Работа ELMA365 с антивирусным ПО

Для обеспечения максимальной производительности и безопасности системы ELMA365 важно правильно настроить файерволл и разместить ключевые компоненты, такие как приложение ELMA365 и СУБД.

ELMA365 является микросервисным решением, использующим технологии Golang, NodeJS, Angular, PostgreSQL, MongoDB, RabbitMQ, Redis, Docker, Kubernetes и S3 MinIO для хранения файлов.

В статье рассматриваются основные аспекты, которые помогут оптимизировать и обезопасить работу приложения.

1. Размещение приложения ELMA365 и СУБД в DMZ (Demilitarized Zone — изолированная зона сети) минимизирует риски несанкционированного доступа к внутренним ресурсам.

Доступ должен строго контролироваться с помощью файерволла. Так вы ограничите доступ к внутренней сети и снизите риски атак. Взаимодействие между приложением и СУБД должно осуществляться через защищённые каналы связи.

2. Настройка файерволла, контролирующего входящий и исходящий трафик, блокируя потенциально опасные соединения. Для ELMA365 рекомендуется настроить файерволл следующим образом:

• открывайте только те порты, которые нужны для работы системы. Например: порт 443 (HTTPS) для взаимодействия с пользователями, внутренние порты для взаимодействия между микросервисами (например, RabbitMQ, Redis, MinIO);
• закройте все порты, которые не используются системой, чтобы минимизировать поверхность атаки;
• ограничьте доступ к DMZ только с определённых IP-адресов или подсетей, используя правила ограничения или VPN. Это поможет предотвратить несанкционированный доступ к приложению;
• добавьте в исключения порты 443 для доступа к registry (hub.elma365.tech) и репозиторию (repo.elma365.tech).

3. Антивирусное программное обеспечение может негативно влиять на производительность системы, особенно если оно проверяет трафик между контейнерами и СУБД. Для минимизации этого влияния рекомендуется:

• установить антивирус на обратном прокси. Это позволит проверять только входящий и исходящий трафик на границе DMZ, не затрагивая внутренние коммуникации между приложением и СУБД;
• исключить внутренние порты из проверки. Добавьте в исключения антивируса порты, используемые для взаимодействия между микросервисами (например, порты RabbitMQ, Redis, MinIO). Это ускорит обмен данными внутри системы;
• исключите файлы СУБД из проверки. Поскольку файлы базы данных не содержат вредоносного кода, их проверка антивирусом не приносит пользы и замедляет работу СУБД.

4. Для повышения безопасности, производительности и управляемости системы рекомендуем использовать Linkerd — lightweight service mesh (легковесный сервис-меш). Он добавляет в Kubernetes такие функции, как прозрачное шифрование трафика, балансировка нагрузки и управление трафиком. Linkerd автоматически шифрует весь трафик между микросервисами с помощью mTLS (mutual TLS). Это обеспечивает защиту данных при передаче между контейнерами внутри кластера Kubernetes.
5. Чтобы обеспечить отказоустойчивость системы, настройте регулярное резервное копирование данных.

Для сетевого взаимодействия между серверами на уровне инфраструктуры откройте перечисленные ниже порты. Подробнее читайте в официальной документации Deckhouse.

Трафик между master-узлами

Трафик от master-узлов к узлам

Трафик от узлов к master-узлам

Трафик между узлами

Внешний трафик к master-узлам

Внешний трафик к фронтенд-узлам

Внешний трафик для всех узлов

Взаимодействия с БД

В исключения необходимо внести директории /opt/elma365/ и /var/lib/docker/overlay2/, а также следующие БД и процессы:

1. Базы данных приложения ELMA365:

• /opt/bitnami/postgresql/bin/postgres;
• /opt/bitnami/mongodb/bin/mongod;
• /opt/bitnami/mongodb/bin/mongo;
• redis-server;
• /opt/bitnami/redis/bin/redis-server;
• /opt/bitnami/erlang/lib/erlang/erts-12.3.1/bin/beam.smp;
• /opt/bitnami/rabbitmq/sbin/rabbitmq-server;
• minio;
• /opt/bitnami/minio/bin/minio server.

2. Процессы приложения ELMA365:

• /bin/sh;
• /coredns;
• /hostpath-provisioner;
• /nginx-ingress-controller;
• /opt/bitnami/erlang/lib/erlang/erts-12.3.1/bin/epmd;
• /sbin/dinit;
• /snap/microk8s/3410/bin/containerd;
• /snap/microk8s/3410/bin/containerd-shim-runc-v1;
• /snap/microk8s/3410/kubelite;
• /srv/elma365ctl-server;
• /usr/bin/dumb-init;
• /usr/bin/kube-controllers;
• /usr/libexec/git-core/git-daemon;
• /usr/local/bin/node;
• /usr/local/bin/runsvdir;
• calico-node;
• git daemon;
• gpg-agent;
• nginx: cache manager process;
• nginx: master process;
• nginx: worker process;
• runsv;
• sh;
• внутренние процессы ELMA365.

Была ли статья полезной?

Спасибо за ваш отзыв!

×

Ваш отзыв успешно отправлен!

Спасибо за обратную связь.

×

Уточните, почему:

Рекомендации не помоглиТекст трудно понятьНет ответа на мой вопросСодержание статьи не соответствует заголовкуДругая причина

×

Расскажите, что вам не понравилось в статье:

ДаНет

Выберите вариантРекомендации не помоглиТекст трудно понятьНет ответа на мой вопросСодержание статьи не соответствует заголовкуДругая причина