Перейти к основному содержимому

Руководство по безопасности рабочего пространства ONLYOFFICE

Введение​

ONLYOFFICE предоставляет широкий набор средств безопасности, которые защищают ваши данные и обеспечивают безопасную совместную работу в сети. В этом руководстве описаны все функции, позволяющие повысить уровень безопасности вашего рабочего пространства.

Кроме того, вы можете ознакомиться с распространенными технологиями и принципами безопасности, а также с некоторыми сервисами, которые помогут обеспечить максимальную защиту вашего сервера.

Общая безопасность рабочего пространства​

Некоторые функции рабочего пространства признаны отраслевыми стандартами в области безопасности: HTTPS, резервное копирование, собственный SMTP-сервер, LDAP.

Защищенный протокол HTTPS​

ONLYOFFICE позволяет шифровать трафик с помощью протокола HTTPS. Вы можете легко создать сертификат, подписанный центром сертификации, на letsencrypt.org и переключить рабочее пространство на HTTPS одной командой или применить собственные сертификаты.

Прочитайте соответствующие инструкции для Docker, Linux, Windows.

Регулярное резервное копирование​

Чтобы не потерять данные, вы можете создавать резервные копии как вручную, так и автоматически. Функции резервного копирования и восстановления доступны в отдельных разделах настроек рабочего пространства.

Чтобы узнать больше о вариантах резервного копирования и восстановления, прочитайте эту статью.

Собственный SMTP-сервер​

В ONLYOFFICE Apps для уведомления пользователей по умолчанию используется SMTP-сервер ONLYOFFICE. Для повышения безопасности рекомендуем использовать собственный SMTP-сервер, чтобы ваши сообщения не проходили через сторонние сервисы.

Чтобы узнать больше о настройке SMTP-сервера, прочитайте эту статью.

LDAP для централизации доступа​

Вы можете легко импортировать нужных пользователей и группы с вашего LDAP-сервера (например, OpenLDAP Server или Microsoft Active Directory) в рабочее пространство. Вновь созданным пользователям не нужно запоминать новые пароли и логины, так как они будут входить в рабочее пространство, используя учетные данные, хранящиеся на вашем LDAP-сервере.

Подробнее читайте в этой статье.

Безопасный доступ​

Раздел Безопасность в настройках рабочего пространства позволяет управлять доступом к рабочему пространству и отслеживать активность всех пользователей.

Надежность пароля​

Надежные пароли помогают предотвратить несанкционированный доступ к вашим данным. В рабочем пространстве можно задать требования к длине пароля и определить набор символов, которые должны в нем использоваться: заглавные буквы, цифры, специальные символы.

Подробнее о настройках надежности пароля.

Двухфакторная аутентификация​

Двухфакторная аутентификация обеспечивает более безопасный доступ к рабочему пространству. Если двухфакторная аутентификация включена, пользователь получает доступ к данным рабочего пространства после ввода обычных адреса электронной почты и пароля или входа через аккаунт в социальной сети и ввода кода, сгенерированного приложением-аутентификатором.

Чтобы узнать больше об использовании двухфакторной аутентификации, прочитайте следующую статью.

Другие настройки доступа​

  • Укажите доверенные почтовые домены, которые можно использовать для самостоятельной регистрации пользователей в рабочем пространстве. Подробнее.
  • Настройки IP-безопасности позволяют ограничить доступ к рабочему пространству по IP-адресам, разрешив доступ только из доверенных сетей. Подробнее.
  • Защитите рабочее пространство от атак методом перебора, задав лимит неудачных попыток входа пользователя. Подробнее.
  • Используйте функцию «Срок действия сеанса», чтобы задать период времени, по истечении которого пользователям потребуется заново вводить учетные данные для доступа к рабочему пространству. Подробнее.
  • Получайте уведомления о подозрительных входах. Каждый успешный вход сравнивается с предыдущей историей входов пользователя по трем критериям: новое устройство (пара «браузер и ОС»), новая страна и количество неудачных попыток входа. Если выполняются как минимум два из трех критериев, пользователь получает уведомление по электронной почте.
  • Ограничьте доступ к разделу Инструменты разработчика, чтобы создавать вебхуки, OAuth-приложения и API-ключи могли только владелец рабочего пространства и администраторы. Подробнее.
  • Вы также можете вручную выйти из всех активных сеансов на любом устройстве с помощью соответствующей функции в вашем профиле. Подробнее.

Мониторинг входов и действий​

Легко отслеживайте последнюю активность входа пользователей, включая успешные входы и неудачные попытки, в разделе История входов в систему настроек. Раздел Журнал аудита позволяет просматривать список последних изменений (создание, изменение, удаление и т. д.), внесенных пользователями в файлы и папки рабочего пространства. Подробнее.

События аудита и историю входов также можно пересылать на внешний сервер syslog, что позволяет интегрировать рабочее пространство с SIEM-системами и отслеживать его активность вместе с событиями других ваших сервисов.

Безопасное хранилище​

При создании внешних ссылок на публичные комнаты, настраиваемые комнаты или пространства форм их можно защитить паролем. Для публичной или настраиваемой комнаты, доступ к которой предоставлен по ссылке, можно также включить параметр «Ограничить копирование, загрузку и печать содержимого файла», чтобы отключить скачивание файлов и папок. Для дополнительных ссылок можно задать ограничение по времени.

Подробнее о внешних ссылках.

Виртуальные комнаты данных для конфиденциальной информации​

Виртуальные комнаты данных обеспечивают расширенную защиту файлов при хранении конфиденциальной деловой информации и обмене ею. В виртуальной комнате данных доступны следующие средства безопасности при работе с данными: настройка срока действия файлов, запрет на копирование и скачивание файлов, настройка водяных знаков.

  • Срок действия файла — задайте срок действия файла, чтобы автоматически удалять файлы в этой комнате по истечении определенного периода.
  • Ограничить копирование и загрузку — включите этот параметр, чтобы отключить скачивание и копирование содержимого для пользователей с ролью «Читатель».
  • Добавить водяные знаки в документы — защитите все документы в этой комнате водяными знаками.

Подробнее о виртуальных комнатах данных.

Шифрование​

Функция Зашифровать хранимые данные в ONLYOFFICE Apps позволяет обеспечить безопасность конфиденциальных данных в вашем рабочем пространстве.

Шифрование основано на схеме Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) и применяется ко всему телу данных. Оно соответствует международному стандарту шифрования данных AES-256.

Подробнее о функции Зашифровать хранимые данные.

Управление правами доступа​

Вы можете назначать разные уровни прав доступа, определяющие, какие действия с файлами доступны пользователю в комнате. Например, читатели могут только просматривать документы, редакторы могут выполнять все операции редактирования с существующими файлами, а создатели контента могут создавать и загружать новые файлы и папки. Подробнее.

Безопасная работа с документами​

При совместном редактировании документов используйте ряд средств безопасности, чтобы ограничить доступ или возможности редактирования для других пользователей и предотвратить нежелательные изменения данных.

Версии документа​

Просматривайте историю версий, чтобы точно знать, какие изменения были внесены. При необходимости восстановите одну из предыдущих версий документа. Подробнее.

Защита документа паролем​

Защитите документы паролями, чтобы никто не мог получить доступ к вашим файлам, не получив пароль от вас. Подробнее.

Защита книг, листов и диапазонов​

При работе с электронными таблицами можно защитить всю книгу, отдельные листы или диапазоны ячеек, а также скрыть формулы или объекты. Подробнее.

Защита с помощью JWT​

Для защиты документов от несанкционированного доступа редакторы ONLYOFFICE используют JSON Web Token (JWT). Токен добавляется в конфигурацию при инициализации редактора документов и при обмене командами между внутренними службами ONLYOFFICE Docs. Секретный ключ используется для подписи токена JSON Web Token и проверки токена при запросе к ONLYOFFICE Docs.

Основные принципы безопасности​

Вы также можете использовать некоторые общие принципы безопасности серверов, а также сторонние сервисы и инструменты, не связанные с продуктами ONLYOFFICE. Ниже приведены распространенные примеры и советы, которые могут оказаться полезными.

Отключение доступа для root​

Чтобы избежать утечек данных, лучше запретить вход под пользователем root, так как он имеет полный доступ ко всем данным системы. Это можно сделать через терминал сервера, установив для разрешения входа root значение No.

Закрытие всех ненужных портов​

Оставляйте открытыми только те порты, которые необходимы для работы рабочего пространства, так как лишние открытые порты могут стать причиной утечек данных. Используйте утилиту netstat, чтобы просмотреть все открытые порты и связанное с ними программное обеспечение.

Настройка брандмауэра​

Брандмауэр разрешает или блокирует входящий и исходящий сетевой трафик на основе набора заранее заданных правил. В Linux брандмауэр является частью ядра (netfilter), но для управления им необходимо установить утилиту, например UFW для Debian или firewalld для RHEL.

Соблюдение принципа наименьших привилегий​

Назначайте только те права, которые минимально необходимы для выполнения конкретных задач, чтобы пользователи не получали доступ к конфиденциальным областям, которые им не нужны.

Использование SSH для удаленного администрирования ОС​

При удаленном администрировании сервера используйте защищенный протокол SSH. Хотя этот протокол надежен, защиту можно усилить, используя вместо пароля SSH-ключи.

Использование Fail2ban для защиты входа​

Fail2ban можно использовать для защиты сервера от атак методом перебора. Он отслеживает файлы журналов и блокирует соединения, если неудачных попыток входа слишком много.

Включение SELinux или AppArmor​

Включите модули безопасности, которые защищают сервер от неправильно настроенных или скомпрометированных программ. В системах на основе RHEL используется SELinux. В системах на основе Debian можно использовать AppArmor.