Sıkılaştırma denetim listesi

Cihazın ortam dosyasındaki JWT_SECRET değerini kriptografik bir rastgelelik kaynağından üretilmiş 64 onaltılık karaktere ayarlayın, ardından yığını yeniden başlatın.

Değer bilinen bir yer tutucu olduğunda ağ geçidi başlamayı reddeder. Değer boş bırakıldığında her açılışta rastgele bir değer üretir; bu, yeniden başlatmada her oturumu geçersiz kılar ve — aynı gizli anahtar, saklanan dizin bağlanma parolasını ve sağlayıcı API anahtarlarını koruyan anahtarları da türettiği için — bu değerleri sonrasında okunamaz hâle getirir. Bir kez ayarlayın ve kalıcı sayın: döndürmek o gizli değerlerin yeniden girilmesini gerektirir.

Ortam dosyasındaki DB_PASSWORD ve REDIS_PASSWORD değerlerini bu dağıtım için ürettiğiniz değerlere ayarlayın ve iki servise de cihazın dışından erişilemediğini doğrulayın.

Operatörün ayarladığı değer DB_PASSWORD'dür — konteynerin kendi POSTGRES_PASSWORD değeri ondan türetilir ve o boş bırakıldığında sessizce yaygın bilinen bir varsayılana düşer. Yığın, REDIS_PASSWORD olmadan hiç başlamaz. İkisinin de amaçlanan tek istemcisi cihazın kendi servisleridir; hiçbir portun kullanıcılarınızın erişebildiği bir ağda yeri yoktur.

Maskelenen değerlerin yanıtlarda geri getirilmesini istiyorsanız PII_MAP_ENCRYPTION_KEY değerini 64 onaltılık karaktere ayarlayın, istemiyorsanız boş bırakın.

Boş bırakmak daha mahrem olan ayardır: oturum başına harita hiç yazılmaz ve yanıtlar maskeli kalır. Bunu bilinçli olarak ayarlayın ve değeri veritabanıyla birlikte yedekleyin — o olmadan saklanan haritalar okunamaz.

CORS_ALLOWED_ORIGINS değerini panelinizin ve eklentinizin sunulduğu tam kaynaklara ayarlayın.

Boş bırakmak yalnızca aynı kaynak demektir; her şey tek bir sunucu adını paylaşıyorsa doğru olan budur. Panelin, eklentinin ya da bir istemci uygulamasının API'den farklı bir kaynakta bulunduğu her dağıtımda bunu ayarlayın — ve joker karakter değil, kaynakları tek tek listeleyin.

Kiracıları harici bir sistemden sağlamıyorsanız PROVISION_TOKEN değerini boş bırakın; sağlıyorsanız bu cihaz için üretilmiş bir değere ayarlayın.

Boşken uç nokta her isteği reddeder. Ara bir durum yoktur.

Ayarlar → Sertifikalar seçin ve Mode (kip) değerinin kurulum zamanındaki kendinden imzalı sertifika değil, cihaz CA'sı ya da kendi sertifikanız olduğunu doğrulayın.

Sayfa kipi açıkça adlandırır. Kipi değiştirmek ve kök sertifikayı dağıtmak için Adlandırma, DNS ve TLS sayfasını izleyin.

Satır içi denetim dağıtımında Tarayıcı Denetimi sayfasını açın, Allowed ICAP peer IPs / CIDRs (izin verilen ICAP eş IP'leri / CIDR'leri) alanını web ağ geçidinizin bağlandığı adreslere ayarlayın ve kaydedin.

Boş bırakıldığında özel adres alanındaki her sunucu bağlanabilir. Alanı ayarlamak bu varsayılanı genişletmez, değiştirir; bu nedenle her eşi listeleyin — bulut ağ geçidi çıkış aralıklarını da, yerindeki cihazları da. Bunu birkaç denetimden biri sayın: dinleyici eşinin kimliğini doğrulayamaz, bu yüzden portu da aynı adres kümesine göre güvenlik duvarıyla sınırlayın.

Ayarlar → Veri Saklama seçin ve her kayıt sınıfı için bir süre belirleyin.

Sayfa hangi sınıfların hâlâ sevk edilen varsayılanlarda olduğunu ve neyin penceresini çoktan aştığını gösterir. Denetim ve tespit kayıtları delildir: düzenleyicinizin istediği süre ile kendi olay müdahale sürecinizin ihtiyaç duyduğu sürenin uzun olanını seçin.

Ayarlar → Parola teslimatı seçin ve bir kanal seçin.

Posta aktarıcısı olmayan bir ağda yönetici tarafından verilen bağlantıda kalın: hiçbir şey gönderilmez, bir superadmin tek kullanımlık bir bağlantı üretip elden verir. Bir posta kanalı seçip eksik bırakmak, hiçbirini seçmemekten kötüdür — cihaz böyle bir kanalı, birinin sıfırlamaya ihtiyaç duyduğu anda keşfetmek yerine kullanılamaz olarak bildirir.

Ayarlar → SIEM Aktarımı seçin ve bir hedef yapılandırın.

Lisans yaşam döngüsü olayları güvenlik olayı olarak sınıflandırılır; böylece süre dolumu, birinin sayfayı açmasını beklemek yerine bir alarm kuralına ulaşır. Buna güvenmeden önce en az bir olayın ulaştığını doğrulayın.

Sanal makineyi kimin yönetebileceğini, anlık görüntüsünü alabileceğini ya da diskini bağlayabileceğini sınırlayın ve üzerinde durduğu veri deposunu şifreleyin.

Cihaz kendi TLS özel anahtarlarını ve veritabanını tutar. Diske ya da bir anlık görüntüye hipervizör düzeyinde erişimi olan herkes, cihazın içinde ne yapılandırılmış olursa olsun ikisine de sahiptir. Bu denetim sanallaştırma platformunuza aittir ve ürüne devredilemez.