Failiem.lv drošības stiprināšana: vasaras testēšana un uzlabojumi

Jūnijā, jūlijā un augustā Files.fm un Failiem.lv platformā notiek plašāks drošības stiprināšanas darbu cikls. Tas aptver pakalpojumus, kurus mūsu klienti izmanto failu glabāšanai mākoņkrātuvē, kopīgošanai, sadarbībai, satura publicēšanai un dokumentu pārvaldībai.

Šajos darbos apvienojam iekšējās izstrādes komandas darbu ar neatkarīgiem ārējiem ielaušanās un drošības testiem. Tā ir regulāra lielas tiešsaistes platformas uzturēšanas un pilnveides daļa: pārbaudām aizsardzības pasākumus, meklējam iespējas mazināt riskus, ieviešam mērķētus uzlabojumus un pārliecināmies, ka tie darbojas, kā paredzēts.

Neatkarīga testēšana un mērķēta nepilnību novēršana

Neatkarīga ārējā drošības komanda testē izvēlētas platformas publiski pieejamās daļas, izmantojot strukturētu, uz riskiem balstītu pieeju, tostarp OWASP vadlīnijās plaši izmantotas metodes. Mērķis ir iegūt neatkarīgu skatījumu, identificēt nepilnības, kuras iekšējās pārbaudēs varētu palikt nepamanītas, un novērtēt esošo aizsardzības pasākumu darbību reālistiskos testa apstākļos.

Files.fm izstrādes komanda izvērtē testēšanas laikā konstatētās iespējamās problēmas, nosaka to prioritāti pēc riska un praktiskās ietekmes un novērš tās ar mērķētām izmaiņām. Kad labojumi ir gatavi, attiecīgās platformas daļas tiek pārbaudītas un, ja nepieciešams, testētas atkārtoti, lai pārliecinātos, ka problēma ir novērsta un izmaiņas nav radījušas jaunus darbības traucējumus.

Drošības stiprināšana dažādos platformas līmeņos

Vasaras darbu plānā iekļauta arī plašāka publiski pieejamās infrastruktūras un lietotņu pārskatīšana un drošības uzlabošana. Atkarībā no komponentes un ar to saistītajiem riskiem darbi ietver:

• uzraudzības un ar drošību saistīto notikumu reģistrēšanas uzlabošanu, lai efektīvāk pamanītu un izmeklētu neparastas darbības;
• piekļuves kontroles pārskatīšanu un nevajadzīgi pieejamu sistēmas daļu ierobežošanu;
• pieprasījumu biežuma ierobežojumu un aizsardzības pret ļaunprātīgu izmantošanu stiprināšanu publiskajos pakalpojumos;
• infrastruktūras un lietotņu drošības uzlabojumu ieviešanu;
• darbības procesu pārskatīšanu, lai nodrošinātu uzticamu reaģēšanu un pakalpojumu atjaunošanu.

Šie pasākumi papildina cits citu. Preventīvie aizsardzības pasākumi mazina ļaunprātīgas izmantošanas iespējas, savukārt uzraudzība un notikumu reģistrēšana palīdz labāk izprast sistēmā notiekošo. Pieprasījumu ierobežojumi un aizsardzība pret ļaunprātīgu izmantošanu palīdz saglabāt pakalpojumu pieejamību nevēlamas vai automatizētas datplūsmas apstākļos. Savukārt pārbaudes ļauj pārliecināties, ka izmaiņas risina paredzēto problēmu.

Drošība kā nepārtraukts darbs

Drošības darbam jāattīstās līdz ar pakalpojumiem, lietotāju vajadzībām un apdraudējumu izmaiņām. Ārējie testi sniedz vērtīgu novērtējumu par sistēmas stāvokli konkrētā brīdī. Vislielāko ieguvumu tie dod kopā ar ikdienas praksi: drošu izstrādi, savlaicīgu uzturēšanu, rūpīgu izmaiņu pārskatīšanu, uzraudzību, gatavību incidentiem un atkārtotām pārbaudēm.

Platformai, kurā tiek glabāts vērtīgs personīgais un uzņēmumu saturs, drošība ir pastāvīga atbildība. Jūnijā, jūlijā un augustā veiktais darbs palīdzēs noteikt turpmākās prioritātes, plānot papildu testus un turpināt platformas pilnveidi.

Drošība, privātums, uzticamība un nepārtraukta uzraudzība joprojām ir Failiem.lv prioritātes. Turpināsim ieguldīt cilvēkos, procesos un tehniskajos aizsardzības pasākumos, kas nepieciešami klientu datu aizsardzībai un uzticamu pakalpojumu nodrošināšanai, platformai attīstoties.