Säkerhet

 Säkerhetsområdet kan nås via snabbåtkomstmenyn. Den innehåller en rad säkerhetsinställningar för webbplatsen, servern och användarna. Det rekommenderas att du kontrollerar alla alternativ med din system-/nätverksadministratör innan du startar din webbplats och diskuterar eventuella ändringar med relevanta intressenter innan du implementerar.

Säkerhetsråd

Det är svårt att erbjuda uttrycklig säkerhetsrådgivning, eftersom kraven kommer att variera något baserat på dina egna organisatoriska preferenser och policyer. Istället framhäver nedanstående råd rekommenderad bästa praxis och överväganden.

Inställning av server

När du överväger serverinställningen för din Totara-webbplats bör fokus ligga på balans, bestämma hur låst du vill att servern ska vara och hur detta kan påverka externa anslutningar. Detta kommer i slutändan att vara ditt beslut, men vi rekommenderar följande: 

• Använda SSL
• Korrekt inställning av datarootbehörigheter
• Inställning av DMZ/säkert nätverk

Dataroot-behörigheter

Om du följer rekommendationen för korrekt inställning av dataroot-behörigheter finns det två huvudkrav:

1. Dataroot ska inte vara tillgänglig via webben. Vi rekommenderar att datarooten placeras utanför webbkatalogen (wwwroot).
2. Dataroot-ägandet och behörigheterna ska konfigureras så att de är tillgängliga för webbserverprocessen. För maximal säkerhet ska filer inte läsas eller skrivas till andra användare.

Demilitariserad zon (DMZ)

För DMZ / säker nätverksinställning beror den exakta konfigurationen på din organisations krav. Det är dock viktigt att interna brandväggar konfigureras så att känsliga interna resurser inte kan nås från den maskin som är värd för Totara-webbplatsen (om Totara-webbplatsen har mindre strikt åtkomstkontroll än de känsliga interna systemen).

Det är viktigt att notera att även utan DMZ kommer åtkomst till det interna systemet fortfarande att begränsas till användare som har en Totara-inloggning. Men givet att du kan aktivera självregistrering, kan det betyda vem som helst. 

Som nämnts ovan kommer många av dessa rekommendationer att påverkas av både externa krav (t.ex. efterlevnad) och/eller intern företagspolicy. Till exempel kommer vissa företag att ha sin databas i en DMZ (demilitariserad zon) för att undvika DMZ till betrodda nätverksinteraktioner. Andra kommer att lägga den på ett privat undernätverk och sedan sätta hål på brandväggen för att tillåta åtkomst. Vissa kommer att placera hela produkten i ett privat undernätverk, antingen med eller utan VPN för åtkomst. Andra företag kan till och med skapa ett applikationsspecifikt DMZ-dataundernät för dataåtkomst av produkten, vilket ger det bästa av båda världarna, även om detta är mer typiskt i molnmiljöer. 

För mer råd om bästa praxis för serversäkerhet kan du se Open Web Application Security Project (eller OWASP för kort).

Använda HTTPS

Om du för närvarande kör din webbplats med HTTP så kanske du vill övergå till HTTPS för att säkerställa extra säkerhet för din webbplats. Innan du gör detta är det viktigt att notera att allt innehåll du har (exklusive länkar) som för närvarande använder HTTP inte längre kommer att kunna bäddas in när du byter till HTTPS. Därför måste du kontrollera att innehållet kan flyttas till HTTPS eller hitta nytt innehåll (du kan också ändra till att använda länkar för allt HTTP-innehåll du behöver). När du är nöjd med att ditt innehåll kan hantera ändringen, följ dessa steg:

1. Du måste få ett SSL-certifikat från en certifikatutfärdare, t.ex. Let's Encrypt, som är en gratis tjänst (andra tjänster kan ta betalt). 
2. När du har fått certifikatet måste du aktivera SSL på din server och tillämpa certifikatet. Dokumentationen för din server bör förklara denna process eftersom den kan variera. 
3. Nu kan du konfigurera Totara-webbplatsen genom att ändra $CFG→wwwroot- värdet i din config.php-fil från http:// till  https://, t.ex.

$CFG->sslproxy = true;

$CFG->wwwroot = 'https://example.com';

När detta är gjort måste du uppdatera allt befintligt innehåll som använder HTTP, eftersom det inte längre fungerar (länkar är bra, annat innehåll måste också använda HTTPS). 

Konfiguration av webbplats

När du har kontrollerat att du är nöjd med säkerheten för serverkonfigurationen bör du också konfigurera din Totara-webbplats för att säkerställa att den är säker. Återigen kommer mycket av detta att bero på din organisations policyer och mål. Tänk noga på följande:

• Granska säkerhetsinställningarna för att se till att de är lämpliga för din organisation
• Kontrollera din webbplats rapport om säkerhetsöversikt för vägledning om specifika områden att överväga/granska

Du kan komma till den här sidan via snabbåtkomstmenyn > Rapporter > Säkerhetsöversikt.