附录b .安全常见问题解答
DreamFactory平台是什么?
- DreamFactory是即时创建和管理内部平台api,目前使用在医疗、金融、电信、银行、政府和制造业。
- DreamFactory的产品万博max手机网页登录设计与安全记住创建api,维护客户数据的机密性,允许限制访问api基于定义管理员特权级别,并提供不间断的数据的可用性。
- DreamFactory不存储或维护客户数据与客户数据库或客户使用其软件生成的api。
- DreamFactory下载软件和产品更新的客户和使万博max手机网页登录用安全的HTTPS / TLS协议传输数据。
- 对客户数据的访问只能通过表达得到客户的许可。这是一种几乎没有要求,只有在DreamFactory产品支持的情况下,直接帮助客户调试和/或产品支持。万博max手机网页登录
- 不敏感、机密或其他受保护的数据存储DreamFactory之外接触和计费信息所需的业务事务。
负责开发DreamFactory平台?
- DreamFactory内部开发团队合作与一个受信任的第三方技术支持和产品更新的编码。万博max手机网页登录在这个过程中,第三方没有对客户数据的访问和单独审计和检查所有的代码行DreamFactory首席技术官(CTO)。
DreamFactory雇用任何员工特别关注安全?
- DreamFactory CISSP (TM)积极参与其安全评估过程和评估。此外,业务人员网络安全大师训练领导人支持他们的方法。DreamFactory另外聘请传入主任治理,风险与合规谁将在2019年5月加入了球队。
- 软件是开源的,完全可用于测试,在源代码级别,由其客户。目前业务满足几个财富100强客户的需求。
- 我们的事件响应计划汇集了主要公司的代表领导下,法律和技术团队快速评估和修复。它包括业务连续性和灾难响应元素以及通知流程,确保客户充分了解。
DreamFactory认证是符合安全框架FISMA和HIPAA等?
- DreamFactory安全政策框架是建立在云安全联盟(CSA)一致的评估计划问卷(CAIQ v3.0.1)映射到其他通常利用合规框架包括SOC, COBIT, FedRAMP,高科技,ISO, NIST。
- DreamFactory使用行业标准网络安全控制来防止所有OWASP前十名的web应用程序的安全风险。
- 万博max手机网页登录产品更新和改进遵循标准的SDLC流程,包括DevSecOps的监督下我们的首席技术官。
- 我们的政策设计等关键隐私法规符合GDPR, PIPEDA,杯,HIPAA和FERPA。
DreamFactory如何防止信息妥协?
- DreamFactory软件使用一个集成的深度防御向客户提供可配置的工具获得他们的信息。这种防御开始访问键与每个单独生成的和相关的API。
- 除了基本身份验证,DreamFactory支持LDAP, Active Directory, SAML-based SSO。
- 客户可以创建和分配角色的API密钥,并委托/管理自定义权限以及广告/ LDAP组映射到角色。
- 其他控件包括能力为客户设定速度限制(分钟、小时或几天),日志记录、报告偏好,分别将它们分配给用户。实时交通审计可能通过Elasticsearch Logstash, Kibana或Grafana仪表板。
- 总的来说,这种方法允许客户立即看到访问他们的数据,和单独调整他们角色或用户配置文件的访问。
- DreamFactory 3.0包括几个新的安全功能,包括生命周期API审核和限制管理员控制。
DreamFactory如何防止滥用客户信息?
- 我们的客户完全拥有和控制自己的数据,所以几乎没有为DreamFactory员工访问客户的数据。
- 员工披露或滥用机密的公司或客户数据受到纪律处分,包括终止。
- DreamFactory员工收到完整的背景调查在招聘过程中,和访问的产品是严格控制我们的首席技术官。万博max手机网页登录
- 员工角色变化和终止事件包括立即检查分配的访问需要知道的基础上符合员工的责任。立即终止员工失去访问电子邮件、文件、和使用公司系统和网络。
- DreamFactory利用一个密码管理器系统,执行更新的建议在NIST 800-63-3,和员工可能不共享密码或访问。这是监督通过使用日志记录和报告控制。
DreamFactory如何防止意外信息披露?
- 所有DreamFactory员工接受网络安全培训在新员工培训和定期。
- 基于角色的权限使用和访问是基于个人职责和所需的时间。
- 公司内部数据安全在云GSuite数据丢失的预防(DLP)工具,和员工被授予访问需要知道的基础上,基于他们的角色在DreamFactory。
什么DreamFactory保障措施,以防止数据丢失?
- 员工访问DreamFactory信息有限,没有对客户数据的访问。
- 公司内部数据安全在云GSuite数据丢失的预防(DLP)工具,和员工被授予访问需要知道的基础上,基于他们的角色在DreamFactory。
- DreamFactory安全策略不允许员工使用外部媒体。
- DreamFactory利用MacOS系统和包括苹果FileVault产品加密所有数据在休息的时候。万博max手机网页登录笔记本电脑应该被盗,所有数据将保持加密,可以远程擦拭。客户数据不会保存在公司的系统和设备。
- Dreamfactory知识产权和专有产品信息备份在云安全区域,由我们的首席技术官和技术人员管理。万博max手机网页登录
- 双因素身份验证需要访问公司数据。
什么DreamFactory保障措施缓解隐私问题吗?
- 客户隐私是DreamFactory最重要的关注点。这种关注到我们的产品的核心客户可以保留完全控制他们的数据,以及快速创建和万博max手机网页登录管理个性化控制。
- 通常,DreamFactory收集只绝对必需的信息,商店只要它是必要的,和股票的绝对最小数量的员工。
- 我们的政策设计等关键隐私法规符合GDPR, PIPEDA,杯,HIPAA和FERPA。
- 我们的目标是成为完全透明和响应与客户隐私问题。
什么是推荐的程序硬化DreamFactory文档生产部署?万博max手机网页登录
DreamFactory是一个基于http的平台支持多种操作系统(Windows和Linux)和web服务器(尤其是Nginx、Apache和IIs),因此建议管理员遵循任何可用的许多硬化资源一般指导。万博手机登录平台硬化的上下文中DreamFactory主要是软件层面硬化的结果,和一些最佳实践提出了在未来的答案。在这个问题上我们很高兴提供进一步的指导后,学习更多关于目标操作系统。
DreamFactory管理员应如何确保数据安全性和完整性为生产部署?万博max手机网页登录
数据安全性和完整性保证按照关键与建立任何基于http API相关的最佳实践解决方案:
- 确保服务器软件(Nginx、PHP等)和相关的依赖性减少更新通过披露利用第三方入侵的可能性。
- 熬夜有关任何潜在DreamFactory通信平台安全问题。
- 定期审计DreamFactory角色定义,以确保适当的配置。
- 定期审计数据库用户帐户用于API生成和沟通,以确保适当的配置。在这种情况下,适当的配置被定义为确保每个用户帐户分配一组最小可行的API函数所需的特权。
- 定期审计API键、禁用或删除键不再积极使用。
- 如果适用(需要企业许可),使用DreamFactory日志的集成将流量日志发送到如弹性堆栈或Splunk实时监控解决方案。
- 如果适用(需要企业许可),使用DreamFactory限制管理员的功能限制管理员特权。
的DreamFactory加密方法是什么数据?是默认启用还是我们有做手工吗?
DreamFactory默认不存储任何API数据通过平台。一些连接器提供了一个API数据缓存选项将提高性能,但是管理员必须显式地启用这个选项。缓存应该启用,数据可以存储在一个支持缓存解决方案,包括复述和Memcached。复述等解决方案设计为访问在可信环境”“信任的客户,例如复述,文档所描述的:https://redis.io/topics/security。
在运输过程中如何DreamFactory加密数据吗?这是默认启用或需要额外的步骤?
DreamFactory插入各种第三方数据源,包括Microsoft SQL Server等数据库和MySQL, S3等文件系统和第三方HTTP api如Salesforce、对讲机,和Twitter。DreamFactory将作为渠道为客户希望通过一个基于http API与这些数据源交互。DreamFactory运行在一个标准的web服务器,比如Apache或Nginx,两者都支持基于ssl通信。提供了启用HTTPS, DreamFactory之间的所有通信和各自的客户将被加密。
我失去了DreamFactory管理员密码。我怎么能恢复吗?
DreamFactory使用单向加密的密码,也就是说,一旦他们无法解密加密的。如果没有配置基于邮箱密码恢复,您可以创建一个新的管理员帐户登录到终端控制台包括DreamFactory的所有版本。为此,通过ssh到DreamFactory服务器开始。接下来,导航到DreamFactory根目录。对于那些使用一个自动化DreamFactory安装程序,根目录/ opt / dreamfactory。的路径会有所不同根据其他安装程序。
接下来,输入终端控制台:
美元php工匠小组修改壳v0.9.12贾斯汀Hileman) (php 7.2.28 - cli)使用下面的命令来检索所需的管理员帐户。你需要替换占位符的电子邮件地址与实际管理员地址:
> > > u =美元\ DreamFactory \核心模型\ \用户::,(“电子邮件”、“known@admin-email.com”) - > ();密码更改为所需的值并保存结果:
> > > $ u - >密码=“秘密”;= >“秘密”> > > u - > save ();= > true您可以确认密码加密(散列)通过引用你美元对象的密码属性:
> > > $ u - >密码= > " 2 y 10美元$ jtlt8D8fHWzgoosAV / P6m.w459QE6ntNfbXo.1x6V9GPXGVT7IFfm”退出控制台,并返回到浏览器登录使用新的密码:
> > >退出
