Разработка облачных приложений достаточно сложное дело. Считаете иначе? Вы ошибаетесь.

18 Сентября 2018

После предупреждения о том, что версия находится в стадии бета-тестирования, приводится список основных рабочих моментов, которые потребуется учесть, чтобы потом не стать наживой для армии преступников.

Создаваемая база

• Храните актуальные сведения идентификации группы и прочие конфиденциальные сведения (относятся токены, актуальную почту), поданные непосредственно закрытыми.
• Когда имеющаяся база на деле поддерживает процесс шифрования сведений (AWS Aurora), важно подключить опцию для обеспечения процедуры защиты материала на дисковом пространстве. Убедитесь, что созданные резервные копии располагаются как шифровка.
• Применяйте для выполнения поставленной задачи низкий уровень возможных привилегий, что актуально в дальнейшем для обеспечения полноценного доступа к многочисленным компонентам отдельных групп пользователей, размещенных на ПК. Не нужно на практике применять запись конкретного реестра.
• Попробуйте хранить, после, распространять специальные секретные сведения, используя keystore. Это будет актуально для выполнения целей. Не применяйте наработки в процессе работы с ресурсами.
• Исключайте формирование SQL, прорабатывая тщательным образом составленные пользователем запросы. К примеру, когда используете кодировку NPM, нет необходимости применять npm-mysql, просто активируйте npm-mysql2, поддерживает в процессе выполнения работы конкретные выделенные выражения.

Разработка компонентов

• Вы должны попробовать рассмотреть, что исходные компоненты тщательным образом проверены на расположение внутри структуры уязвимых мест для версии, специально переданной в продакшн по оригинальной схеме. Входят компоненты O/S, многочисленные библиотеки и пакеты. Проводимая пользователем проверка работы должна обязательно быть полностью автоматизированной и структурированной в процессе реализации CI-CD.
• С одинаково тщательной бдительностью вам необходимо отнестись, аналогично к организации безопасности разработки, непосредственно к существующей продакшн. Разрабатывайте специализированное обеспечение, которое работает непосредственно в защищенной области среде, разработки приложений.

Идентификация проведения разработки

• На деле убедитесь, что созданные и проработанные пароли тщательным образом хэшируются с использованием разработчиком криптографической опции. В этом случае, не пишите в исходной кодировке собственную опцию, после чего корректно инициализируйте используемую в данном случае криптографическую библиотеку, созданную для работы со случайными сведениями.
• Реализуйте предельно простые, в то же самое время адекватные механизмы и правила паролей, они в будущем побуждают пользователей практически вводить длинные и уникальные с точки зрения системы пароли.
• В используемых сервисах предусматриваете многофакторную и структурированную аутентификацию для обеспечения полноценного входа в механизмы системы.

Защита от атак DDoS

• Для вас нужно обязательно убедиться, что DDoS-атаки на используемые вами API никаким образом не навредят сайту. Непременно защитите наиболее проблемные места API, к которым относятся процедуры генерации подобранного логина.
• Обеспечьте максимально корректные ограничения по показателям размерности и структуре всех без исключения предоставляемых компонентов сведений и запросов во время работы.
• Смягчайте незамедлительно, выявленные DDoS-атаки посредством использования глобального сервиса, в котором предусмотрен кэширующий прокси, например, это может быть CloudFlare. Он обязательно включается, когда вы находитесь под вероятность воздействия на систему DDOS-атаки, в стандартном режиме данный механизм функционирует под опцией DNS lookup.