Руководство по безопасности Workspace Enterprise

Введение

ONLYOFFICE предоставляет множество способов обеспечить надежную защиту вашего портала. В этом руководстве представлены все функции и инструменты, которые могут повысить уровень безопасности портала, конфиденциальных данных и работы в облачных и десктопных редакторах.

SSL-сертификат

SSL-сертификат — это цифровой сертификат, который подтверждает подлинность сайта и обеспечивает зашифрованное соединение. Вы можете сгенерировать SSL-сертификат или загрузить сертификат стороннего поставщика с помощью Панели управления.

Генерация сертификата

Для получения сертификатов, подписанных центром сертификации, используется сервис Let’s Encrypt.

примечание

Для успешной генерации сертификатов letsencrypt порт 80 должен быть открыт.

Чтобы сгенерировать новый сертификат:

1. откройте страницу HTTPS в разделе ОБЩИЕ НАСТРОЙКИ на левой боковой панели,
2. нажмите СГЕНЕРИРОВАТЬ И ПРИМЕНИТЬ. Появится всплывающее окно с сообщением об успешной генерации сертификата и закрытого ключа.

Панель управления и портал будут перезагружены и на это время станут недоступны. Это может занять до пяти минут. Когда установка сертификата завершится, портал станет доступен по протоколу HTTPS.

Загрузка сертификата

Чтобы загрузить сертификат стороннего поставщика (например, Amazon или GoDaddy):

1. откройте страницу HTTPS в разделе ОБЩИЕ НАСТРОЙКИ на левой боковой панели,

2. нажмите кнопку Плюс рядом с полем CRT-сертификат и выберите свой сертификат .crt, чтобы загрузить его,

3. нажмите кнопку Плюс рядом с полем HTTPS-ключ и выберите свой закрытый ключ .key, чтобы загрузить его,

   примечание

   Перед загрузкой убедитесь, что закрытый ключ не зашифрован. Если файл .key защищен паролем, его сначала необходимо расшифровать.

4. когда файлы .crt и .key будут загружены, нажмите ПРИМЕНИТЬ внизу страницы.

После этого Панель управления и портал будут перезагружены и на это время станут недоступны. Это может занять до пяти минут. Когда установка сертификата завершится, портал станет доступен по протоколу HTTPS. Доменное имя, для которого был выпущен сертификат, теперь отображается в разделе Сгенерирован для домена на странице HTTPS в Панели управления.

После того как вы сгенерировали сертификат или приобрели и загрузили его, можно проверить уровень безопасности с помощью сервиса SSL Labs или другого подобного сервиса. Уровень безопасности должен быть не ниже A.

Подробнее о переключении на HTTPS читайте в этой статье.

Автоматическое резервное копирование

Автоматическое резервное копирование можно включить в Панели управления. Также время от времени имеет смысл создавать копии портала с помощью сторонних сервисов.

Чтобы включить Автоматическое резервное копирование:

1. перейдите на страницу Резервное копирование в разделе ОБЩИЕ НАСТРОЙКИ на левой боковой панели и найдите раздел Автоматическое резервное копирование,

2. щелкните переключатель Отключено, чтобы включить функцию,

   

3. выберите нужное Хранилище для файлов резервных копий: доступны облачные сервисы Amazon AWS S3, Google, Rackspace и Selectel или другие сервисы WebDAV, за исключением Временного хранилища, которое доступно только в разделе Резервное копирование данных,

4. укажите интервал создания резервных копий: Каждый день, Каждую неделю или Каждый месяц с указанием соответствующей части периода,

5. задайте Максимальное количество хранимых резервных копий, выбрав нужное значение от 1 до 30 в соответствующем выпадающем списке,

6. установите флажок Включить Почту в резервную копию, если вы хотите создавать резервные копии данных модуля Почта,

7. нажмите СОХРАНИТЬ.

Резервные копии будут создаваться автоматически с указанной периодичностью.

Подробнее о возможностях резервного копирования и восстановления читайте в этой статье.

Настройка параметров безопасности портала

Правила доступа к порталу необходимо настроить до добавления пользователей. Это можно сделать на странице Доступ к порталу. Перейти на нее можно так: Настройки > Безопасность > Доступ к порталу.

Вы можете ограничить доступ к порталу, определив параметры паролей: настроив количество символов в пароле и потребовав наличия в паролях пользователей заглавных букв, цифр и специальных символов.

Для входа на портал доступна двухфакторная аутентификация. Ее можно настроить с использованием приложения, Authy или Google Authenticator; последний настоятельно рекомендуется. Другой способ — двухфакторная аутентификация по SMS. Для ее использования необходимо подключить smsc, Clickatell или Twilio. Включить эти опции можно на странице Сторонние сервисы на вкладке Интеграция, указав API-ключ соответствующего сервиса.

Поскольку у некоторых почтовых доменов массовой рассылки есть известные проблемы с безопасностью, вы можете указать доверенные почтовые домены, которые можно использовать для регистрации. Чтобы включить эту функцию, в разделе Настройки доверенных почтовых доменов установите флажок Пользовательские домены и укажите доверенные доменные имена в появившихся полях.

Чтобы задать список разрешенных IP-адресов доверенных пользователей, используйте функцию IP-безопасность.

примечание

Это ограничение будет блокировать доступ к порталу даже для существующих пользователей портала, если они попытаются войти с нового места.

В ONLYOFFICE Workspace также есть функция Время жизни сессии. Включив ее, вы можете задать длительность сессии для каждого пользователя, по истечении которой будет выполнен автоматический выход.

Подробнее о том, как управлять доступом к порталу, читайте в этой статье.

LDAP для централизации доступа

Вы можете импортировать учетные данные пользователей с вашего LDAP-сервера. Это можно сделать в Панели управления в разделе Настройки портала на странице LDAP.

Включите переключатель Включить LDAP-аутентификацию, затем укажите следующие данные:

• информацию о сервере, например, URL-адрес,

• номер порта, используемого для доступа к LDAP-серверу,

• путь к каталогу с данными пользователей (User DN), которых вы хотите импортировать,

• фильтр пользователей, если нужно импортировать только определенных пользователей из этого каталога, и значение атрибута логина.

  

Импорт групп выполняется так же, как импорт пользователей с вашего LDAP-сервера.

примечание

Домен входа для аутентификации на портале ONLYOFFICE соответствует домену LDAP.

Вы также можете синхронизировать данные LDAP-сервера с порталом ONLYOFFICE, чтобы они корректно отображались в профилях пользователей.

Подробнее о том, как импортировать пользователей и группы с помощью LDAP-сервера, читайте в этой статье.

Использование собственного SMTP-сервера

В ONLYOFFICE Workspace сервером для уведомлений пользователей (например, об обновлениях портала или сообщества, предоставлении доступа к документам или изменениях в проектах) по умолчанию является SMTP-сервер ONLYOFFICE. Для повышения безопасности мы рекомендуем использовать собственный SMTP-сервер, чтобы ваши сообщения не проходили через сторонние сервисы.

Для этого выполните следующие действия:

1. Откройте модуль Настройки, затем в разделе Интеграция откройте страницу Настройки SMTP.

2. Укажите домен и порт SMTP-сервера.

3. Укажите учетные данные для входа.

4. Укажите имя отправителя для получателей и адрес электронной почты отправителя для получателей.

5. При желании, для повышения безопасности, если ваш сервер это поддерживает, установите флажок Включить SSL.

   

После настройки параметров SMTP-сервера попробуйте отправить тестовое письмо, нажав Отправить тестовое письмо. Если письмо доставлено успешно, нажмите Сохранить.

Подробнее о настройке SMTP-сервера читайте в этой статье.

Мониторинг входов пользователей и других действий

С помощью ONLYOFFICE Workspace вы можете отслеживать действия и входы пользователей. Список действий и входов пользователей можно посмотреть в Панели управления.

Информация о входах хранится на странице История входов:

Чтобы просмотреть подробную статистику за последние шесть месяцев, нажмите Скачать и открыть отчет. Отчет откроется в электронной таблице .xlsx (LoginHistory_ReportStartDate-EndDate.xlsx).

Отчет об истории входов содержит следующие сведения: IP-адрес пользователя, Браузер и Платформа, которые использовались при возникновении зарегистрированного события, Дата и время события, имя Пользователя, который пытался войти или выйти, Страница портала, на которой было выполнено действие, конкретное Действие (например, Login Fail. Associated Social Account Not Found).

История действий хранится на странице Журнал аудита:

Чтобы просмотреть подробную статистику за последние шесть месяцев, нажмите Скачать и открыть отчет. Отчет откроется в электронной таблице .xlsx (AuditTrail_ReportStartDate-EndDate.xlsx).

Отчет журнала аудита содержит следующие сведения: IP-адрес пользователя, Браузер и Платформа, которые использовались при возникновении зарегистрированного события, Дата и время события, имя Пользователя, который выполнил операцию, Страница портала, на которой было выполнено действие, общий Тип действия (например, download, attach, updated access), конкретное Действие (например, Projects [Product development and promotion]. Tasks [Distribute coupons]. Status Updated: Closed), Продукт и Модуль, к которым относится измененный объект.

Также на соответствующих страницах можно задать срок хранения как для истории входов, так и для журнала аудита.

Отключение root-доступа

Чтобы избежать утечек данных, лучше запретить вход под root, так как пользователь root имеет полный доступ ко всем данным системы. Это можно сделать в терминале сервера, установив для разрешения входа root значение No.

Закрытие всех ненужных портов

Следует оставлять открытыми только те порты, которые необходимы для работы портала, поскольку лишние открытые порты могут стать причиной утечек данных. Список портов, необходимых для работы ONLYOFFICE Workspace, можно найти в этой статье.

Настройка версионности файлов

Для защиты данных, если у некоторых пользователей плохое подключение к интернету, можно настроить версионность файлов в разделе Настройки модуля Документы. Можно сохранять все промежуточные версии и разрешить автоматическое создание копий обновленных файлов либо просто обновлять существующие файлы после применения изменений. Подробнее читайте в этой статье.

Настройка разрешений для документов и прав доступа к порталу

Доступ к документам следует предоставлять только уполномоченным участникам определенных рабочих групп. Уровень доступа можно настроить, нажав кнопку Поделиться рядом с нужным документом. В открывшемся окне можно добавить пользователей и задать их уровень доступа, в том числе:

• Только чтение,
• Заполнение форм,
• Пользовательский фильтр,
• Комментирование,
• Рецензирование,
• Полный доступ.

Разработчики также могут настроить уровни разрешений для документа отдельно и более подробно: запретить доступ к истории документа, копирование содержимого, скачивание документа и т. д. Подробнее о параметрах настройки доступа к документам читайте в этой статье.

Также можно задать права доступа к порталу. С помощью модуля Настройки можно ограничить доступ к определенным модулям для разных пользователей и групп. Для этого откройте страницу Права доступа в разделе Безопасность. Там можно настроить администраторов и изменить их права доступа. Ниже на этой же странице можно также разрешить или запретить доступ к определенным модулям.

Приватные комнаты для безопасной работы с документами

В ONLYOFFICE каждый пользователь может использовать приватные комнаты, чтобы создать защищенное рабочее пространство для работы с документами. Приватная комната — это раздел в модуле Документы. Офисные файлы .docx, .xlsx и .pptx в приватной комнате шифруются алгоритмом AES-256.

Чтобы работать с приватными комнатами:

1. включите функцию в Панели управления,
2. скачайте десктопные редакторы и подключите их к облаку на главной странице приложения.

Работать в своей приватной комнате на портале можно с помощью соответствующего раздела в модуле Документы. Вы можете предоставлять доступ к документам из своей приватной комнаты так же, как вы обычно делаете это для документов на портале.

Шифрование данных

В ONLYOFFICE есть функция шифрования данных, которой можно управлять с помощью Панели управления в серверной версии.

Шифрование позволяет преобразовать данные для конфиденциального и безопасного хранения. Шифрование ONLYOFFICE основано на типе шифрования Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) всего тела данных. Оно соответствует международному стандарту шифрования данных AES-256.

Чтобы подготовить портал к шифрованию, необходимо:

1. Войти на портал и нажать значок Панель управления на Стартовой странице. Можно также перейти в Настройки портала и выбрать ссылку Панель управления на левой боковой панели.
2. Перейти в раздел Резервное копирование и создать резервную копию данных.
3. Отключить функцию Автоматическое резервное копирование данных.
4. Выбрать опцию Локальное хранилище как для Подключения хранилища для статических данных, так и для Подключения хранилища в качестве CDN.
5. Убедиться, что на жестком диске достаточно свободного места.

После завершения предварительных шагов можно переходить к следующему этапу.

Чтобы зашифровать хранилище, необходимо:

1. Перейти в раздел Хранилище в Панели управления.

2. Установить флажок Оповестить пользователей о недоступности портала, чтобы уведомить всех активных пользователей по электронной почте о начале процесса шифрования.

   примечание

   После успешного завершения процесса шифрования все активные пользователи также получат уведомления по электронной почте. Если во время шифрования произойдет ошибка, то все администраторы (независимо от опции «Оповестить пользователей») получат уведомления по электронной почте о неудачном шифровании.

3. Нажать Зашифровать хранилище, а затем OK, чтобы запустить процесс шифрования.

   примечание

   Когда шифрование включено, во вновь созданной резервной копии архива данных файлы будут расшифрованными. При восстановлении такой копии файлы будут снова зашифрованы на диске.

Время, необходимое для завершения процедуры, зависит от объема данных. Во время шифрования все порталы будут недоступны. Как только шифрование завершится, данные портала станут доступны для работы.

Чтобы расшифровать хранилище, необходимо:

1. Перейти в раздел Хранилище в Панели управления.

2. Установить флажок Оповестить пользователей о недоступности портала, чтобы уведомить всех активных пользователей по электронной почте о начале процесса расшифровки.

   примечание

   После успешного завершения процесса расшифровки все активные пользователи также получат уведомления по электронной почте. Если во время расшифровки произойдет ошибка, то все администраторы (независимо от опции Оповестить пользователей) получат уведомления по электронной почте о неудачной расшифровке.

3. Нажать Расшифровать хранилище, а затем OK, чтобы запустить процесс расшифровки.

Время, необходимое для завершения процедуры, зависит от объема данных. Во время расшифровки все порталы будут недоступны. Как только расшифровка завершится, данные портала станут доступны для работы.