Vodič za bezbednost Workspace Enterprise

Uvod

ONLYOFFICE pruža mnogo načina da osigurate da je vaš portal pravilno zaštićen. U ovom vodiču predstavljene su sve funkcije i alati koji mogu poboljšati nivo bezbednosti portala, osetljivih podataka i rada u cloud i desktop editorima.

SSL Sertifikat

SSL sertifikat je digitalni sertifikat koji potvrđuje identitet web sajta i omogućava enkriptovanu vezu. Možete generisati SSL sertifikat ili učitati sertifikat treće strane koristeći Kontrolnu tablu.

Generisanje Sertifikata

Let’s encrypt servis se koristi za obezbeđivanje sertifikata potpisanih od strane CA.

Da biste generisali novi sertifikat,

1. otvorite stranicu HTTPS u odeljku OPŠTA PODEŠAVANJA na levoj bočnoj traci,
2. kliknite na dugme GENERISATI I PRIMENITI. Pojaviće se poruka koja obaveštava da su sertifikat i privatni ključ uspešno generisani.

Kontrolna tabla i portal će se restartovati i postati nedostupni tokom ovog procesa. To može potrajati do 5 minuta. Kada se proces instalacije sertifikata završi, vaš portal će biti dostupan preko HTTPS-a.

Učitavanje Sertifikata

Da biste učitali sertifikat treće strane (npr., Amazon ili GoDaddy),

1. otvorite stranicu HTTPS u odeljku OPŠTA PODEŠAVANJA na levoj bočnoj traci,
2. kliknite na dugme Plus pored polja CRT sertifikat i izaberite vaš .crt sertifikat da biste ga učitali,
3. kliknite na dugme Plus pored polja HTTPS ključ i izaberite vaš privatni .key ključ da biste ga učitali,
   Pre učitavanja, molimo vas da se uverite da privatni ključ nije enkriptovan. Ako imate .key fajl zaštićen lozinkom, prvo ćete ga morati dekriptovati.
4. kada su .crt i .key fajlovi učitani, kliknite na dugme PRIMENI na dnu stranice.

Nakon toga, vaš Kontrolna tabla i portal će se restartovati i postati nedostupni tokom ovog procesa. To može potrajati do 5 minuta. Kada se proces instalacije sertifikata završi, vaš portal će biti dostupan preko HTTPS-a. Ime domena za koje je vaš sertifikat izdat sada je prikazano u odeljku Generisano na domenu na stranici HTTPS u Kontrolnoj tabli.

Kada ste generisali sertifikat ili ga kupili i učitali, možete proveriti nivo bezbednosti koristeći SSL Labs servis ili neki drugi sličan servis. Vaš nivo bezbednosti ne sme biti niži od A.

Da biste saznali više o prelasku na HTTPS, pročitajte ovaj članak.

Automatska bekap kopija

Automatska bekap kopija može se omogućiti u Kontrolnoj tabli. Takođe može biti dobra odluka da s vremena na vreme pravite kopije portala koristeći usluge trećih strana.

Da biste uključili Automatsku bekap kopiju,

1. pređite na Bekap stranicu u odeljku OPŠTA PODEŠAVANJA na levoj bočnoj traci i pronađite odeljak Automatska bekap kopija,
2. kliknite na prekidač Onemogućeno da biste omogućili funkciju,
   
3. izaberite potrebnu Skladište za bekap fajlove (dostupne opcije su Amazon AWS S3, Google, Rackspace i Selectel cloud skladišne usluge ili druge WebDAV usluge, osim Privremenog skladišta, koje je dostupno samo u odeljku Bekap podataka),
4. odredite vremenski interval u kojem treba kreirati bekap kopije: Svakog dana, Svakog nedelje ili Svakog meseca uz navođenje potrebnog dela vremenskog perioda,
5. postavite Maksimalan broj bekap kopija koje će biti sačuvane odabirom potrebne vrednosti (od 1 do 30) iz odgovarajuće padajuće liste,
6. označite polje Uključi Mail u bekap ako želite da bekapujete i podatke Mail-a,
7. kliknite na dugme SAČUVAJ.

Bekap kopije će se automatski kreirati sa specificiranom periodičnošću.

Da biste saznali više o opcijama bekapa i vraćanja, pročitajte ovaj članak.

Podešavanje sigurnosnih postavki portala

Pravila pristupa portalu moraju biti postavljena pre dodavanja korisnika na portal. To se može uraditi putem stranice Pristup portalu. Možete doći do stranice na sledeći način: Podešavanja > Sigurnost > Pristup portalu.

Možete ograničiti pristup portalu određivanjem postavki lozinke: Podešavanje broja karaktera lozinke, Zahtev za uključivanje velikih slova i Cifara i specijalnih karaktera u lozinkama korisnika.

Dvofaktorska autentifikacija je dostupna za prijavu na portal. Može se podesiti za korišćenje aplikacije - Authy ili Google Authenticator; preporučuje se korišćenje Google Authenticator-a. Drugi način je 2FA putem SMS-a. Da biste ga koristili, potrebno je da koristite SMC, Clickatell ili Twillio (možete uključiti ove opcije na stranici Usluge trećih strana u Odeljku za integraciju, koristeći API ključ odgovarajuće usluge).

Kako neki od masovnih mail domena imaju poznate sigurnosne probleme, možete odrediti pouzdane mail domene koji se mogu koristiti za registraciju. Da biste uključili ovu funkciju, u Podešavanjima pouzdanih mail domena, potrebno je da označite polje Prilagođeni domeni i navedete imena pouzdanih domena u pojavljenim poljima.

Da biste postavili belu listu za pouzdane IP adrese korisnika, koristite funkciju IP Sigurnost.

ONLYOFFICE Workspace takođe ima funkciju Trajanje sesije. Omogućavanjem, možete postaviti trajanje sesije za svakog korisnika nakon čega će se automatski odjaviti.

Da biste saznali više o kontroli pristupa portalu, pročitajte ovaj članak.

LDAP za centralizaciju pristupa

Možete uvesti korisničke kredencijale sa vašeg LDAP servera. To se može uraditi putem Kontrolne table, u odeljku Podešavanja portala, na stranici LDAP.

Uključite prekidač Omogući LDAP autentifikaciju, zatim unesite sledeće podatke:

• informacije o vašem serveru, kao URL adresu,
• broj porta koji se koristi za pristup LDAP serveru,
• putanju do direktorijuma sa podacima korisnika (User DN) koje želite da uvezete,
• filter korisnika, ako treba da uvezete samo određene korisnike iz tog direktorijuma i vrednost atributa za prijavu.
  

Uvoz grupa se obavlja na isti način kao i uvoz korisnika sa vašeg LDAP servera.

Možete takođe sinhronizovati podatke LDAP servera sa ONLYOFFICE portalom kako bi bili pravilno vidljivi u korisničkim profilima.

Da biste saznali više o uvozu korisnika i grupa koristeći LDAP Server, pročitajte ovaj članak.

Korišćenje privatnog SMTP servera

U ONLYOFFICE Workspace-u podrazumevani server za obaveštavanje korisnika (na primer, o ažuriranjima portala ili zajednice, dodeli pristupa dokumentima ili promenama u projektima) je ONLYOFFICE SMTP server. Za veću sigurnost, preporučujemo korišćenje sopstvenog SMTP servera, kako vaše poruke ne bi prolazile kroz usluge trećih strana.

Da biste to uradili, pratite sledeće instrukcije:

1. Otvorite modul Podešavanja, zatim u odeljku Integracija, otvorite stranicu SMTP podešavanja.
2. Odredite domen i port SMTP servera.
3. Odredite kredencijale za prijavu
4. Odredite ime pošiljaoca za primaoce i email adresu pošiljaoca za primaoce.
5. OPCIONALNO . Za bolju sigurnost, ako vaš server to podržava, označite opciju Omogući SSL.
   

Nakon podešavanja SMTP servera, pokušajte da pošaljete testni mejl klikom na dugme Pošalji testni mejl. Ako je poruka uspešno isporučena, kliknite na dugme Sačuvaj.

Za više informacija o podešavanju SMTP servera, pročitajte ovaj članak.

Praćenje prijavljivanja korisnika i drugih akcija

Korišćenjem ONLYOFFICE Workspace-a možete lako pratiti akcije korisnika i prijavljivanja. Možete videti listu akcija i prijavljivanja korisnika koristeći Kontrolnu tablu.

Informacije o prijavljivanju se čuvaju na stranici Istorija prijavljivanja:

Za pregled detaljne statistike za poslednjih šest meseci kliknite na dugme Preuzmi i otvori izveštaj. Izveštaj će se otvoriti u .xlsx tabeli (LoginHistory_ReportStartDate-EndDate.xlsx).

Izveštaj o istoriji prijavljivanja uključuje sledeće detalje: korisničku IP adresu, Pregledač i Platformu korišćene tokom registrovanog događaja, Datum i vreme događaja, ime Korisnika koji je pokušao da se prijavi/odjavi, portal Stranicu gde je akcija izvršena, specifičnu Akciju (na primer, Neuspešna prijava. Povezani društveni nalog nije pronađen).

Istorija akcija se čuva na stranici Trag revizije:

Za pregled detaljne statistike za poslednjih šest meseci kliknite na dugme Preuzmi i otvori izveštaj. Izveštaj će se otvoriti u .xlsx tabeli (AuditTrail_ReportStartDate-EndDate.xlsx).

Izveštaj o tragu revizije uključuje sledeće detalje: korisničku IP adresu, Pregledač i Platformu korišćene tokom registrovanog događaja, Datum i vreme događaja, ime Korisnika koji je izvršio operaciju, portal Stranicu gde je akcija izvršena, generički Tip akcije (na primer, preuzimanje, dodavanje, ažuriran pristup), specifičnu Akciju (na primer, Projekti [Razvoj i promocija proizvoda]. Zadaci [Distribucija kupona]. Status ažuriran: Zatvoreno ), Proizvod i Modul na koji se odnosi promenjena entitet.

Takođe je moguće postaviti period čuvanja za istoriju prijavljivanja i trag revizije na odgovarajućim stranicama.

Onemogućavanje root pristupa

Da biste izbegli curenje podataka, bolje je zabraniti prijavljivanje kao root jer root korisnik ima potpuni pristup svim podacima sistema. Ovo se može uraditi putem terminala servera, postavljanjem dozvole za prijavljivanje root korisnika na Ne.

Zatvaranje svih nepotrebnih portova

Trebalo bi da ostavite otvorene samo one portove koji su vam potrebni za funkcionisanje portala, jer dodatni otvoreni portovi mogu biti uzrok curenja podataka. Lista potrebnih portova za funkcionisanje ONLYOFFICE Workspace-a nalazi se ovde.

Podešavanje parametara za čuvanje verzija datoteka

Za zaštitu podataka, ako neki korisnici imaju lošu internet vezu, možete prilagoditi verzionisanje datoteka koristeći odeljak Podešavanja u Modulu dokumenata. Moguće je čuvati sve međuverzije i omogućiti automatsko kreiranje kopija ažuriranih datoteka ili samo ažurirati postojeće datoteke nakon primene promena. Više informacija možete pročitati ovde.

Podešavanje dozvola za dokumente i prava pristupa portalu

Trebalo bi da omogućite pristup dokumentima samo ovlašćenim članovima određenih radnih grupa. Možete prilagoditi nivo pristupa klikom na dugme Deljenje pored željenog dokumenta. U otvorenom prozoru možete dodati korisnike i postaviti njihov nivo pristupa uključujući:

• Samo za čitanje,
• Popunjavanje obrazaca,
• Prilagođeni filter,
• Komentarisanje,
• Pregled,
• Puni pristup.

Programeri takođe mogu posebno i detaljnije postaviti nivoe dozvola za dokumente: zabraniti pristup istoriji dokumenata, kopiranje sadržaja, preuzimanje dokumenata itd. Više informacija o podešavanju parametara pristupa dokumentima možete pronaći ovde.

Takođe je moguće postaviti prava pristupa portalu. Možete ograničiti pristup određenim modulima za različite korisnike i grupe koristeći Modul podešavanja. Potrebno je otvoriti stranicu Prava pristupa iz odeljka Sigurnost. Tamo možete prilagoditi administratore i promeniti njihova prava pristupa. Takođe, možete omogućiti ili zabraniti pristup određenim modulima niže na toj stranici.

Privatne sobe za siguran rad sa dokumentima

U ONLYOFFICE-u svaki korisnik može koristiti privatne sobe za kreiranje sigurnog radnog prostora za rad sa dokumentima. Privatna soba je odeljak u Dokumentima. Office datoteke .docx, .xlsx i .pptx u privatnoj sobi su šifrovane algoritmom AES-256.

Za rad sa privatnim sobama,

1. omogućite ovu funkciju u Kontrolnoj tabli,
2. preuzmite desktop editor i povežite ga sa cloud-om na glavnoj stranici aplikacije.

Možete raditi unutar svoje privatne sobe na portalu, koristeći odgovarajući odeljak u Modulu dokumenata. Možete deliti dokumente iz svoje privatne sobe na isti način kao što obično delite dokumente na portalu.

Zaštita enkripcijom podataka

ONLYOFFICE ima funkciju enkripcije podataka, koja se može upravljati korišćenjem Kontrolne table na serverskoj verziji.

Enkripcija omogućava konvertovanje podataka za poverljivo i sigurno skladištenje. ONLYOFFICE enkripcija se zasniva na tipu enkripcije Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) celog tela podataka. U skladu je sa međunarodnim standardom enkripcije podataka AES-256.

Da biste pripremili portal za enkripciju, potrebno je:

1. Prijavite se na svoj portal i kliknite na ikonu Kontrolna tabla na Početnoj stranici.
   Alternativno, možete otići na Podešavanja portala i odabrati link Kontrolna tabla na levoj strani.
2. Prebacite se na Odeljak za bekap i napravite bekap podataka.
3. Onemogućite funkciju Automatski bekap podataka.
4. Odaberite opciju Lokalno skladište za oba Poveži skladište za statičke podatke i Poveži skladište kao CDN.
5. Uverite se da imate dovoljno prostora na hard disku.

Nakon što su preliminarne pripreme spremne, možete preći na sledeći korak.

Da biste šifrovali skladište, potrebno je:

1. Prebacite se na Odeljak za skladište u Kontrolnoj tabli.
2. Označite opciju Obavesti korisnike da portal neće biti dostupan da biste obavestili sve aktivne korisnike putem email-a kada proces enkripcije počne.
   Nakon uspešnog završetka procesa enkripcije, svi aktivni korisnici će takođe primiti email obaveštenja. Ako dođe do greške tokom procesa enkripcije, svi administratori (bez obzira na opciju Obavesti korisnike) će primiti email obaveštenja o neuspešnom procesu enkripcije.
3. Kliknite na dugme Šifruj skladište i zatim OK da pokrenete proces enkripcije.
   Kada je enkripcija omogućena, novo kreirana bekap kopija arhive podataka će sadržati dešifrovane datoteke. Kada se takva kopija obnovi, datoteke će ponovo biti šifrovane na disku.

Vreme potrebno za završetak procedure zavisi od obima podataka. Svi portali će biti nedostupni tokom procesa enkripcije. Čim enkripcija završi, podaci portala će biti dostupni za rad.

Da biste dešifrovali skladište, potrebno je:

1. Pređite na odeljak Skladište u Kontrolnoj tabli.
2. Označite polje Obavesti korisnike da portal neće biti dostupan da biste obavestili sve aktivne korisnike putem emaila kada proces dešifrovanja počne.
   Nakon uspešnog završetka procesa dešifrovanja, svi aktivni korisnici će takođe primiti email obaveštenja. Ako dođe do greške tokom procesa dešifrovanja, svi administratori (bez obzira na opciju Obavesti korisnike) će primiti email obaveštenja o neuspešnom procesu dešifrovanja.
3. Kliknite na dugme Dešifruj skladište i zatim OK da pokrenete proces dešifrovanja.

Vreme potrebno za završetak procedure zavisi od obima podataka. Svi portali će biti nedostupni tokom procesa enkripcije. Čim enkripcija bude završena, podaci portala će biti dostupni za rad.