Limitare i permessi della cartella dei dati
La cartella dei dati di MyQ Central Server contiene dati altamente sensibili, tra cui il database degli utenti e la chiave privata del certificato TLS. La sua posizione attuale è visualizzata nell’applicazione MyQ Central Server Easy Config:
Per impostazione predefinita, tutti gli utenti (locali/di dominio) dispongono di accesso in lettura:
Solo gli amministratori, l’account SYSTEM e l’account di servizio MyQ dovrebbero avere accesso a questa directory. Ecco uno script batch di esempio che può essere utilizzato per rafforzare le autorizzazioni:
@ECHO OFF
REM Add the virtual account SIDs to all MyQ Central Server services:
sc sidtype myqm_platform unrestricted
sc sidtype myqm_apache unrestricted
sc sidtype traefik unrestricted
sc sidtype FirebirdServerMasterInstance unrestricted
REM Grant rights to the virtual service accounts:
icacls "%ProgramData%\MyQ Central Server" ^
/grant:r "NT AUTHORITY\SYSTEM:(OI)(CI)F" ^
/grant "BUILTIN\Administrators:(OI)(CI)F" ^
/grant "NT SERVICE\myqm_platform:(OI)(CI)M" ^
/grant "NT SERVICE\myqm_apache:(OI)(CI)M" ^
/grant "NT SERVICE\FirebirdServerMasterInstance:(OI)(CI)M" ^
/grant "NT SERVICE\traefik:(OI)(CI)M" ^
/inheritance:r ^
/Q
Abilitare la crittografia del database
Quando si utilizza il database integrato, crittografarlo sempre utilizzando un certificato personalizzato per ridurre il rischio di fughe di dati:
Il certificato deve avere l’uso avanzato della chiave (EKU) “Encrypting File System” e deve trovarsi in uno dei seguenti archivi di certificati del computer:
-
Personale
-
Editori attendibili
-
Autorità di certificazione radice di terze parti
-
Altre persone
L’archivio "Personale" è quello preferito.
Crittografare i backup
I backup del database devono essere protetti da password sicure e generate in modo casuale:
Abilitare la crittografia del disco
Se possibile, è consigliabile abilitare una tecnologia di crittografia completa del disco, come Microsoft BitLocker, sul Central Server MyQ per proteggere i dati inattivi:
