Контрольный список безопасности электронной коммерции - PullRequest
4 голосов
/ 20 июля 2011

Я работаю с веб-сайтами на основе LAMP, в частности с Drupal, и мне было интересно, знает ли кто-нибудь хороший контрольный список безопасности, чтобы помочь проверять новые и существующие коммерческие сайты на наличие уязвимостей?

Ответы [ 2 ]

2 голосов
/ 21 июля 2011

Лучшим ресурсом для безопасности веб-приложений, несомненно, является OWASP Top 10 .OWASP - это некоммерческая, независимая от технологий организация, занимающаяся повышением безопасности веб-приложений.Они выпускают документ под названием «Десять самых критических рисков безопасности веб-приложений», который очень легко использовать и должен охватывать все аспекты, которые вам необходимо понять для приложения электронной коммерции.

Я предлагаю ознакомиться с каждым изТоп 10 тщательно (PDF-версия очень удобна - 1 риск на страницу), понимая риск и влияние, а затем гарантируя, что вы знаете, как смягчить это соответствующим образом в PHP.Удачи!

1 голос
/ 16 февраля 2012

Предел строки журнала базы данных (admin / settings / logging / dblog)

Я обнаружил, что ограничение строки по умолчанию в 1000 может быстро переноситься, оставляя вас без важной отладочной информации, когда она вам больше всего нужна. Средняя длина строки, как правило, составляет около 1 КБ, поэтому даже увеличение этого значения до 100 000 строк по-прежнему оставит вам управляемую таблицу контроля.

Настройки регистрации пользователя (admin / user / settings)

Значение посетителей по умолчанию позволяет создавать учетные записи, и для этого не требуется одобрение администратора; оно легко игнорируется и часто нежелательно.

Отключить модули devel admin / build / modules

Может быть установлена ​​не только сама разработка, но и другие другие утилиты (такие как маскарад, трассировка или кодер), которые вам не нужны на производственной площадке. Если оставить дополнительные модули включенными, это может снизить производительность вашего сайта или даже создать уязвимости безопасности в случае неправильной настройки.

Установить тему обслуживания (settings.php)

По умолчанию на автономной странице сайта Drupal используется тема Миннелли. Переключение - это приятное улучшение, если вам когда-либо понадобится использовать режим обслуживания или в случае неудачного незапланированного простоя. В большинстве случаев тема вашего сайта будет работать нормально; просто добавьте $ conf ['maintenance_theme'] = 'mytheme'; в settings.php. Вам также может понадобиться добавить файл maintenance.page.tpl.php в вашу тему; если вы используете дзен, это уже сделано для вас.

Подтверждение настроек электронной почты

Часто адреса электронной почты заполнителей будут заполняться во время разработки и должны быть обновлены перед развертыванием. Я стараюсь начинать с правильных адресов с самого начала, когда это возможно, но иногда у вас нет этой информации до тех пор, пока в жизни проекта. В дополнение к глобальному site_mail Drupal, адреса могут храниться в разных местах: в учетной записи администратора, контактных формах, веб-формах, ubercart, триггерах или настройках CiviCRM.

Для пользователей Zen - отключить восстановление реестра тем (admin / build / themes)

Если вы разработали свою тему с помощью Zen, не забудьте отключить перестройку реестра тем на каждой странице. Это огромный штраф производительности.

Сообщение об ошибке (admin / settings / error-report)

На производственном сайте лучше подавлять отчеты об ошибках на экране, выбрав Запись ошибок в журнал.

Настройки производительности (admin / settings / performance)

Наилучшие параметры производительности зависят от вашего сайта. Кроме того, не изменяйте настройки кэша в последний момент без тщательного тестирования функций вашего сайта. В идеале я хотел бы завершить настройку кеша примерно на 2/3 пути проекта, чтобы завершающие этапы разработки и тестирования выполнялись с настройками кеша, которые будут соответствовать производственной.

Перенаправление на / из 'www. *' (.Htaccess)

Файл .htaccess Drupal содержит пример RewriteRule, показывающий, как перенаправить с example.com на www.example.com или наоборот. Применение одного доменного имени необходимо, если ваш сайт использует SSL, и даже при использовании простого HTTP мне нравится постоянство одного URL. Кроме того, поскольку объявление RewriteCond относится к конкретному хосту, вы можете добавить несколько доменов в один файл .htaccess либо для многосайтовой установки, либо для нескольких имен хостов тестирования / производства.

Проверка настроек прокси

Если ваш рабочий сервер использует прокси-сервер или балансировщик нагрузки, Drupal требуется дополнительная настройка для точной записи удаленных IP-адресов. Это влияет на регистрацию ошибок и некоторые модули, такие как Mollom.

$ conf ['reverse_proxy'] = TRUE; $ conf ['reverse_proxy_addresses'] = массив ( '10 .10.20.100' , '10 .10.30.100' , );

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...