logboard/docs/security.md

Безопасность LogBoard+

Автор: Сергей Антропов
Сайт: https://devops.org.ru

Содержание

1. Обзор безопасности
2. Генерация ключей
3. Аутентификация
4. Настройка HTTPS
5. Доступ к Docker
6. Сетевая безопасность
7. Мониторинг безопасности
8. Рекомендации для продакшена

Обзор безопасности

LogBoard+ включает в себя несколько уровней безопасности для защиты доступа к логам и системной информации. Правильная настройка безопасности критически важна для продакшена.

Уровни безопасности

1. Аутентификация - JWT токены для доступа к API
2. Шифрование - Защита чувствительных данных
3. Сетевая безопасность - HTTPS, файрвол, ограничение доступа
4. Docker безопасность - Ограничение прав доступа к Docker socket
5. Мониторинг - Логирование событий безопасности

Генерация ключей

SECRET_KEY

SECRET_KEY используется для подписи JWT токенов. Это критически важный ключ для безопасности аутентификации.

Генерация SECRET_KEY

Метод 1: OpenSSL (рекомендуется)

# Генерация 32-байтового ключа в hex формате
openssl rand -hex 32
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6

# Генерация 64-байтового ключа (для максимальной безопасности)
openssl rand -hex 64
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6...

Метод 2: Python

# Использование Python для генерации
python3 -c "import secrets; print(secrets.token_hex(32))"
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6

# Генерация через Python скрипт
python3 -c "
import secrets
import base64
key = secrets.token_bytes(32)
print('Hex:', key.hex())
print('Base64:', base64.b64encode(key).decode())
"

Метод 3: Node.js

# Использование Node.js
node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
# Пример вывода: 8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6

Требования к SECRET_KEY

• Длина: Минимум 32 байта (64 символа в hex)
• Энтропия: Используйте криптографически стойкий генератор случайных чисел
• Уникальность: Каждая установка должна иметь уникальный ключ
• Хранение: Храните в безопасном месте, не в коде

ENCRYPTION_KEY

ENCRYPTION_KEY используется для шифрования чувствительных данных в приложении.

Генерация ENCRYPTION_KEY

Метод 1: OpenSSL (рекомендуется)

# Генерация 32-байтового ключа шифрования
openssl rand -hex 32
# Пример вывода: 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9s0t1u2v3w4x5y6z7

# Генерация ключа для AES-256
openssl rand -base64 32
# Пример вывода: 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9s0t1u2v3w4x5y6z7

Метод 2: Python с Fernet

# Генерация ключа для Fernet (Base64)
python3 -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"
# Пример вывода: 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p7q8r9s0t1u2v3w4x5y6z7

# Генерация через Python скрипт
python3 -c "
import secrets
import base64
key = secrets.token_bytes(32)
print('Hex:', key.hex())
print('Base64:', base64.b64encode(key).decode())
print('Fernet:', base64.urlsafe_b64encode(key).decode())
"

Метод 3: Скрипт генерации ключей

Создайте файл generate_keys.sh:

#!/bin/bash
# Скрипт генерации ключей безопасности для LogBoard+
# Автор: Сергей Антропов
# Сайт: https://devops.org.ru

echo "=== Генерация ключей безопасности для LogBoard+ ==="
echo ""

# Проверка наличия OpenSSL
if ! command -v openssl &> /dev/null; then
    echo "❌ OpenSSL не найден. Установите OpenSSL для генерации ключей."
    exit 1
fi

echo "🔐 Генерация SECRET_KEY..."
SECRET_KEY=$(openssl rand -hex 32)
echo "SECRET_KEY=$SECRET_KEY"
echo ""

echo "🔐 Генерация ENCRYPTION_KEY..."
ENCRYPTION_KEY=$(openssl rand -hex 32)
echo "ENCRYPTION_KEY=$ENCRYPTION_KEY"
echo ""

echo "🔐 Генерация пароля пользователя..."
USER_PASSWORD=$(openssl rand -base64 16 | tr -d "=+/" | cut -c1-16)
echo "LOGBOARD_PASS=$USER_PASSWORD"
echo ""

echo "📝 Обновление .env файла..."
if [ -f .env ]; then
    # Создание резервной копии
    cp .env .env.backup.$(date +%Y%m%d_%H%M%S)
    echo "✅ Создана резервная копия .env"
    
    # Обновление ключей
    sed -i "s/^SECRET_KEY=.*/SECRET_KEY=$SECRET_KEY/" .env
    sed -i "s/^ENCRYPTION_KEY=.*/ENCRYPTION_KEY=$ENCRYPTION_KEY/" .env
    sed -i "s/^LOGBOARD_PASS=.*/LOGBOARD_PASS=$USER_PASSWORD/" .env
    
    echo "✅ Ключи обновлены в .env"
else
    echo "⚠️  Файл .env не найден. Создайте его из env.example"
fi

echo ""
echo "=== Рекомендации по безопасности ==="
echo "1. Сохраните ключи в безопасном месте"
echo "2. Не передавайте ключи через незащищенные каналы"
echo "3. Регулярно обновляйте ключи"
echo "4. Используйте разные ключи для разных окружений"
echo ""
echo "✅ Генерация ключей завершена!"

# Установка прав на выполнение
chmod +x generate_keys.sh

# Запуск генерации
./generate_keys.sh

Требования к ENCRYPTION_KEY

• Длина: 32 байта для AES-256
• Формат: Hex или Base64
• Энтропия: Криптографически стойкий генератор
• Уникальность: Уникальный для каждой установки

Проверка качества ключей

# Проверка энтропии ключа
python3 -c "
import secrets
import base64

def check_entropy(key_hex):
    # Преобразование hex в байты
    key_bytes = bytes.fromhex(key_hex)
    
    # Подсчет уникальных байтов
    unique_bytes = len(set(key_bytes))
    total_bytes = len(key_bytes)
    
    # Вычисление энтропии
    entropy = unique_bytes / total_bytes
    
    print(f'Длина ключа: {total_bytes} байт')
    print(f'Уникальных байтов: {unique_bytes}')
    print(f'Энтропия: {entropy:.2%}')
    
    if entropy > 0.8:
        print('✅ Ключ имеет хорошую энтропию')
    else:
        print('⚠️  Ключ может иметь низкую энтропию')

# Проверка вашего ключа
key = '8a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0u1v2w3x4y5z6'
check_entropy(key)
"

Аутентификация

JWT токены

LogBoard+ использует JWT (JSON Web Tokens) для аутентификации.

Структура JWT токена

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "admin",
    "exp": 1642234567,
    "iat": 1642230967
  },
  "signature": "HMACSHA256(base64UrlEncode(header) + '.' + base64UrlEncode(payload), SECRET_KEY)"
}

Настройка JWT

# В .env файле
SECRET_KEY=your-secret-key-here
SESSION_TIMEOUT=3600  # Время жизни токена в секундах

Безопасность JWT

1. Используйте сильный SECRET_KEY
2. Установите разумное время жизни токена
3. Используйте HTTPS для передачи токенов
4. Регулярно обновляйте токены

Пароли пользователей

Генерация безопасного пароля

# Генерация пароля с OpenSSL
openssl rand -base64 16 | tr -d "=+/" | cut -c1-16
# Пример вывода: aB3cD4eF5gH6iJ7k

# Генерация пароля с Python
python3 -c "
import secrets
import string

def generate_password(length=16):
    alphabet = string.ascii_letters + string.digits + '!@#$%^&*'
    return ''.join(secrets.choice(alphabet) for _ in range(length))

print('Пароль:', generate_password(16))
"

# Генерация пароля с pwgen
pwgen -s 16 1

Требования к паролям

• Длина: Минимум 12 символов
• Сложность: Буквы, цифры, специальные символы
• Уникальность: Не используйте пароли по умолчанию
• Хранение: Храните в безопасном месте

Настройка HTTPS

Самоподписанные сертификаты (для тестирования)

# Генерация приватного ключа
openssl genrsa -out private.key 2048

# Генерация сертификата
openssl req -x509 -new -nodes -key private.key -sha256 -days 365 -out certificate.crt

# Или одной командой
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout private.key -out certificate.crt \
  -subj "/C=RU/ST=Moscow/L=Moscow/O=Company/CN=localhost"

Let's Encrypt сертификаты (для продакшена)

# Установка certbot
sudo apt install certbot python3-certbot-nginx

# Получение сертификата
sudo certbot --nginx -d your-domain.com

# Автоматическое обновление
sudo crontab -e
# Добавить строку:
# 0 12 * * * /usr/bin/certbot renew --quiet

Nginx конфигурация с HTTPS

server {
    listen 80;
    server_name your-domain.com;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl http2;
    server_name your-domain.com;

    # SSL сертификаты
    ssl_certificate /path/to/certificate.crt;
    ssl_certificate_key /path/to/private.key;

    # SSL настройки
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # Безопасные заголовки
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options DENY always;
    add_header X-Content-Type-Options nosniff always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location / {
        proxy_pass http://localhost:9001;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # WebSocket поддержка
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        
        # Таймауты
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}

Доступ к Docker

Ограничение прав доступа

# Создание группы docker
sudo groupadd docker

# Добавление пользователя в группу
sudo usermod -aG docker $USER

# Проверка прав
ls -la /var/run/docker.sock
# Должно быть: srw-rw-rw- 1 root docker 0 Jan 15 10:00 /var/run/docker.sock

# Перезагрузка группы
newgrp docker

Альтернативные методы

Метод 1: Docker API с TLS

# Генерация CA ключа
openssl genrsa -aes256 -out ca-key.pem 4096

# Генерация CA сертификата
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

# Генерация серверного ключа
openssl genrsa -out server-key.pem 4096

# Генерация серверного сертификата
openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr

# Подпись серверного сертификата
openssl x509 -req -days 365 -sha256 \
  -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem

# Настройка Docker daemon
sudo mkdir -p /etc/docker
sudo cp ca.pem server-cert.pem server-key.pem /etc/docker/

# Конфигурация Docker daemon
sudo tee /etc/docker/daemon.json <<EOF
{
  "tls": true,
  "tlscacert": "/etc/docker/ca.pem",
  "tlscert": "/etc/docker/server-cert.pem",
  "tlskey": "/etc/docker/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
}
EOF

# Перезапуск Docker
sudo systemctl restart docker

Метод 2: Docker API с аутентификацией

# Создание пользователя для API
sudo useradd -r -s /bin/false docker-api

# Настройка прав
sudo usermod -aG docker docker-api

# Конфигурация в .env
DOCKER_HOST=tcp://localhost:2375
DOCKER_TLS_VERIFY=1
DOCKER_CERT_PATH=/path/to/certs

Сетевая безопасность

Настройка файрвола

# Установка UFW
sudo apt install ufw

# Базовые правила
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Разрешение SSH
sudo ufw allow ssh

# Разрешение HTTPS
sudo ufw allow 443/tcp

# Разрешение LogBoard+ только для локальной сети
sudo ufw allow from 192.168.1.0/24 to any port 9001

# Включение файрвола
sudo ufw enable

# Проверка статуса
sudo ufw status verbose

iptables правила

# Очистка правил
sudo iptables -F
sudo iptables -X

# Установка политик по умолчанию
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# Разрешение локального трафика
sudo iptables -A INPUT -i lo -j ACCEPT

# Разрешение установленных соединений
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Разрешение SSH
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Разрешение HTTPS
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Разрешение LogBoard+ для локальной сети
sudo iptables -A INPUT -p tcp --dport 9001 -s 192.168.1.0/24 -j ACCEPT

# Сохранение правил
sudo iptables-save > /etc/iptables/rules.v4

Настройка Docker сетей

# В docker-compose.yml
networks:
  logboard_network:
    driver: bridge
    ipam:
      config:
        - subnet: 172.20.0.0/16
    driver_opts:
      com.docker.network.bridge.name: logboard_br0

services:
  logboard:
    networks:
      - logboard_network
    # Ограничение доступа к Docker socket
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro

Мониторинг безопасности

Логирование событий безопасности

# Настройка логирования в .env
LOG_LEVEL=INFO
LOG_FORMAT=json

# Создание директории для логов
sudo mkdir -p /var/log/logboard
sudo chown $USER:$USER /var/log/logboard

# Настройка ротации логов
sudo tee /etc/logrotate.d/logboard <<EOF
/var/log/logboard/*.log {
    daily
    missingok
    rotate 30
    compress
    delaycompress
    notifempty
    create 644 $USER $USER
    postrotate
        docker compose -f /path/to/logboard/docker-compose.yml restart logboard
    endscript
}
EOF

Мониторинг доступа

# Скрипт мониторинга доступа
cat > monitor_access.sh <<'EOF'
#!/bin/bash
# Мониторинг доступа к LogBoard+
# Автор: Сергей Антропов

LOG_FILE="/var/log/logboard/access.log"
ALERT_FILE="/var/log/logboard/security_alerts.log"

# Функция логирования
log_alert() {
    echo "$(date '+%Y-%m-%d %H:%M:%S') - $1" >> "$ALERT_FILE"
}

# Мониторинг неудачных попыток входа
failed_logins=$(grep -c "authentication failed" "$LOG_FILE" 2>/dev/null || echo "0")

if [ "$failed_logins" -gt 10 ]; then
    log_alert "Обнаружено $failed_logins неудачных попыток входа"
fi

# Мониторинг подозрительных IP
suspicious_ips=$(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" "$LOG_FILE" | sort | uniq -c | awk '$1 > 100 {print $2}')

if [ -n "$suspicious_ips" ]; then
    log_alert "Подозрительная активность с IP: $suspicious_ips"
fi

echo "Мониторинг завершен: $(date)"
EOF

chmod +x monitor_access.sh

# Добавление в cron
crontab -e
# Добавить строку:
# */5 * * * * /path/to/logboard/monitor_access.sh

Алерты безопасности

# Скрипт отправки алертов
cat > security_alerts.sh <<'EOF'
#!/bin/bash
# Отправка алертов безопасности
# Автор: Сергей Антропов

ALERT_FILE="/var/log/logboard/security_alerts.log"
EMAIL="admin@company.com"

# Проверка новых алертов
if [ -f "$ALERT_FILE" ]; then
    new_alerts=$(tail -n 10 "$ALERT_FILE")
    
    if [ -n "$new_alerts" ]; then
        echo "$new_alerts" | mail -s "LogBoard+ Security Alert" "$EMAIL"
    fi
fi
EOF

chmod +x security_alerts.sh

# Добавление в cron
crontab -e
# Добавить строку:
# 0 */1 * * * /path/to/logboard/security_alerts.sh

Рекомендации для продакшена

Обязательные настройки

1. Измените все пароли по умолчанию
2. Используйте сильные секретные ключи
3. Настройте HTTPS
4. Ограничьте доступ к Docker socket
5. Настройте файрвол
6. Включите мониторинг безопасности

Регулярные проверки

# Скрипт проверки безопасности
cat > security_check.sh <<'EOF'
#!/bin/bash
# Проверка безопасности LogBoard+
# Автор: Сергей Антропов

echo "=== Проверка безопасности LogBoard+ ==="
echo "Дата: $(date)"
echo ""

# Проверка паролей по умолчанию
if grep -q "LOGBOARD_PASS=admin" .env; then
    echo "❌ Пароль по умолчанию не изменен!"
else
    echo "✅ Пароль изменен"
fi

# Проверка секретных ключей
if grep -q "SECRET_KEY=your-secret-key-here" .env; then
    echo "❌ SECRET_KEY не изменен!"
else
    echo "✅ SECRET_KEY изменен"
fi

if grep -q "ENCRYPTION_KEY=your-encryption-key-here" .env; then
    echo "❌ ENCRYPTION_KEY не изменен!"
else
    echo "✅ ENCRYPTION_KEY изменен"
fi

# Проверка HTTPS
if curl -s -I https://localhost:9001 > /dev/null 2>&1; then
    echo "✅ HTTPS доступен"
else
    echo "⚠️  HTTPS недоступен"
fi

# Проверка прав Docker
if ls -la /var/run/docker.sock | grep -q "srw-rw-rw-"; then
    echo "✅ Docker socket доступен"
else
    echo "❌ Проблемы с доступом к Docker socket"
fi

# Проверка файрвола
if command -v ufw > /dev/null && sudo ufw status | grep -q "Status: active"; then
    echo "✅ Файрвол активен"
else
    echo "⚠️  Файрвол не настроен"
fi

echo ""
echo "=== Рекомендации ==="
echo "1. Регулярно обновляйте ключи"
echo "2. Мониторьте логи доступа"
echo "3. Обновляйте зависимости"
echo "4. Проверяйте права доступа"
echo "5. Тестируйте резервные копии"
EOF

chmod +x security_check.sh

# Запуск проверки
./security_check.sh

План реагирования на инциденты

1. Немедленные действия

   • Отключение подозрительных IP
   • Блокировка скомпрометированных учетных записей
   • Анализ логов

2. Расследование

   • Определение источника атаки
   • Оценка ущерба
   • Документирование инцидента

3. Восстановление

   • Обновление ключей
   • Патчинг уязвимостей
   • Восстановление из резервных копий

4. Профилактика

   • Усиление безопасности
   • Обновление процедур
   • Обучение персонала

Контрольный список безопасности

• Изменены пароли по умолчанию
• Сгенерированы сильные секретные ключи
• Настроен HTTPS
• Ограничен доступ к Docker
• Настроен файрвол
• Включено логирование
• Настроен мониторинг
• Созданы резервные копии
• Документированы процедуры
• Проведено тестирование безопасности