Come posso proteggere il mio avvio SaaS?

Bene, questa risposta non è esaustiva in quanto si tratta di una domanda importante, ma qui di seguito alcuni pensieri:

GIT:
È un bene che tu stia facendo unire te stesso, vuol dire che gestirai tutte le diff? Se non lo farai, la fiducia del coder potrebbe essere un POF, ma se hai intenzione di dipendere dalla quantità di fusioni ti aspetti di passare molto tempo a fare tutte le differenze da solo.

Programmazione / quadro:
Potrebbe voler stare attenta disabilitando CSRF, ogni volta che lo fai e hai flash ci possono essere alcuni brutti exploit. La cosa migliore da fare è evitare che questi si assicurino di avere una gestione delle sessioni veramente solida e verificare di verificare la verifica ogni volta che un utente accede a una risorsa. Puoi trovare ulteriori informazioni su materiale CSRF comune qui: Domande frequenti su CSRF . Inoltre, fai attenzione a questa vulnerabilità . Non ho molta familiarità con CakePHP, ma il miglior rec è quello di assicurarmi di disinfettare, whitelist se possibile, usare ACL, ecc. Qui è un modo molto semplice per aggiungere un po 'di sicurezza aggiuntiva all'istanza di CakePHP.

Sicurezza server: Non ho un sacco di esperienza con Capistrano, ma da quello che ho sentito è uno strumento abbastanza solido, a patto che tu abbia afferrato una forcella affidabile. Sarei più consapevole delle vulnerabilità nella gestione SSH stessa, poiché mi sembra che sia il caso in cui capistrano potrebbe essere sfruttato molto probabilmente. Per quanto riguarda la sicurezza del server web, penso che Amazon sia una delle migliori scelte disponibili.

SSL:
Sarei molto diffidente nei confronti di un certificato jolly. Se uno dei tuoi sottodomini è compromesso, anche l'intera rete. Tutto ciò che serve è un'autorità di certificazione con una vulnerabilità e tutti i tuoi clienti e i loro dati saranno compromessi. Dato che stai facendo l'e-commerce, è davvero importante avere i più alti livelli di sicurezza per i dati dei clienti.

Riepilogo:
Tutto sommato, consiglio vivamente di assumere un professionista della sicurezza di app Web che sia credibile sul campo e abbia esperienza nell'osservare la tua applicazione. Dal momento che ti occuperai di dati finanziari, che è uno dei tipi più sensibili, è molto importante avere uno sguardo esauriente sul tuo software. So che è difficile quando sei appena agli inizi, ma se non ti prendi il tempo necessario per proteggere la tua app in modo approfondito, un exploit potrebbe far crollare tutta la tua attività.

Spero che questo aiuti:)

1) In primo luogo padroneggia il OWASP Top 10 .

2) Installa un Web Application Firewall . Sono requriti dal settore delle carte di pagamento per un motivo (PCI-DSS).

3) Lockdown PHP con PHPSecInfo .

5) Blocca il database .

6) Usa l'analisi del codice statico come RIPS-PHP per rintracciare gravi vulnerabilità nel codice.

7) Usa Linux, specialmente Ubuntu, perché AppArmor interrompe gli exploit.

8) Ultimo ma non meno importante, testare l'applicazione Web del codice per le vulnerabilità. Questo non deve costare un sacco di soldi, Sitewatch ha un servizio di scansione vulnerabilità gratuito.

Oltre ai commenti di @ Rook, se dovessi eseguire un server su Internet, ti consiglio vivamente di utilizzare OSSEC. Ottimo software di analisi di registro gratuito e HIDS. Lo eseguo su tutto il mio kit di rivestimento pubblico.

Per aggiungere all'aspetto hosting : AWS facilita un modello di responsabilità condivisa che illustra quali parti sono coperte e di cui il cliente ha bisogno per prendersi cura di:

Ciòsignificainparticolarel'applicazioneeidatiintransitodevonoessereprotettidate,ades.implementandolegiàcitate linee guida OWASP .