Поддержка стабильной работы

Принципы безопасной работы

В процессе эксплуатации Weblock необходимо придерживаться следующих принципов безопасной работы:

Целостность. Предотвращение повреждения, искажения или изменения информации и программного обеспечения. Это обеспечивается организационными мерами. Необходимо поддерживать в актуальном состоянии перечень пользователей «Weblock.», имеющих доступ к ее ресурсам.

Конфиденциальность. Предотвращение несанкционированного доступа к информации и программному обеспечению. Производить периодическую замену паролей, в соответствии с парольной политикой принятой в эксплуатирующей организации.

Проверка подлинности (аутентификация). Проверять субъекты (пользователей или процессы) перед предоставлением доступа к данным, а также объекты перед их использованием. В процессе эксплуатации «Weblock.» необходимо обеспечить безопасное хранение паролей пользователей.

Проверка полномочий (авторизация). Необходимо обеспечить доступ к данным только тем субъектам, которые были надлежащим образом авторизованы и имеют соответствующие права. Пользователям «Weblock.» необходимо предоставлять набор прав доступа различных пользователей к «Weblock.», который будет достаточен для выполнения ими служебных обязанностей.

Доступность. Обеспечить работоспособность и доступность данных и программ. В ходе функционирования «Weblock.» необходимо производить регулярное обновление программного обеспечения «Weblock.».

Минимальный набор привилегий. Пользователей рекомендуется наделять наименьшими правами доступа к минимальному необходимому количеству информационных ресурсов и функциональных возможностей, которые необходимы для выполнения их функциональных обязанностей.

Адекватность защитных мер. Необходимо адекватно сопоставлять защитные меры моделям угроз с учетом затрат на реализацию и возможных потерь от осуществления угроз.

Аудит. Необходимо установить связи и регистрировать события между пользователем (или объектом) и действием, совершаемым объектом. В ходе функционирования «Weblock.» необходимо осуществлять запись всех событий, происходящих в «Weblock.», в журналы аудита.

Поддержка доверенного канала

«Weblock.» обеспечивает доверенный канал (маршрут) между, защищаемым веб-приложением и «Weblock.», включая Личный кабинет «Weblock.».

Доверенный канал обеспечивает пользователю уверенность в подлинности источника и адресата информации и гарантирует защиту передаваемой информации. «Weblock.» осуществляет поддержку доверенного канала с применением криптографических методов защиты информации в соответствии с законодательством Российской Федерации.

Дополнительные меры по устранению скрытых каналов

Для ограничения или устранения скрытых каналов рекомендуем следующий перечень мер:

• установка, конфигурирование и управление «Weblock.» в соответствии с эксплуатационной документацией;

• защита физической целостности оборудования, на котором функционирует система;

• доверенная загрузка системы, ограничение на установку программного обеспечения и его компонентов, не задействованных в технологическом процессе обработки информации;

• доверенный маршрут между системой и ее пользователями;

• меры, препятствующие несанкционированному копированию информации, содержащейся в системе, на съемные носители информации и за пределы информационной системы;

• проверка целостности внешних модулей уровня ядра, получаемых от заявителя (разработчика, производителя), перед их установкой в операционную систему;

• обеспечение конфиденциальности аутентификационной информации.

Отказоустойчивость

«Weblock.» использует прокси-сервер, выступающий в роли балансировщика сетевой нагрузки. Встроенными механизмами осуществляется балансировка нагрузки в решениях Kafka, PostgreSQL и Kubernetes. Также отказоустойчивость гарантируется за счет возможности горизонтального масштабирования, реализованного в «Weblock.», при котором добавляются дополнительные экземпляры сервисов и веб-серверов, в зависимости от трафика, что позволяет балансировать растущую нагрузку между разными экземплярами.

Непрерывность работы «Weblock.» достигается за счет двух разных видов масштабирования, используемых в «Weblock.». Первый, вертикальный, в котором увеличиваются ресурсы веб-сервера. И, второй, горизонтальный – когда «Weblock.» создает дополнительные экземпляры своих сервисов и веб-серверов, чтобы в один промежуток времени одну задачу выполняла группа сервисов.

Описание действий при сбоях и ошибках эксплуатации

В случае возникновения сбоев и ошибок в процессе эксплуатации «Weblock.» необходимо осуществить принудительный перезапуск «Weblock.».

Также можно перезапустить отдельные сервисы «Weblock.» нижеследующими командами. Названия сервисов соответствуют разделу «Состояние сервисов» Личного кабинета.

Сервис	Команда перезапуска сервиса
waf-controller	sudo systemctl restart waf-controller.service
waf-oidc	sudo systemctl restart waf-oidc.service
waf-audit	sudo systemctl restart waf-audit.service
waf-validator	sudo systemctl restart waf-validator.service
waf-geocoder	sudo systemctl restart waf-geocoder.service
waf-reporter	sudo systemctl restart waf-reporter.service и перезайти в Личный кабинет
waf-scanner-admin, waf-scanner-user	sudo systemctl restart waf-scanner.service
waf-health - сервис раздела «Состояние сервисов» в Личном кабинете	sudo systemctl restart waf-health.service

Перезапуск веб-сервера, включая модуль Weblock.Agent, выполняется командой:

sudo nginx -s reload

Если перезапуск не помог устранить сбой, информацию о его причине можно почерпнуть в логах.