外来の明示的なロールアクセスコントロール条件のレビュー (セキュリティセンター 1.5 で削除)

  • リリースバージョン: Xanadu
  • 更新日 2024年08月01日
  • 所要時間:2分
  • すべてのユーザーが内部リソースにアクセスするための snc_internal ロール、または外部リソースにアクセスするための snc_external ロールのどちらかを持つことを義務付けるために、Explicit Roles プラグインが推奨されます。

    このプラグインをインストールすると、すべての既存のユーザーに snc_internal ロールがアサインされ、既存のアクセス制御リスト (ACL) にロールの条件が設定されます。自動化ロジックまたはインスタンスアドミンによる介入により、より厳格なロール要件がすでに含まれている ACL に、snc_internal ロールまたは snc_external ロールが誤って追加される場合があります。ACL ロールの評価は、ACL にマップされたロールを含むすべてのユーザーで合格するため、snc_internal または snc_external を追加すると、ACL の意図した目的に対して広範になりすぎる可能性があります。これにより、特権の低いユーザーに ACL を介してアクセスが許可された場合、データの漏洩が発生する可能性があります。

    たとえば、snc_internal ロールと admin ロールの両方をテーブル内の同じ ACL にマップする必要はありません。ACL がアドミンにアクセスを許可することを目的としている場合、snc_internal ロールは間違いです。または、ACL はすべての snc_internal ユーザーにアクセスを許可することを目的としている場合、admin ロールは不要になります。Explicit Roles プラグインがインストールされている場合は、snc_internal または snc_external のロール条件が含まれている ACL に、別のロールの条件も含まれていることを確認してください。ロールが特定のユースケースに対して機能できる場合は、その結果を定期的にレビューする必要があります。

    重要:
    ISM ハードニングベースラインの次のバージョン (バージョン 1.6) では、このチェックは「明示的ロール ACL 構成チェックスイート」というチェックに置き換えられます。現在、チェックにより調査結果が多過ぎてレビューできない場合があります。

    詳細情報

    属性 説明
    構成名 com.glide.explicit_rolessys_security_acl、および sys_security_acl_role
    構成タイプ システムプロパティ (/sys_properties_list.do)
    データタイプ データタイプなし
    推奨値 推奨値なし
    デフォルト値 デフォルト値なし
    カテゴリ アクセス制御
    セキュリティリスク
    • 重大度スコア:4.2
    • CVSS スコア:中
    • セキュリティリスクの詳細:自動化またはインスタンスアドミンによる介入により、より厳格なロール要件がすでに含まれている ACL に、snc_internal ロールまたは snc_external ロールが追加される場合があります。ACL のロールの評価では、ACL にマップされたいずれかのロールを含むすべてのユーザーが合格するため、どちらのロールの追加も ACL の目的に対して広範すぎるため、特権の低いユーザーに ACL を介してアクセスが許可された場合にデータ漏洩が発生する可能性があります。
    参照 明示的なロール