Ana içeriğe geç

ONLYOFFICE çalışma alanı Güvenlik Kılavuzu

Giriş​

ONLYOFFICE, verilerinizi güvende tutmak ve çevrimiçi iş birliğini güvenli hale getirmek için çok çeşitli güvenlik araçları sunar. Bu kılavuz, çalışma alanınızın güvenlik düzeyini artırmanızı sağlayan tüm özellikleri açıklar.

Ayrıca sunucunuzun azami güvenliğini sağlamak için yaygın bazı güvenlik teknolojilerini, ilkelerini ve belirli hizmetleri de inceleyebilirsiniz.

Genel çalışma alanı güvenliği​

Bazı çalışma alanı özellikleri güvenlik alanında sektör standardı olarak kabul edilir: HTTPS, yedekleme, kendi SMTP sunucunuz, LDAP.

Güvenli HTTPS protokolü​

ONLYOFFICE, trafiğinizi HTTPS protokolüyle şifrelemenizi sağlar. letsencrypt.org üzerinde kolayca CA imzalı bir sertifika oluşturabilir ve çalışma alanınızı tek bir komutla HTTPS'ye geçirebilir veya kendi sertifikalarınızı uygulayabilirsiniz.

İlgili yönergeleri okuyun: Docker, Linux, Windows.

Düzenli yedeklemeler​

Veri kaybını önlemek için verilerinizi hem elle hem de otomatik olarak yedekleyebilirsiniz. Yedekleme ve Geri Yükleme özellikleri, çalışma alanı Ayarlar'ının ayrı bölümleri olarak sunulur.

Yedekleme ve geri yükleme seçenekleri hakkında daha fazla bilgi için bu makaleyi okuyun.

Kendi SMTP sunucunuz​

ONLYOFFICE Apps'te kullanıcı bildirimleri için varsayılan sunucu ONLYOFFICE SMTP sunucusudur. Daha yüksek güvenlik için, iletilerinizin herhangi bir üçüncü taraf hizmetinden geçmemesi amacıyla kendi SMTP sunucunuzu kullanmanızı öneririz.

SMTP sunucusunu ayarlama hakkında daha fazla bilgi için bu makaleyi okuyun.

Erişimin merkezileştirilmesi için LDAP​

Gerekli kullanıcıları ve grupları LDAP sunucunuzdan (örneğin OpenLDAP Server veya Microsoft Active Directory) çalışma alanınıza kolayca aktarabilirsiniz. Yeni oluşturulan kullanıcıların yeni parolalar ve oturum açma adları hatırlamasına gerek kalmaz; çünkü çalışma alanında LDAP sunucunuzda saklanan kimlik bilgileriyle oturum açarlar.

Daha fazla ayrıntı için bu makaleyi okuyun.

Güvenli erişim​

Çalışma alanı Ayarlar'ındaki Güvenlik bölümü, çalışma alanınıza erişimi denetlemenizi ve tüm kullanıcıların etkinliğini izlemenizi sağlar.

Parola gücü​

Güçlü parolalar, verilerinize yetkisiz erişimi önlemeye yardımcı olabilir. Çalışma alanınızda parola uzunluğu için gereksinimler belirleyebilir ve parolada kullanılması gereken karakter kümesini (büyük harfler, rakamlar, özel karakterler) tanımlayabilirsiniz.

Parola gücü ayarları hakkında daha fazla bilgi edinin.

İki faktörlü kimlik doğrulaması​

İki faktörlü kimlik doğrulaması, çalışma alanına daha güvenli erişim sağlar. İki faktörlü kimlik doğrulaması etkinleştirildiğinde kullanıcı, her zamanki e-posta adresini ve parolasını girdikten veya sosyal medya hesabıyla oturum açtıktan sonra kimlik doğrulama uygulamasının oluşturduğu kodu yazarak çalışma alanı verilerine erişebilir.

İki faktörlü kimlik doğrulamasını kullanma hakkında daha fazla bilgi için şu makaleyi okuyun.

Diğer erişim ayarları​

  • Çalışma alanınızda kullanıcıların kendi kendine kaydolması için kullanılabilecek güvenilir e-posta alan adlarını belirleyin. Daha fazla bilgi.
  • IP güvenliği ayarları, yalnızca güvenilir ağlardan erişime izin vererek çalışma alanınıza erişimi IP adreslerine göre kısıtlamanızı sağlar. Daha fazla bilgi.
  • Kullanıcının başarısız oturum açma denemeleri için bir sınır belirleyerek çalışma alanınızı kaba kuvvet saldırılarına karşı koruyun. Daha fazla bilgi.
  • Kullanıcıların çalışma alanına erişmek için kimlik bilgilerini yeniden girmesi gereken süre sınırını belirlemek için Oturum Süresi özelliğini kullanın. Daha fazla bilgi.
  • Şüpheli oturum açma işlemlerinden haberdar olun. Her başarılı oturum açma, kullanıcının önceki oturum açma geçmişiyle üç ölçüte göre karşılaştırılır: yeni bir cihaz (tarayıcı ve işletim sistemi çifti), yeni bir ülke ve başarısız oturum açma denemelerinin sayısı. Üç ölçütten en az ikisi karşılanırsa kullanıcı bir bildirim e-postası alır.
  • Geliştirici Araçları bölümüne erişimi, yalnızca çalışma alanı sahibi ve yöneticiler webhook'lar, OAuth uygulamaları ve API anahtarları oluşturabilecek şekilde sınırlayın. Daha fazla bilgi.
  • Profilinizdeki ilgili özelliği kullanarak herhangi bir cihazdaki tüm etkin oturumlardan elle çıkış da yapabilirsiniz. Daha fazla bilgi.

Oturum açma ve eylem izleme​

Ayarlar'ın Giriş Geçmişi bölümünü kullanarak başarılı oturum açmalar ve başarısız denemeler dahil en son kullanıcı oturum açma etkinliğini kolayca izleyin. Denetim İzleme bölümü, kullanıcıların çalışma alanınızdaki dosya ve klasörlerde yaptığı en son değişikliklerin (oluşturma, değiştirme, silme vb.) listesine göz atmanızı sağlar. Daha fazla bilgi.

Denetim olayları ve oturum açma geçmişi harici bir syslog sunucusuna da iletilebilir. Bu, çalışma alanını SIEM sistemleriyle bütünleştirmenize ve etkinliğini diğer hizmetlerinizin olaylarıyla birlikte izlemenize olanak tanır.

Güvenli depolama​

Herkese açık odalar, özel odalar veya form alanları için harici bağlantılar oluştururken bunları bir parolayla koruyabilirsiniz. Bağlantıyla paylaşılan herkese açık veya özel odalar için, dosya ve klasör indirmelerini devre dışı bırakmak üzere Dosya içeriği kopyalamayı, dosya indirmeyi ve yazdırmayı kısıtla seçeneğini de etkinleştirebilirsiniz. Ek bağlantılar zaman aralığıyla sınırlandırılabilir.

Harici bağlantılar hakkında daha fazla bilgi edinin.

Hassas veriler için Sanal Veri Odaları​

Sanal Veri Odaları, gizli iş bilgilerinin saklanması ve paylaşılması için gelişmiş dosya güvenliği sağlar. Sanal Veri Odasında verilerle çalışmak için şu güvenlik özellikleri kullanılabilir: dosya ömrünü ayarlama, dosyaların kopyalanmasını ve indirilmesini yasaklama, filigran ekleme.

  • Dosya ömrü - Bu odadaki dosyaları belirli bir süre sonra otomatik olarak silmek için dosya ömrünü ayarlayın.
  • Kopyalamayı ve indirmeyi kısıtla - "Görüntüleyici" rolündeki kullanıcılar için indirmeleri ve içerik kopyalamayı devre dışı bırakmak üzere bu ayarı etkinleştirin.
  • Belgelere filigran ekle - Bu odadaki tüm belgeleri filigranlarla koruyun.

Sanal Veri Odaları hakkında daha fazla bilgi edinin.

Şifreleme​

ONLYOFFICE Apps tarafından sunulan Bekleyen verileri şifrele özelliği, çalışma alanınızdaki hassas verilerin güvenliğini sağlamanıza olanak tanır.

Şifreleme, verilerin tamamına uygulanan Encrypt-then-MAC türü şifrelemeye (AES-256-CBC + HMAC-SHA256) dayanır. Uluslararası AES-256 veri şifreleme standardıyla uyumludur.

Bekleyen verileri şifrele özelliği hakkında daha fazla bilgi edinin.

İzin yönetimi​

Bir oda içinde kullanıcının dosyalarla hangi eylemleri yapabileceğini belirleyen farklı izin düzeyleri atayabilirsiniz. Örneğin görüntüleyiciler belgeleri yalnızca görüntüleyebilir, editörler mevcut dosyalarda tüm düzenleme işlemlerini yapabilir, içerik oluşturucular yeni dosya ve klasörler oluşturabilir ve yükleyebilir. Daha fazla bilgi.

Belgelerle güvenli çalışma​

Belgeleri birlikte düzenlerken, diğer kullanıcıların erişimini veya düzenleme yetkilerini kısıtlamak ve verilerde istenmeyen değişiklikleri önlemek için çeşitli güvenlik özelliklerinden yararlanın.

Belge sürümleri​

Hangi değişikliklerin yapıldığını tam olarak görmek için sürüm geçmişini görüntüleyin. Gerekirse belgenin önceki sürümlerinden birini geri yükleyin. Daha fazla bilgi.

Belge parola koruması​

Dosyalarınıza sizden parola almadan kimsenin erişememesi için belgeleri parolalarla koruyun. Daha fazla bilgi.

Çalışma kitaplarını, sayfaları, aralıkları koruma​

E-tablolarla çalışırken tüm çalışma kitabını, belirli sayfaları veya hücre aralıklarını koruyabilir, ayrıca formülleri veya nesneleri gizleyebilirsiniz. Daha fazla bilgi.

JWT koruması​

Belgeleri yetkisiz erişimden korumak için ONLYOFFICE düzenleyicileri JSON Web Token (JWT) kullanır. Belirteç, Belge Düzenleyici başlatılırken ve ONLYOFFICE Docs'un iç hizmetleri arasında komut alışverişi sırasında yapılandırmaya eklenir. Gizli anahtar, JSON web belirtecini imzalamak ve ONLYOFFICE Docs'a yapılan istekte belirteci doğrulamak için kullanılır.

Temel güvenlik ilkeleri​

Sunucu güvenliğinin bazı genel ilkelerini ve ONLYOFFICE ürünleriyle ilgisi olmayan üçüncü taraf hizmetleri ve araçları kullanmayı da düşünebilirsiniz. Aşağıda yararlı olabilecek bazı yaygın örnekleri ve ipuçlarını görebilirsiniz.

Root erişimini devre dışı bırakma​

Veri sızıntılarını önlemek için root olarak oturum açmaya izin vermemek daha iyidir; çünkü root kullanıcısı sistemin tüm verilerine tam erişime sahiptir. Bu, sunucunun terminali üzerinden root oturum açma iznini No olarak ayarlayarak yapılabilir.

Gereksiz tüm bağlantı noktalarını kapatma​

Yalnızca çalışma alanının işleyişi için ihtiyaç duyduğunuz bağlantı noktalarını açık tutmalısınız; çünkü fazladan açık bağlantı noktaları veri sızıntılarına neden olabilir. Tüm açık bağlantı noktalarını ve bunlarla ilişkili yazılımları görüntülemek için netstat yardımcı programını kullanın.

Güvenlik duvarı kurma​

Güvenlik duvarı, önceden tanımlanmış kurallara göre gelen ve giden ağ trafiğine izin verir veya onu engeller. Linux'ta güvenlik duvarı çekirdeğin bir parçasıdır (netfilter), ancak onu yönetmek için bir yardımcı program kurmanız gerekir; örneğin Debian için UFW veya RHEL için firewalld.

En az ayrıcalık ilkesine uyma​

Kullanıcıların ihtiyaç duymadıkları hassas alanlara erişmesini önlemek için yalnızca belirli görevleri yerine getirmek açısından asgari düzeyde gerekli izinleri atayın.

İşletim sisteminin uzaktan yönetimi için SSH kullanma​

Sunucuyu uzaktan yönetirken güvenli SSH protokolünü kullanın. Bu protokol güvenilir olsa da, parola yerine SSH anahtarları kullanarak korumayı daha da güçlendirebilirsiniz.

Oturum açmanızı güvenceye almak için Fail2ban kullanma​

Fail2ban, sunucunuzu kaba kuvvet saldırılarından korumak için kullanılabilir. Günlük dosyalarını izler ve çok fazla başarısız oturum açma denemesi olduğunda bağlantıları engeller.

SELinux veya AppArmor'ı etkinleştirme​

Sunucunuzu yanlış yapılandırılmış veya ele geçirilmiş programlara karşı koruyan güvenlik modüllerini etkinleştirin. RHEL tabanlı sistemlerde SELinux kullanılır. Debian tabanlı sistemlerde AppArmor kullanabilirsiniz.