Bij monday.com heeft veiligheid de hoogste prioriteit. We willen ervoor zorgen dat u veilig bent wanneer u uw workflow met ons samenstelt. Dit artikel beantwoordt veelgestelde vragen over de beveiliging en IT-implementatie van Jira cloud- en serverintegratie.
de basis
Wie is de ontwikkelaar van de Jira-integratie?
De sleutel tot Jira-integratie (zowel cloud als server) is monday.com.
Wie initieert de vereiste verbinding met het netwerk?
Hoewel wij degenen zijn die de verbinding initiëren, moeten beide partijen meedoen om de verbinding tot stand te brengen.
identificatie
Hoe wordt de identificatie bij deze dienst uitgevoerd?
Dit is een op tokens gebaseerde identificatie, waarbij de gebruiker inlogt op monday.com met zijn JIRA-inloggegevens en vanaf dat moment wordt de interactie tussen de twee partijen beheerd met behulp van een toegangstoken.
Heeft monday.com een binaire agent die op ons netwerk moet worden geïnstalleerd, om de beveiligingscomponenten automatisch te beheren?
niet. De Jira-serverconfiguratie is gebaseerd op typische HTTPS-communicatie en eventuele extra beveiligingsfilters moeten worden geïmplementeerd in de netwerkfirewall van de gebruiker.
Gebruikt u CAL voor L-logging of heeft u een eigen logsysteem geïmplementeerd?
We hebben een SIEM-oplossing geïmplementeerd, waarnaar we logs van onze NIDS, verkeerslogs van externe locaties en algemene identificatie- en autorisatielogs overbrengen, zowel vanuit de applicatie zelf als vanuit infrastructuurbronnen. Beveiligingsincidenten worden regelmatig beoordeeld door een beheerd SOC-team en afgehandeld op basis van hun ernst.
Hoe kunnen we een integratie met Jira tot stand brengen als onze instance zich achter een firewall/VPN bevindt?
Er moet een vorm van internettoegang zijn om te kunnen integreren met de Jira-server of een derde partij.
Bovendien moeten de volgende IP-bereiken open zijn in uw firewall/VPN om de integratie te laten werken:
- 82.115.214.0 / 24
- Dit bereik (bevat 256 openbare adressen van 82.115.214.0 tot 82.115.214.255) wordt door ons uitgaande verkeer gebruikt om gegevens naar klanten te verzenden. Dit bereik moet op de witte lijst worden gezet om inkomende verbindingen van onze infrastructuur te accepteren.
- Het is niet mogelijk om de inkomende IP-adressen te loggen, die worden gebruikt om gegevens van klanten te ontvangen (zoals oproepen naar onze API-apps), omdat we Cloudfare als onze eindnetwerkprovider gebruiken en zij IP-adressen op elk moment kunnen wijzigen. Dit zou in de meeste gevallen geen probleem moeten zijn.
machtigingen
Waarom zijn globale beheerdersrechten vereist?
We gebruiken JIRA’s REST API om webhooks te maken en daarvoor moeten de geautoriseerde inloggegevens die van een JIRA-beheerder met globale machtigingen zijn.
Welke veiligheidsmaatregelen zijn van toepassing?
- JIRA in de cloud: voor monday.com<> Voor apps van derden is er geen enkele handhaving op de uitgaande gegevens en voor de inkomende gegevens wordt de informatie gecodeerd met TLS 1.2.
- JIRA Server: Voor JIRA Server hangt het af van de lokale server en de persoon die de integratie zal creëren – als de client een basisadres typt dat http gebruikt, en niet https, dan wordt de communicatie tijdens de overdracht niet gecodeerd. Als ze https (ssl) gebruiken met een vertrouwd certificaat, worden de gegevens over het algemeen tijdens de overdracht versleuteld.
Is de applicatie/API voor de Jira-server alleen intern toegankelijk of is deze rechtstreeks toegankelijk via internet?
monday.com is overal toegankelijk en verbonden met internet. Uw JIRA-server is dat niet, omdat het een lokale instantie is. Om deze twee objecten te laten samenwerken, wordt u dus gevraagd verzoeken van monday.com (in de buitenwereld) naar uw server toe te staan.
Gegevensoverdracht en opslag
Welke gegevens worden overgedragen?
De overgedragen gegevens zijn gebaseerd op de mapping die door de gebruiker is gedefinieerd op het moment van de integratiedefinitie. De velden zijn problemen en projecten van Jira’s kant, en items van onze kant.
Tot welke gegevens hebben we toegang en wat kunnen we ermee doen (lezen versus schrijven)?
Het antwoord op deze vraag hangt af van de reikwijdte van het API-token:
- De Jira-integratie is een op tokens gebaseerde integratie (niet Oauth2), wat betekent dat we niet om specifieke domeinen vragen. Noch monday.com, noch de gebruiker heeft controle over de domeinen van het API-token. Dit is gebaseerd op de Jira-instellingen. Dat wil zeggen – als sommige machtigingen na detectie veranderen, hebben we daar geen controle over – of het nu gaat om het toevoegen van nieuwe API-mogelijkheden of het verwijderen ervan.
- Gezien het bovenstaande heeft monday.com alleen toegang tot de gevraagde gegevens die in het recept verschijnen. Wanneer de integratie is geactiveerd, zal het proberen alleen de relevante gegevens op te halen die nodig zijn om de run te voltooien. We doen geen onnodige API-aanroepen om ongebruikte gegevens op te halen gegevens.