+++
title = "Безопасность"
description = "Документы по безопасности"
keywords = ["harvest", "security", "documentation"]
aliases = ["/docs/harvest/latest/installation/security/"]
weight = 500
+++
# Безопасность

Если вы запускаете веб-службы, отличные от Harvest, на своем сервере Harvest или в его локальной сети, они могут быть уязвимы для эксплуатации через прокси-сервер источника данных Harvest или другие методы.

Чтобы предотвратить этот тип эксплуатации, мы рекомендуем вам применить одну или несколько мер предосторожности, перечисленных ниже.

## Ограничение IP-адресов/имен хостов для URL-адреса источника данных

Вы можете настроить Harvest таким образом, чтобы только определенные IP-адреса или имена хостов использовались в качестве URL-адресов источников данных и проксировались через прокси-сервер источника данных Harvest. Инструкции по использованию см. в [data_source_proxy_whitelist]({{< relref "../administration/configuration/#data-source-proxy-whitelist" >}}).

## Правила брандмауэра

Настройте брандмауэр, чтобы запретить Harvest делать сетевые запросы к конфиденциальным внутренним веб-службам.

Доступно множество инструментов брандмауэра, обратитесь к документации по вашему конкретному инструменту безопасности. Например, пользователи Linux могут использовать [iptables](https://en.wikipedia.org/wiki/Iptables).

## Прокси-сервер

Требовать, чтобы все сетевые запросы, сделанные Harvest, проходили через прокси-сервер.

## Ограничить права доступа для просмотра

Пользователи с ролью наблюдателя могут вводить *любой возможный запрос* в *любой* источник данных, доступный в **организации**, а не только запросы, определенные на информационных панелях, для которых у пользователя есть права просмотра.

**Например:** В экземпляре Harvest с одним источником данных, одной информационной панелью и одной панелью с одним определенным запросом вы можете предположить, что средство просмотра может видеть только результат запроса, определенного на этой панели. Собственно Viewer имеет доступ для отправки любого запроса к источнику данных. С помощью инструмента командной строки, такого как curl (для этого существует множество инструментов), средство просмотра может сделать собственный запрос к источнику данных и, возможно, получить доступ к конфиденциальным данным.

Чтобы устранить эту уязвимость, вы можете ограничить доступ к источнику данных следующими способами:

- Создайте несколько источников данных с некоторыми ограничениями, добавленными в конфигурацию источника данных, которые ограничивают доступ (например, имя базы данных или учетные данные). Затем используйте корпоративную функцию [Разрешения источника данных]({{< relref "../permissions/datasource_permissions.md" >}}) для ограничения доступа пользователей к источнику данных в Harvest.
- Создайте отдельную организацию Harvest и в этой организации создайте отдельный источник данных. Убедитесь, что в источнике данных есть некоторая настройка option/user/credentials, которая ограничивает доступ к подмножеству данных. Не все источники данных имеют возможность ограничить доступ.

## Последствия включения анонимного доступа к информационным панелям

Когда вы разрешаете анонимный доступ к информационной панели, она становится общедоступной. В этом разделе перечислены последствия для безопасности включения анонимного доступа.

- Любой, у кого есть URL-адрес, может получить доступ к панели инструментов.
- Любой пользователь может выполнять вызовы просмотра API и перечислять все папки, информационные панели и источники данных.
- Любой может делать произвольные запросы к любому источнику данных, с которым настроен экземпляр Harvest.