Auditor-Prüfungen

  • Freigeben Version: Zurich
  • Aktualisiert 31. Juli 2025
  • 5 Minuten Lesedauer

    • Verwenden Sie die Auditor-Suite für SecureCheck, um Fehlkonfigurationen zu erkennen, die sich auf die Sicherheitslage Ihrer Instanz auswirken können.

    Überprüfen Sie die Informationen

    Tabelle : 1. Zugriffssteuerungen Auditor-Prüfungen
    Name überprüfen Beschreibung Scan-Ergebnistyp
    Identifizieren Sie veraltete Store-Apps

    Identifiziert Apps, die auf Ihrer Instanz aktiviert sind und über aktualisierte Versionen verfügen.

    Überprüfen Sie, ob Sie die aktuellsten Versionen von Store-Anwendungen ausführen, die Korrekturen potenzieller Sicherheitsprobleme enthalten können.

    		 Lösung Empfohlen
    Unsichere GlideRecord-Anrufe

    Identifiziert Skripts, die von Endanwendern direkt aufgerufen werden können (z. B. vom Client aufrufbare Skripteinbindungen, Widgets, Prozessoren, REST-Endpunkte)

    Diese Skripts sollten ACLs beachten und GlideRecordSecure oder GlideRecord mit canRead, canWrite, canCreate, canDelete verwenden.

    		 Lösung Empfohlen
    Überprüfen Sie die zulässigen JavaScript-Bibliotheken

    Gibt Skripts an, in denen die JavaScript-Inhaltszugriffssteuerung verwendet wird, um bestimmte JavaScript-Bibliotheken von Drittanbietern zuzulassen oder abzulehnen.

    Überprüfen Sie Instanzanpassungen, um sicherzustellen, dass Bibliotheken nicht verwendet werden, bevor Sie den Zugriff blockieren. Die Tabelle „Zugriffsnachverfolgung für JavaScript-Inhaltsanbieter“ [sys_js_content_Provider_Access_Tracking] kann überprüft werden, um das letzte Datum anzuzeigen, an dem auf die Bibliothek zugegriffen wurde.

    Hinweis:
    Diese Prüfung kann in Instanzen ignoriert werden, die ursprünglich in Tokio oder später bereitgestellt wurden. Für Datensätze in der zugehörigen Tabelle sind standardmäßig Deny-Regeln festgelegt. In Instanzen, die ursprünglich vor Tokio bereitgestellt wurden, können in den Tabellen der JavaScript-Zugriffssteuerung zulässige Regeln vorhanden sein.
    		 Lösung Empfohlen
    Überprüfen Sie vom Client aufrufbare Skripteinbindungen ohne entsprechende ACL

    Identifiziert vom Client aufrufbare Skripteinbindungen, die keine entsprechende ACL haben. Diese Skripts verwenden die standardmäßige ACL („*“) des aufrufbaren Clientskripts.

    Erstellen Sie für diese Skripts ACLs, die die entsprechenden Zugriffskriterien definieren, um sicherzustellen, dass nur erwartete Anwender mit der bereitgestellten Funktionalität interagieren können.

    		 Lösung Empfohlen
    Überprüfen Sie anwenderdefinierte Tabellen mit Datensatzerstellern und ohne Business-Regel

    Identifiziert Datensatzersteller, die keine zusätzliche serverseitige Validierung haben. Diese Prüfung identifiziert anwenderdefinierte Tabellen mit einem Datensatzersteller, aber ohne zugehörige Business-Regel.

    Dies kann Anwendern ermöglichen, unerwartete Daten an die zugehörige Tabelle zu übermitteln.

    		 Lösung Empfohlen
    Überprüfen Sie leere ACLs

    Identifiziert ACL-Datensätze, die kein Skript, keine Bedingung, kein Sicherheitsattribut oder keine Rolle oder ACLs mit haben Öffentlich Rolle.

    ACLs werden leer gelassen oder mit verwendet Öffentlich Die Rolle bietet offenen Zugriff auf alle von dieser ACL geschützten Inhalte.

    		 Lösung Empfohlen
    Überprüfen Sie Felder mit deaktivierter HTML-Bereinigung

    Gibt HTML-Felder an, wo HTML-Bereinigung Ist inaktiv.

    HTML-Bereinigung entfernt oder ersetzt potenziell schädliche Elemente und Attribute im HTML-Code. Überprüfen Sie HTML-Felder, in denen die Bereinigung inaktiv ist, um zu bestätigen, ob diese Konfiguration erforderlich ist.

    		 Lösung Empfohlen
    Überprüfen Sie inaktive Sicherheitsfunktionen-Plugins

    Identifiziert nicht aktivierte Plugins, die zusätzliche, konfigurierbare Sicherheitskontrollen bereitstellen. Die Ergebnisse dieser Prüfung werden zu Informationszwecken bereitgestellt.

    Bevor Sie eines der identifizierten Plugins aktivieren, stellen Sie sicher, dass das Plugin Ihre Anwendungsfälle oder Anforderungen erfüllt. Sie können diese Ergebnisse stummschalten, wenn Sie keinen Anwendungsfall für den identifiziert haben.

    		Informieren
    Überprüfen Sie große zulässige IP-Adressbereiche

    Identifiziert IP-Adresszugriffssteuerungsbereiche, die eine große Anzahl von IP-Adressen enthalten.

    Hinweis:

    Wenn Sie eine große Anzahl von falsch positiven Ergebnissen sehen, sollten Sie die Variable largestExpectedCIDRBlock an Ihre spezifischen Geschäftsanforderungen anpassen.

    CIDR-Blöcke (Classless Inter Domain Routing) enthalten eine größere Anzahl von IP-Adressen, wenn die Anzahl abnimmt. Beispielsweise ist der CIDR-Block 8 größer (enthält mehr IP-Adressen) als die CIDR-Blockgröße 16.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie öffentliche GraphQL-Schemas

    Identifiziert öffentliche GraphQL-Schemas in der GraphQL-API-Tabelle [sys_graphql_Schema].

    Diese Schemas können so konfiguriert werden, dass sie ohne Authentifizierung verfügbar sind. Je nach Funktionalität des Endpunkts kann dies nicht authentifizierten Anwendern ermöglichen, unerwartete Aktionen auszuführen oder mit unerwarteten Daten zu interagieren.

    		 Überprüfen und entscheiden
    Überprüfen Sie öffentliche Knowledge Base-Artikel

    Identifiziert Knowledge Bases und Knowledge Base-Artikel, die konfiguriert sind, um nicht authentifizierten Anwendern Zugriff zu ermöglichen.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie die öffentlichen REST API-Endpunkte

    Identifiziert Rest-API-Endpunkte in der Tabelle „geskriptete REST-Ressource“ [sys_WS_Operation], die so konfiguriert sind, dass sie ohne Authentifizierung verfügbar sind.

    Je nach Funktionalität des Endpunkts kann dies nicht authentifizierten Anwendern ermöglichen, unerwartete Aktionen auszuführen oder mit unerwarteten Daten zu interagieren.

    		 Überprüfen und entscheiden
    Überprüfen Sie die Seiten des öffentlichen Serviceportals

    Identifiziert Serviceportal-Seiten, die öffentlich gemacht werden. Serviceportal-Seiten werden nicht authentifizierten Anwendern zur Verfügung gestellt, indem das Feld „öffentlich“ auf „wahr“ festgelegt wird.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie öffentliche UI-Seiten

    Gibt UI-Seiten an, die öffentlich gemacht werden. UI-Seiten können für nicht authentifizierte Anwender mithilfe der Seite [sys_public] verfügbar gemacht werden.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie Rollen, die die Rolle „admin“ enthalten

    Identifiziert alle Rollen (Tabelle „Rollen“ [sys_user_role]), die enthalten Administrator Rolle.

    Die Administrator Die Rolle gewährt Anwendern Administratorrechte und sollte nur bei Bedarf verwendet werden. Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht. Wenn dies eine absichtliche Konfiguration ist, kann diese Prüfung stummgeschaltet werden.

    		 Überprüfen und entscheiden
    Überprüfen Sie UI-Seiten ohne entsprechende ACLs

    Identifiziert UI-Seiten, die keine ACL für diese UI-Seite haben.

    UI-Seiten, die keine bestimmte ACL haben, standardmäßig auf eine generische UI-Seiten-ACL, Die unbeabsichtigten Anwendern Zugriff gewähren kann.

    		 Lösung Empfohlen
    Überprüfen Sie Anwender mit gültigen lokalen Passwörtern

    Identifiziert Anwender mit lokal festgelegten Passwörtern.

    Anwender mit lokalen Passwörtern können mithilfe der lokalen Anmeldeinformationen über APIs mit der Instanz interagieren, auch wenn lokale Anmeldungen nicht zulässig sind. Diese Passwortkonfiguration ist erforderlich, damit Integrationsanwenderaccounts ordnungsgemäß funktionieren.

    Überprüfen Sie diese Anwenderaccounts, um sicherzustellen, dass sich nur beabsichtigte Anwender (z. B. Integrationsaccounts) mit lokaler Authentifizierung authentifizieren können.

    		 Überprüfen und entscheiden
    Rotieren Sie Passwörter, die mit veralteten Hashing-Algorithmen gespeichert wurden

    Identifiziert Anwenderaccounts mit Passwörtern, die in früheren Versionen von erstellt wurden ServiceNow AI Platform, Der möglicherweise einen veralteten oder veralteten Hashing-Algorithmus verwendet hat.

    Für Accounts, die mit alten Plattformversionen erstellt wurden und ihre Passwörter nicht rotiert wurden, können weiterhin Passwörter mit einem Legacy-Hashing-Algorithmus gespeichert werden. Überprüfen Sie die erstellten identifizierten Accounts unter Berücksichtigung der Passwortzurücksetzung.

    		 Lösung Empfohlen
    Datensatzersteller werden gesichert

    Identifiziert unsichere Datensatzersteller.

    Wenn sie nicht den entsprechenden Rollen zugewiesen sind, können nicht autorisierte Anwender darauf zugreifen, wodurch möglicherweise vertrauliche Informationen offengelegt werden. Weisen Sie Datensatzerstellern entsprechende Rollen zu, um sicherzustellen, dass sie nur für Anwender zugänglich sind, die sie benötigen.

    		 Lösung Empfohlen
    Sichtbarkeit der UI-Aktion

    Identifiziert UI-Aktionen, auf die ein Anwender ohne Rollen zugreifen kann, der keinen Lesezugriff auf die Tabelle hat.

    Diese Anwender können möglicherweise Daten in einer Tabelle ändern, auf die sie über diese UI-Aktionen keinen Zugriff haben. Stellen Sie sicher, dass UI-Aktionen nur für Anwender mit Zugriff auf die von ihnen betroffene Tabelle verfügbar sind.

    		 Lösung Empfohlen