
|
||
print('Ключ имеет хорошую энтропию')
|
||
else:
|
||
print('Ключ может иметь низкую энтропию')
|
||
|
||
# Проверка вашего ключа
|
||
key = '8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6'
|
||
check_entropy(key)
|
||
"
|
||
```
|
||
|
||
## Аутентификация
|
||
|
||
### JWT токены
|
||
|
||
LogBoard+ использует JWT (JSON Web Tokens) для аутентификации.
|
||
|
||
#### Структура JWT токена
|
||
|
||
```json
|
||
{
|
||
"header": {
|
||
"alg": "HS256",
|
||
"typ": "JWT"
|
||
},
|
||
"payload": {
|
||
"sub": "admin",
|
||
"exp": 1642234567,
|
||
"iat": 1642230967
|
||
},
|
||
"signature": "HMACSHA256(base64UrlEncode(header) + '.' + base64UrlEncode(payload), SECRET_KEY)"
|
||
}
|
||
```
|
||
|
||
#### Настройка JWT
|
||
|
||
```bash
|
||
# В .env файле
|
||
SECRET_KEY=your-secret-key-here
|
||
SESSION_TIMEOUT=3600 # Время жизни токена в секундах
|
||
```
|
||
|
||
#### Безопасность JWT
|
||
|
||
1. **Используйте сильный SECRET_KEY**
|
||
2. **Установите разумное время жизни токена**
|
||
3. **Используйте HTTPS для передачи токенов**
|
||
4. **Регулярно обновляйте токены**
|
||
|
||
### Пароли пользователей
|
||
|
||
#### Генерация безопасного пароля
|
||
|
||
```bash
|
||
# Генерация пароля с OpenSSL
|
||
openssl rand -base64 16 | tr -d "=+/" | cut -c1-16
|
||
# Пример вывода: aB3cD4eF5gH6iJ7k
|
||
|
||
# Генерация пароля с Python
|
||
python3 -c "
|
||
import secrets
|
||
import string
|
||
|
||
def generate_password(length=16):
|
||
alphabet = string.ascii_letters + string.digits + '!@#$%^&*'
|
||
return ''.join(secrets.choice(alphabet) for _ in range(length))
|
||
|
||
print('Пароль:', generate_password(16))
|
||
"
|
||
|
||
# Генерация пароля с pwgen
|
||
pwgen -s 16 1
|
||
```
|
||
|
||
#### Требования к паролям
|
||
|
||
- **Длина:** Минимум 12 символов
|
||
- **Сложность:** Буквы, цифры, специальные символы
|
||
- **Уникальность:** Не используйте пароли по умолчанию
|
||
- **Хранение:** Храните в безопасном месте
|
||
|
||
## Настройка HTTPS
|
||
|
||
### Самоподписанные сертификаты (для тестирования)
|
||
|
||
```bash
|
||
# Генерация приватного ключа
|
||
openssl genrsa -out private.key 2048
|
||
|
||
# Генерация сертификата
|
||
openssl req -x509 -new -nodes -key private.key -sha256 -days 365 -out certificate.crt
|
||
|
||
# Или одной командой
|
||
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
|
||
-keyout private.key -out certificate.crt \
|
||
-subj "/C=RU/ST=Moscow/L=Moscow/O=Company/CN=localhost"
|
||
```
|
||
|
||
### Let's Encrypt сертификаты (для продакшена)
|
||
|
||
```bash
|
||
# Установка certbot
|
||
sudo apt install certbot python3-certbot-nginx
|
||
|
||
# Получение сертификата
|
||
sudo certbot --nginx -d your-domain.com
|
||
|
||
# Автоматическое обновление
|
||
sudo crontab -e
|
||
# Добавить строку:
|
||
# 0 12 * * * /usr/bin/certbot renew --quiet
|
||
```
|
||
|
||
### Nginx конфигурация с HTTPS
|
||
|
||
```nginx
|
||
server {
|
||
listen 80;
|
||
server_name your-domain.com;
|
||
return 301 https://$server_name$request_uri;
|
||
}
|
||
|
||
server {
|
||
listen 443 ssl http2;
|
||
server_name your-domain.com;
|
||
|
||
# SSL сертификаты
|
||
ssl_certificate /path/to/certificate.crt;
|
||
ssl_certificate_key /path/to/private.key;
|
||
|
||
# SSL настройки
|
||
ssl_protocols TLSv1.2 TLSv1.3;
|
||
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384;
|
||
ssl_prefer_server_ciphers off;
|
||
ssl_session_cache shared:SSL:10m;
|
||
ssl_session_timeout 10m;
|
||
|
||
# Безопасные заголовки
|
||
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
|
||
add_header X-Frame-Options DENY always;
|
||
add_header X-Content-Type-Options nosniff always;
|
||
add_header X-XSS-Protection "1; mode=block" always;
|
||
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
|
||
|
||
location / {
|
||
proxy_pass http://localhost:9001;
|
||
proxy_set_header Host $host;
|
||
proxy_set_header X-Real-IP $remote_addr;
|
||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||
proxy_set_header X-Forwarded-Proto $scheme;
|
||
|
||
# WebSocket поддержка
|
||
proxy_http_version 1.1;
|
||
proxy_set_header Upgrade $http_upgrade;
|
||
proxy_set_header Connection "upgrade";
|
||
|
||
# Таймауты
|
||
proxy_connect_timeout 60s;
|
||
proxy_send_timeout 60s;
|
||
proxy_read_timeout 60s;
|
||
}
|
||
}
|
||
```
|
||
|
||
## Доступ к Docker
|
||
|
||
### Ограничение прав доступа
|
||
|
||
```bash
|
||
# Создание группы docker
|
||
sudo groupadd docker
|
||
|
||
# Добавление пользователя в группу
|
||
sudo usermod -aG docker $USER
|
||
|
||
# Проверка прав
|
||
ls -la /var/run/docker.sock
|
||
# Должно быть: srw-rw-rw- 1 root docker 0 Jan 15 10:00 /var/run/docker.sock
|
||
|
||
# Перезагрузка группы
|
||
newgrp docker
|
||
```
|
||
|
||
### Альтернативные методы
|
||
|
||
#### Метод 1: Docker API с TLS
|
||
|
||
```bash
|
||
# Генерация CA ключа
|
||
openssl genrsa -aes256 -out ca-key.pem 4096
|
||
|
||
# Генерация CA сертификата
|
||
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
|
||
|
||
# Генерация серверного ключа
|
||
openssl genrsa -out server-key.pem 4096
|
||
|
||
# Генерация серверного сертификата
|
||
openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr
|
||
|
||
# Подпись серверного сертификата
|
||
openssl x509 -req -days 365 -sha256 \
|
||
-in server.csr -CA ca.pem -CAkey ca-key.pem \
|
||
-CAcreateserial -out server-cert.pem
|
||
|
||
# Настройка Docker daemon
|
||
sudo mkdir -p /etc/docker
|
||
sudo cp ca.pem server-cert.pem server-key.pem /etc/docker/
|
||
|
||
# Конфигурация Docker daemon
|
||
sudo tee /etc/docker/daemon.json <<EOF
|
||
{
|
||
"tls": true,
|
||
"tlscacert": "/etc/docker/ca.pem",
|
||
"tlscert": "/etc/docker/server-cert.pem",
|
||
"tlskey": "/etc/docker/server-key.pem",
|
||
"hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
|
||
}
|
||
EOF
|
||
|
||
# Перезапуск Docker
|
||
sudo systemctl restart docker
|
||
```
|
||
|
||
#### Метод 2: Docker API с аутентификацией
|
||
|
||
```bash
|
||
# Создание пользователя для API
|
||
sudo useradd -r -s /bin/false docker-api
|
||
|
||
# Настройка прав
|
||
sudo usermod -aG docker docker-api
|
||
|
||
# Конфигурация в .env
|
||
DOCKER_HOST=tcp://localhost:2375
|
||
DOCKER_TLS_VERIFY=1
|
||
DOCKER_CERT_PATH=/path/to/certs
|
||
```
|
||
|
||
## Сетевая безопасность
|
||
|
||
### Настройка файрвола
|
||
|
||
```bash
|
||
# Установка UFW
|
||
sudo apt install ufw
|
||
|
||
# Базовые правила
|
||
sudo ufw default deny incoming
|
||
sudo ufw default allow outgoing
|
||
|
||
# Разрешение SSH
|
||
sudo ufw allow ssh
|
||
|
||
# Разрешение HTTPS
|
||
sudo ufw allow 443/tcp
|
||
|
||
# Разрешение LogBoard+ только для локальной сети
|
||
sudo ufw allow from 192.168.1.0/24 to any port 9001
|
||
|
||
# Включение файрвола
|
||
sudo ufw enable
|
||
|
||
# Проверка статуса
|
||
sudo ufw status verbose
|
||
```
|
||
|
||
### iptables правила
|
||
|
||
```bash
|
||
# Очистка правил
|
||
sudo iptables -F
|
||
sudo iptables -X
|
||
|
||
# Установка политик по умолчанию
|
||
sudo iptables -P INPUT DROP
|
||
sudo iptables -P FORWARD DROP
|
||
sudo iptables -P OUTPUT ACCEPT
|
||
|
||
# Разрешение локального трафика
|
||
sudo iptables -A INPUT -i lo -j ACCEPT
|
||
|
||
# Разрешение установленных соединений
|
||
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
|
||
|
||
# Разрешение SSH
|
||
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
|
||
|
||
# Разрешение HTTPS
|
||
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
|
||
|
||
# Разрешение LogBoard+ для локальной сети
|
||
sudo iptables -A INPUT -p tcp --dport 9001 -s 192.168.1.0/24 -j ACCEPT
|
||
|
||
# Сохранение правил
|
||
sudo iptables-save > /etc/iptables/rules.v4
|
||
```
|
||
|
||
### Настройка Docker сетей
|
||
|
||
```yaml
|
||
# В docker-compose.yml
|
||
networks:
|
||
logboard_network:
|
||
driver: bridge
|
||
ipam:
|
||
config:
|
||
- subnet: 172.20.0.0/16
|
||
driver_opts:
|
||
com.docker.network.bridge.name: logboard_br0
|
||
|
||
services:
|
||
logboard:
|
||
networks:
|
||
- logboard_network
|
||
# Ограничение доступа к Docker socket
|
||
volumes:
|
||
- /var/run/docker.sock:/var/run/docker.sock:ro
|
||
```
|
||
|
||
## Мониторинг безопасности
|
||
|
||
### Логирование событий безопасности
|
||
|
||
```bash
|
||
# Настройка логирования в .env
|
||
LOG_LEVEL=INFO
|
||
LOG_FORMAT=json
|
||
|
||
# Создание директории для логов
|
||
sudo mkdir -p /var/log/logboard
|
||
sudo chown $USER:$USER /var/log/logboard
|
||
|
||
# Настройка ротации логов
|
||
sudo tee /etc/logrotate.d/logboard <<EOF
|
||
/var/log/logboard/*.log {
|
||
daily
|
||
missingok
|
||
rotate 30
|
||
compress
|
||
delaycompress
|
||
notifempty
|
||
create 644 $USER $USER
|
||
postrotate
|
||
docker compose -f /path/to/logboard/docker-compose.yml restart logboard
|
||
endscript
|
||
}
|
||
EOF
|
||
```
|
||
|
||
### Мониторинг доступа
|
||
|
||
```bash
|
||
# Скрипт мониторинга доступа
|
||
cat > monitor_access.sh <<'EOF'
|
||
#!/bin/bash
|
||
# Мониторинг доступа к LogBoard+
|
||
# Автор: Сергей Антропов
|
||
|
||
LOG_FILE="/var/log/logboard/access.log"
|
||
ALERT_FILE="/var/log/logboard/security_alerts.log"
|
||
|
||
# Функция логирования
|
||
log_alert() {
|
||
echo "$(date '+%Y-%m-%d %H:%M:%S') - $1" >> "$ALERT_FILE"
|
||
}
|
||
|
||
# Мониторинг неудачных попыток входа
|
||
failed_logins=$(grep -c "authentication failed" "$LOG_FILE" 2>/dev/null || echo "0")
|
||
|
||
if [ "$failed_logins" -gt 10 ]; then
|
||
log_alert "Обнаружено $failed_logins неудачных попыток входа"
|
||
fi
|
||
|
||
# Мониторинг подозрительных IP
|
||
suspicious_ips=$(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" "$LOG_FILE" | sort | uniq -c | awk '$1 > 100 {print $2}')
|
||
|
||
if [ -n "$suspicious_ips" ]; then
|
||
log_alert "Подозрительная активность с IP: $suspicious_ips"
|
||
fi
|
||
|
||
echo "Мониторинг завершен: $(date)"
|
||
EOF
|
||
|
||
chmod +x monitor_access.sh
|
||
|
||
# Добавление в cron
|
||
crontab -e
|
||
# Добавить строку:
|
||
# */5 * * * * /path/to/logboard/monitor_access.sh
|
||
```
|
||
|
||
### Алерты безопасности
|
||
|
||
```bash
|
||
# Скрипт отправки алертов
|
||
cat > security_alerts.sh <<'EOF'
|
||
#!/bin/bash
|
||
# Отправка алертов безопасности
|
||
# Автор: Сергей Антропов
|
||
|
||
ALERT_FILE="/var/log/logboard/security_alerts.log"
|
||
EMAIL="admin@company.com"
|
||
|
||
# Проверка новых алертов
|
||
if [ -f "$ALERT_FILE" ]; then
|
||
new_alerts=$(tail -n 10 "$ALERT_FILE")
|
||
|
||
if [ -n "$new_alerts" ]; then
|
||
echo "$new_alerts" | mail -s "LogBoard+ Security Alert" "$EMAIL"
|
||
fi
|
||
fi
|
||
EOF
|
||
|
||
chmod +x security_alerts.sh
|
||
|
||
# Добавление в cron
|
||
crontab -e
|
||
# Добавить строку:
|
||
# 0 */1 * * * /path/to/logboard/security_alerts.sh
|
||
```
|
||
|
||
## Рекомендации для продакшена
|
||
|
||
### Обязательные настройки
|
||
|
||
1. **Измените все пароли по умолчанию**
|
||
2. **Используйте сильные секретные ключи**
|
||
3. **Настройте HTTPS**
|
||
4. **Ограничьте доступ к Docker socket**
|
||
5. **Настройте файрвол**
|
||
6. **Включите мониторинг безопасности**
|
||
|
||
### Регулярные проверки
|
||
|
||
```bash
|
||
# Скрипт проверки безопасности
|
||
cat > security_check.sh <<'EOF'
|
||
#!/bin/bash
|
||
# Проверка безопасности LogBoard+
|
||
# Автор: Сергей Антропов
|
||
|
||
echo "=== Проверка безопасности LogBoard+ ==="
|
||
echo "Дата: $(date)"
|
||
echo ""
|
||
|
||
# Проверка паролей по умолчанию
|
||
if grep -q "LOGBOARD_PASS=admin" .env; then
|
||
echo "Пароль по умолчанию не изменен"
|
||
else
|
||
echo "Пароль изменен"
|
||
fi
|
||
|
||
# Проверка секретных ключей
|
||
if grep -q "SECRET_KEY=your-secret-key-here" .env; then
|
||
echo "SECRET_KEY не изменен"
|
||
else
|
||
echo "SECRET_KEY изменен"
|
||
fi
|
||
|
||
if grep -q "ENCRYPTION_KEY=your-encryption-key-here" .env; then
|
||
echo "ENCRYPTION_KEY не изменен"
|
||
else
|
||
echo "ENCRYPTION_KEY изменен"
|
||
fi
|
||
|
||
# Проверка HTTPS
|
||
if curl -s -I https://localhost:9001 > /dev/null 2>&1; then
|
||
echo "HTTPS доступен"
|
||
else
|
||
echo "HTTPS недоступен"
|
||
fi
|
||
|
||
# Проверка прав Docker
|
||
if ls -la /var/run/docker.sock | grep -q "srw-rw-rw-"; then
|
||
echo "Docker socket доступен"
|
||
else
|
||
echo "Проблемы с доступом к Docker socket"
|
||
fi
|
||
|
||
# Проверка файрвола
|
||
if command -v ufw > /dev/null && sudo ufw status | grep -q "Status: active"; then
|
||
echo "Файрвол активен"
|
||
else
|
||
echo "Файрвол не настроен"
|
||
fi
|
||
|
||
echo ""
|
||
echo "=== Рекомендации ==="
|
||
echo "1. Регулярно обновляйте ключи"
|
||
echo "2. Мониторьте логи доступа"
|
||
echo "3. Обновляйте зависимости"
|
||
echo "4. Проверяйте права доступа"
|
||
echo "5. Тестируйте резервные копии"
|
||
EOF
|
||
|
||
chmod +x security_check.sh
|
||
|
||
# Запуск проверки
|
||
./security_check.sh
|
||
```
|
||
|
||
### План реагирования на инциденты
|
||
|
||
1. **Немедленные действия**
|
||
- Отключение подозрительных IP
|
||
- Блокировка скомпрометированных учетных записей
|
||
- Анализ логов
|
||
|
||
2. **Расследование**
|
||
- Определение источника атаки
|
||
- Оценка ущерба
|
||
- Документирование инцидента
|
||
|
||
3. **Восстановление**
|
||
- Обновление ключей
|
||
- Патчинг уязвимостей
|
||
- Восстановление из резервных копий
|
||
|
||
4. **Профилактика**
|
||
- Усиление безопасности
|
||
- Обновление процедур
|
||
- Обучение персонала
|
||
|
||
### Контрольный список безопасности
|
||
|
||
- [ ] Изменены пароли по умолчанию
|
||
- [ ] Сгенерированы сильные секретные ключи
|
||
- [ ] Настроен HTTPS
|
||
- [ ] Ограничен доступ к Docker
|
||
- [ ] Настроен файрвол
|
||
- [ ] Включено логирование
|
||
- [ ] Настроен мониторинг
|
||
- [ ] Созданы резервные копии
|
||
- [ ] Документированы процедуры
|
||
- [ ] Проведено тестирование безопасности
|