Melhores Práticas para Implementar o AppServer e o WebSpeed. Roberto Oltman

Transcrição

1 Melhores Práticas para Implementar o AppServer e o WebSpeed Roberto Oltman

2 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 2 COMP-11: Best practices for Deploying AppServer and WebSpeed

3 Arquitetura Genérica do OpenEdge Server Client Process OpenEdge Server Host AdminServer Name Server ubroker.properties Progress Explorer ou Utilitários de Gerenciamento OpenEdge Server Broker OpenEdge Server Agents/Servers Editor de Textos, MERGEPROP ou Utilitários de Configuração 3 COMP-11: Best practices for Deploying AppServer and WebSpeed

4 Arquitetura do WebSpeed OpenEdge Server WebSpeed Messenger OpenEdge Server Host AdminServer Name Server ubroker.properties Progress Explorer ou Utilitários de Gerenciamento WebSpeed Broker WebSpeed Agents Editor de Textos, MERGEPROP ou Utilitários de Configuração 4 COMP-11: Best practices for Deploying AppServer and WebSpeed

5 Arquitetura do AppServer OpenEdge Server Any Client, AIA,AIA/S or WSA OpenEdge Server Host AdminServer Name Server ubroker.properties Progress Explorer ou Utilitários de Gerenciamento AppServer Broker AppServer Servers Editor de Textos, MERGEPROP ou Utilitários de Configuração 5 COMP-11: Best practices for Deploying AppServer and WebSpeed

6 Round Trip Padrão para uma Solicitação Etapa 1 Etapa 2 Name Server Etapa 0 Client Etapa 3 Etapa 4 Etapa 5 Etapa 6 Broker Agents or Servers 6 COMP-11: Best practices for Deploying AppServer and WebSpeed

7 Round Trip Comum para uma Solicitação Etapa 0: O Broker envia detalhes ao NameServer Etapa 1: O Client solicita um serviço do NameServer Etapa 2: O NameServer responde com detalhes do Broker Etapa 3: O Client conecta-se ao Broker e solicita um Server para atender a solicitação Etapa 4: O Broker responde com o detalhes do Server Etapa 5: O Client conecta-se ao Server e passa informações sobre a solicitação Etapa 6: O Server envia a resposta 7 COMP-11: Best practices for Deploying AppServer and WebSpeed

8 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 8 COMP-11: Best practices for Deploying AppServer and WebSpeed

9 Exemplos de Implementação Desenvolvimento Servidor de Desenv. PC do Desenvolvedor Dev Tools Web Server & WebSpeed Messenger WebSpeed AppServer Database Web.PL &.R Common.PL &.R AppServ.PL &.R 9 COMP-11: Best practices for Deploying AppServer and WebSpeed

10 Exemplos de Implementação Intranet de Produção Servidor de Produção PC do Usuário GUI/Char Client or Browser Web Server & WebSpeed Messenger WebSpeed AppServer Database Web.PL Common.PL AppServ.PL 10 COMP-11: Best practices for Deploying AppServer and WebSpeed

11 Exemplos de Implementação Internet de Produção DMZ Rede Interna Internet Name Server Internet Web Server WebSpeed Messenger WebSpeed Broker Protocolo: TCP Protocolo: UDP WebSpeed Agents 11 COMP-11: Best practices for Deploying AppServer and WebSpeed

12 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 12 COMP-11: Best practices for Deploying AppServer and WebSpeed

13 Segurança de Rede A razão para se ter segurança de rede é manter os intrusos do lado de fora e ainda assim permitir acesso a partir da internet pública Os dados trafegados pela internet podem precisar de proteção para evitar que sejam lidos e/ou modificados Lembre-se que nada é 100% seguro e tudo que podemos fazer é tornar o mais difícil possível a quebra da segurança 13 COMP-11: Best practices for Deploying AppServer and WebSpeed

14 Segurança de Rede Patrulha de Fronteiras A primeira linha de defesa é o Firewall Firewalls 14 COMP-11: Best practices for Deploying AppServer and WebSpeed

15 Segurança de Rede SSL SSL (Secure Socket Layer) um protocolo para criptografar o tráfego TCP/IP de uma rede Usado corretamente, toda a comunicação entre o cliente e o servidor serão criptografadas e não poderão ser quebradas* Geralmente usado em Web sites que pedem dados de cartão de crédito aos usuários O SSL diminuirá a performance devido ao overhead para criptografar e descriptografar * Em um tempo razoável Qualquer criptografia pode ser quebrada, apenas depende quanto tempo você quer esperar! 15 COMP-11: Best practices for Deploying AppServer and WebSpeed

16 Segurança de Rede Específico ao Progress Somente instale o AIA, AIA/S, WSA ou WebSpeed Messenger em uma máquina da DMZ Não use as portas ou nomes padrão para o Name Server, Broker e Agents/Servers Exclua o WSBROKER1, ASBROKER1, NS1, etc Re-crie os brokers apropriados usando portas não-padrão Por exemplo, não use a porta 5162 para o Name Server e não o chame de NS1 16 COMP-11: Best practices for Deploying AppServer and WebSpeed

17 Segurança de Rede Específico ao Progress (cont) Se precisar do WebSpeed Messenger, AIA ou WSA acesse a página e click em download no canto inferior direito Utilize seu login ESD ou use a opção de registro para o download de Deployment Components 17 COMP-11: Best practices for Deploying AppServer and WebSpeed

18 Segurança de Rede Específico ao Progress (cont) Esses componentes fazem parte da mídia OpenEdge, portanto utilize os códigos de controle e número serial do Download Center caso já possua o CD (ou imagem de CD) da plataforma requerida 18 COMP-11: Best practices for Deploying AppServer and WebSpeed

19 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 19 COMP-11: Best practices for Deploying AppServer and WebSpeed

20 Segurança de Máquina Limite o acesso físico a máquina Minimize o número de serviços em execução Troque o userid do root/administrator para evitar que as pessoas tentem adivinhar o login id Windows Windows Windows XP 20 COMP-11: Best practices for Deploying AppServer and WebSpeed

21 Segurança de Máquina (cont) Implemente rotinas de segurança de senha que forcem a troca regular e obriguem o uso de senhas fortes (alfa-numérica) Verifique frequentemente nas logs as tentativas de acesso não autorizado (Firewall, servidor DMZ e servidor interno) Aplique os patches dos fornecedores (após testes de validação) Crie usuários e grupos com acesso limitado no sistema operacional aos diretórios do Progress e da aplicação 21 COMP-11: Best practices for Deploying AppServer and WebSpeed

22 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 22 COMP-11: Best practices for Deploying AppServer and WebSpeed

23 Infraestrutura Progress Genérico Remova do diretório DLC os arquivos.r e.pl que não forem necessários para executar sua aplicação Remova os comandos prodebugenable, _debugenable, prodebugconfig e _debugconfig do diretório DLC/bin da sua máquina de produção Utilize SSL com o OpenEdge 10 para as comunicações entre os componetes Progress 23 COMP-11: Best practices for Deploying AppServer and WebSpeed

24 Infraestrutura Progress Genérico (cont) Este diagrama faz parte do manual Core Business Services do OpenEdge 10.1B e mostra o fluxo de comunicação do ambiente OpenEdge que pode ser protegido com o protocolo SSL 24 COMP-11: Best practices for Deploying AppServer and WebSpeed

25 Infraestrutura Progress Genérico (cont) Mude o usuário proprietário do Broker 25 COMP-11: Best practices for Deploying AppServer and WebSpeed

26 Infraestrutura Progress Genérico (cont) Use o AdminServerPlugins.properties para esconder o AdminPort do comando ps -ef # # Policy for the AdminServer itself. # This group is processed by both the jvmstart tool # and the AdminServer bootstrap.... # The following additional properties are allowed for this group only: # port - port where the AdminServer process resides # adminport - Communication port between the AdminServer and databases # [PluginPolicy.Progress.AdminServer] classpath=c:\dlc101b/java/ext/jmxri.jar,... jvmargs= pluginclasspath=!{value-of:classpath} 26 COMP-11: Best practices for Deploying AppServer and WebSpeed

27 Infraestrutura Progress Genérico (cont) Use requireusername e admingroup para carregar o AdminServer >proadsv -start -requireusername -admingroup Administrators OpenEdge Release 10.1B as of Wed Jan 10 12:21:31 EST 2007 >wtbman -start -name Exchange2007 OpenEdge Release 10.1B as of Wed Jan 10 12:21:31 EST 2007 Connecting to Progress AdminServer using rmi://localhost:20931/chimera (8280) Searching for Exchange2007 (8288) Connecting to Exchange2007 (8276) User not authenticated (8304) 27 COMP-11: Best practices for Deploying AppServer and WebSpeed

28 Infraestrutura Progress Genérico (cont) Renomeie os arquivos WSA e AIA para tirálos da URL. Fica mais complicado para os hackers descobrirem quem você é WSA e AIA Renomeie os diretórios para mudá-los de WSA ou AIA Modifique o arquivo WEB.XML de acordo 28 COMP-11: Best practices for Deploying AppServer and WebSpeed

29 Infraestrutura Progress Genérico (cont) Renomeie o arquivo WebSpeed Messenger para tirá-lo da URL. Fica mais complicado para os hackers descobrirem quem você é WebSpeed Messenger Windows, veja o arquivo cgiip.wsc em C:\inetpub\scripts para informações (não use.wsc, escolha outra extensão) Unix/Linux, simplesmente renomeie o script de exemplo do messenger wspd_cgi.sh 29 COMP-11: Best practices for Deploying AppServer and WebSpeed

30 Infraestrutura Progress AppServer Faça o Broker AppServer rodar sem DEBUG 30 COMP-11: Best practices for Deploying AppServer and WebSpeed

31 Infraestrutura Progress WebSpeed Faça o Broker WebSpeed rodar no modo de PRODUÇÃO 31 COMP-11: Best practices for Deploying AppServer and WebSpeed

32 Infraestrutura Progress WebSpeed (cont) Faça o Broker WebSpeed rodar sem DEBUG 32 COMP-11: Best practices for Deploying AppServer and WebSpeed

33 Infraestrutura Progress WebSpeed (cont) Remova a mensagem Generated by Webspeed (OE10)... /* Output any pending messages */ IF available-messages(?) THEN output-messages("all",?, "Messages:"). IF CAN-DO ("text/html*,text/x-server-parsedhtml*",output-content-type) THEN {&OUT} "~n~n<!-- Generated by Webspeed: -->~n":u. OUTPUT {&WEBSTREAM} CLOSE COMP-11: Best practices for Deploying AppServer and WebSpeed

34 Infraestrutura Progress WebSpeed (cont) Minimize o acesso a ferramenta de adminstração do WebSpeed Messenger 34 COMP-11: Best practices for Deploying AppServer and WebSpeed

35 Infraestrutura Progress WebServices Adapter Minimize o acesso a ferramenta de administração do WebServices Adapter 35 COMP-11: Best practices for Deploying AppServer and WebSpeed

36 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 36 COMP-11: Best practices for Deploying AppServer and WebSpeed

37 Segurança da Aplicação Genérico Use RCODEKEY e DBAUTHKEY para limitar quais.r s podem rodar contra o banco de dados Objeto CLIENT-PRINCIPAL Programe defensivamente Certifique-se que as falhas ocorram de forma segura Nunca aceite parâmetros de um usuário sem verificação 37 COMP-11: Best practices for Deploying AppServer and WebSpeed

38 Segurança da Aplicação WebSpeed Modifique o WEB-DISP.P para: Verifique usando o user-id e limite acesso a programas Certifique-se de que eles estejam logados Remova o acesso ao DEBUG, PING e RESET Passe parâmetros de forma criptografada Reconecte ao banco de dados se não estiver conectado 38 COMP-11: Best practices for Deploying AppServer and WebSpeed

39 Segurança da Aplicação WebSpeed (cont) Código WEB-DISP.P antigo... AppProgram = (IF AppProgram = "debug":u THEN "webutil/debug.p":u ELSE (IF AppProgram = "ping":u THEN "webutil/ping.p":u ELSE (IF AppProgram = "reset":u THEN "webutil/reset.p":u ELSE AppProgram))). RUN run-web-object IN web-utilities-hdl (AppProgram) NO-ERROR COMP-11: Best practices for Deploying AppServer and WebSpeed

40 Segurança da Aplicação WebSpeed (cont) Código SECURE-WEB-DISP.P novo... vguid = get-field ("GUID"). find first tstate where tstate.guidfield = vguid. if not available tstate then AppProgram = "logon.r". else if not can-find (tprogs where tprogs.usersid = tstate.usersid and tprogs.progid = AppProgram) then AppProgram = "invalidprogram.r". RUN run-web-object IN web-utilities-hdl (AppProgram) NO-ERROR COMP-11: Best practices for Deploying AppServer and WebSpeed

41 Segurança da Aplicação AppServer Use as procedures CONNECT ou STARTUP para setar os programas disponíveis ao usuário via o método EXPORT do SESSION handle 41 COMP-11: Best practices for Deploying AppServer and WebSpeed

42 Segurança da Aplicação AppServer (cont) Código Cliente para coxenão com o AppServer DEFINE VARIABLE happsrv AS HANDLE NO-UNDO. DEFINE VARIABLE lok AS LOGICAL NO-UNDO. CREATE SERVER happsrv. lok = happsrv:connect ("-AppService inventory", "FRED", "MYPASSWORD").... RUN XXX.P ON happsrv.... happsrv:disconnect () NO-ERROR. DELETE OBJECT happsrv NO-ERROR. 42 COMP-11: Best practices for Deploying AppServer and WebSpeed

43 Segurança da Aplicação AppServer (cont) Código Servidor em CONNECT.P DEFINE INPUT PARAMETER puserid AS CHARACTER. DEFINE INPUT PARAMETER ppasswd AS CHARACTER. DEFINE INPUT PARAMETER pasinfo AS CHARACTER. find first tusers where tusers.usersid = puserid and tusers.passwd = ppasswd no-lock no-error. if available tusers then SESSION:EXPORT (tusers.allowedprogslist). else RETURN ERROR "Invalid UserId and/or Password". 43 COMP-11: Best practices for Deploying AppServer and WebSpeed

44 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 44 COMP-11: Best practices for Deploying AppServer and WebSpeed

45 Segurança do Banco de Dados Esta é a última linha de defesa Preferencialmente as outras técnicas conseguiram impedir o acesso de intrusos 45 COMP-11: Best practices for Deploying AppServer and WebSpeed

46 Segurança do Banco de Dados (cont) Criptografia Campos individuais via a função ENCRYPT O banco de dados inteiro via o sistema de arquivos do sistema operacional Linux dm-crypt e outros Solaris zfs (um dia) IBM Referência não encontrada HP Referência não encontrada Windows Muitas soluções Dispositivos de Hardware Seagate Momentus 5400 FDE.2 46 COMP-11: Best practices for Deploying AppServer and WebSpeed

47 Segurança do Banco de Dados (cont) CAN-READ, CAN-WRITE, etc Segurança em tempo de compilação Queries dinâmicas podem tentar user estes campos e causar algum problema Desabilite o Blank userid (usuário em branco) Aplique permissões do sistema de arquivos aos arquivos do banco de dados para minimizar o risco de acesso direto pelos usuários 47 COMP-11: Best practices for Deploying AppServer and WebSpeed

48 Segurança do Banco de Dados (cont) Se não for necessário, não instale os recursos de SQL-92 do banco de dados Configure através do comando GRANT a sugurança SQL-92 para minimizar os acesso via ODBC/JDBC GRANT SELECT ON customer TO dbuser2; 48 COMP-11: Best practices for Deploying AppServer and WebSpeed

49 Agenda Componentes do AppServer e do WebSpeed Exemplos de implementação Segurança Rede Máquinas Infraestrutura Progress Aplicação Banco de Dados Sumário 49 COMP-11: Best practices for Deploying AppServer and WebSpeed

50 Em Resumo Sempre implemente acessos a Internet ou Extranet usando Firewalls e DMZ Proteja suas máquinas, aplicação e rede Desligue o Desenvolvimento no WebSpeed 50 COMP-11: Best practices for Deploying AppServer and WebSpeed

51 Perguntas? 51 COMP-11: Best practices for Deploying AppServer and WebSpeed

52 Conteúdo Relevante no PSDN INT-10: COMP-1: DB-14: DEV-4: Understanding the AppServer, Inside-out Securing your web application against hackers OpenEdge Database Run-Time Security Revealed OpenEdge in an LDAP World 52 COMP-11: Best practices for Deploying AppServer and WebSpeed

53 Para Mais Informações, acesse Documentação: OpenEdge Getting Started: Core Business Services Security and authentication OpenEdge Revealed Achieving Server Control with Fathom Management OpenEdge Application Server: Administration 53 COMP-11: Best practices for Deploying AppServer and WebSpeed

54 Para Mais Informações, acesse Progress Software Knowledgebase Running WebSpeed in Production Mode P22658 The new DATABASES environment variable for WebSpeed 54 COMP-11: Best practices for Deploying AppServer and WebSpeed

55 Obrigado pela atenção 55 COMP-11: Best practices for Deploying AppServer and WebSpeed