Validierung, Bereinigung und Codierung

Validierung, Bereinigung und Codierung behandeln die Validierung der Eingabe, um Schwachstellen wie websiteübergreifendes Skripting (Cross-Site Scripting, XSS), SQL-Einschleusung und andere Angriffe zu verhindern.

Diese Steuerung stellt sicher, dass Eingabevalidierung und Ausgabecodierung vorhanden und ordnungsgemäß konfiguriert sind, z. B. Codierung oder Escape-Zeichen für Ausgabedaten. Diese Kategorie umfasst auch Prüfungen für Elemente wie Deserialisierung von Objekten, Sandboxing bei Bedarf und positive Validierung durch Allow-Listen.

• Zugriff auf skriptfähige GlideSystemUserSession-API beschränken [In Security Center 1.3 und 2.0 aktualisiert]
  Die vom Client aufrufbare skriptfähige GlideSystemUserSessionSandbox-API macht die Methoden addErrorMessageNoSanitization und addInfoMessageNoSanitization von GlideSystemUserSession für die JavaScript-Sandbox verfügbar. Dadurch können alle Anwender diese Methode per Skript aufrufen.
• JavaScript-Tags in eingebettetem HTML deaktivieren [Aktualisiert in Security Center 1.3]
  Verwenden Sie die Eigenschaft glide.ui.security.codetag.allow_script, um die Unterstützung für das Einbetten von HTML-JavaScript-Code zu deaktivieren, der mit dem [code]-Tag erstellt wurde.
• Sicherheitsmanager für gehärtetes Java aktivieren [Neu in Security Center 1.3]
  Die Eigenschaft glide.security.manager enthält den Java-Klassennamen des aktuellen Java-Sicherheitsmanagers.
• HTML-Bereinigung erzwingen [Aktualisiert in Security Center 1.3]
  Verwenden Sie die Eigenschaft com.glide.security.check_unsanitized_html, um das Bereinigungsverhalten von translated_html-Feldern auf globaler Ebene für Feldzuweisungen zu erzwingen.
• Skript-Sandbox aktivieren [In Security Center 1.3 aktualisiert]
  Verwenden Sie die Eigenschaft glide.script.use.sandbox, um das Skript-Sandboxing zu aktivieren.
• Eingehende E-Mail-Bilder in Anhänge konvertieren [In Security Center 1.3 aktualisiert und in 1.5 entfernt]
  Verwenden Sie die Eigenschaft glide.email.inbound.convert_html_inline_attachment_references, um anzugeben, ob eingehende HTML-E-Mails so konvertiert werden sollen, dass E-Mail-Bilder in der HTML-Textvorschau der E-Mail angezeigt werden.
• AJAXEvaluate deaktivieren
  Verwenden Sie glide.script.allow.ajaxevaluate, um die System-API vor Schwachstellen bei der Clientskriptausführung über AJAX-Aufrufe zu schützen.
• Entitätserweiterung im XMLDocument2-Streaming-Parser deaktivieren [Aktualisiert in Security Center 1.5]
  Wenn Anpassungen keine Entitätserweiterung erfordern, verwenden Sie die Eigenschaft glide.stax.allow_entity_resolution, um die externe Entitätserweiterung vollständig zu deaktivieren. Die XML-Datei schließt die Analyse ab, enthält jedoch keine internen oder externen Entitäten.
• URL für externen Inhalt deaktivieren [In Security Center 2.0 aktualisiert]
  Verwalten Sie mit Connect-Chat, wie externe Link-Metadaten in Ihrer Instanz verwendet werden.
• Herunterladbare MIME-Typen einschränken [Aktualisiert in Security Center 1.3 und 2.0]
  Die Eigenschaft glide.ui.attachment.download_mime_types erzwingt, dass die angegebene Liste gefährlicher Dateitypen auf den Client heruntergeladen und nicht inline im Browser angezeigt wird.
• Eingebetteten HTML-Code deaktivieren [In Security Center 1.3 aktualisiert]
  Verwenden Sie die Eigenschaft glide.ui.security.allow_codetag, um die Unterstützung für das Einbetten von HTML-Code zu deaktivieren, der mit dem Tag [code] erstellt wurde.
• HTML-Bereinigung in Virtual Agent aktivieren [Aktualisiert in Security Center 1.3 und 1.5]
  Verwenden Sie die Eigenschaft com.glide.cs.html.sanitizer.enabled, um HTMLSanitizerService zu aktivieren.
• Jelly JS-Interpolationsschutz aktivieren
  Verwenden Sie die Eigenschaft glide.ui.jelly.js_interpolation.protect, um sicherzustellen, dass JavaScript-Code, der auf einer Jelly-Seite ausgeführt werden soll, mithilfe der Jelly-Interpolation vor der Einschleusung geschützt ist.
• Jelly JS-Interpolationsschutz für geschachtelte Ausdrücke aktivieren [In Security Center 2.0 aktualisiert]
  Verwalten Sie den Interpolationsschutz in Ihrer -Instanz.
• Relative Links erzwingen [Aktualisiert in Security Center 1.3 und 1.5]
  Verwenden Sie die Eigenschaft glide.cms.catalog_uri_relative, um relative Links vom URI-Parameter für /ess/catalog.dozu erzwingen.
• Prüfung der URL-Allow-Liste erzwingen [Aktualisiert in Security Center 1.3, 1.5 und 2.0]
  Verwenden Sie die Systemeigenschaft glide.security.url.whitelist, um eine zusätzliche Validierungsebene hinzuzufügen, um sicherzustellen, dass eine eingeführte externe URL Teil der URLs auf der Aufnahmeliste sein muss.
• Excel-Formeln codieren [In Security Center 1.3 aktualisiert]
  Verwenden Sie die Eigenschaft glide.export.escape_formulas, um die Excel-Injektion, auch bekannt als Formelinjektion, zu verhindern.
• HTML in Listenansichten codieren [Aktualisiert in Security Center 1.3 und 1.5]
  Verwenden Sie die Eigenschaft glide.ui.escape_html_list_field, um HTML-Escape-Zeichen für HTML-Felder in einer Listenansicht zu erzwingen.
• Escape-Zeichen für JavaScript [Aktualisiert in Security Center 1.3]
  Verwenden Sie die Eigenschaft glide.html.escape_script, um in HTML-Feldern während Listenansichten Escape-Zeichen für JavaScript-Tags (<script></script>) zu erzwingen.
• Escape-Zeichen für Jelly-Skript [In Security Center 1.3 und 1.5 aktualisiert]
  Verwenden Sie die Eigenschaft glide.ui.escape_all_script, um das Escape-Zeichen für alle in Jelly eingefügten Skripts zu erzwingen.
• Skripts in Scratchpad codieren [In Security Center 1.3 aktualisiert]
  Erfahren Sie, wie Scratchpad-Faktoren die Sicherheitslage Ihrer Instanz berücksichtigen und wie Sie sie verwalten, damit keine schädlichen Skripts darauf ausgeführt werden können.
• XML-Markup codieren [In Security Center 1.3 aktualisiert]
  Verwenden Sie die Eigenschaft glide.ui.escape_text, um das Escape-Zeichen für XML-Werte auf Parser-Ebene zu erzwingen, bevor Sie sie an den Browser des Clients übertragen.
• Escape-XML-Antwort
  Verwalten Sie, wie XML-Escape-Zeichen in Ihrer Instanz behandelt werden.
• HTML-Bereinigung aktivieren [In Security Center 1.3 aktualisiert]
  Verwenden Sie die Eigenschaft glide.html.sanitize_all_fields, um die HTMLSanitizer-Skripteinbindung zu aktivieren, die HTML-Eingaben basierend auf den in einem Skript konfigurierten Attributen auf der Ausschluss- und Aufnahmeliste bereinigt.
• Zulässige Java-Pakete einschränken [Aktualisiert in Security Center 1.3]
  Durch die Konfiguration dieser Eigenschaften wird verhindert, dass gefährliche APIs für die Skript-Engine verfügbar gemacht werden.
• Anfänglicher eindeutiger LDAP-Namen löschen [In Security Center 1.3 aktualisiert und in 2.0 entfernt]
  Verwenden Sie diese Eigenschaft, um den eindeutigen Namen eines LDAP-Server-Datensatzes zu verwalten.
• Strikte Sicherheit von Sitzungscookies erzwingen [Aktualisiert in Security Center 1.3]
  Verwenden Sie die Eigenschaft glide.ui.secure_cookies, um ordnungsgemäß formatierte Cookies anzufordern
• Schwellenwert für die Entitätserweiterung für skriptfähiges GlideXMLUtil minimieren [Aktualisiert in Security Center 1.3, 1.5 und 2.0]
  Verwenden Sie die Eigenschaft glide.xmlutil.max_entity_expansion, um die maximale Entitätserweiterungsgrenze in eine kleinere Zahl zu ändern.
• Erstellung leerer ACLs verhindern [Neu in Security Center 2.0]
  Legen Sie die Eigenschaft glide.security.empty_acl.popup_window.enabled auf den sicheren Wert true fest, um Versuche zum Erstellen, Aktualisieren oder Speichern einer ungültigen ACL zu blockieren. Diese Einstellung stellt auch ein clientseitiges Modell zum Konfigurieren einer Rolle oder eines Sicherheitsattributs für die ACL bereit.
• Eingeschränkt herunterladbare MIME-Typen definieren [Aktualisiert in Security Center 1.3, 1.5 und 2.0]
  Verwenden Sie die Eigenschaft glide.ui.attachment.force_download_all_mime_types, um MIME-Typen herunterzuladen und nicht inline im Browser zu rendern.
• Hochgeladene MIME-Typen einschränken [Aktualisiert in Security Center 1.3 und 2.0]
  Verwenden Sie die Eigenschaft glide.security.file.mime_type.validation, um die Überprüfung des MIME-Typs für Uploads zu aktivieren. Sie können die MIME-Typvalidierung für Dateianhänge aktivieren (setzen Sie die Eigenschaft auf wahr) oder deaktivieren (setzen Sie sie auf falsch).
• Externe XML-Entitäten einschränken [in Security Center 1.3 und 2.0 aktualisiert]
  Stellen Sie sicher, dass die Eigenschaften glide.xml.entity.whitelist und glide.xml.entity.whitelist.enabled auf die empfohlenen Werte festgelegt sind, um XXE-Angriffe (Externe XML-Entität) zu verhindern.
• XMLdoc2-Entitätsvalidierung mit allowlistDisable-Entitätserweiterung erfordern [Aktualisiert in Security Center 1.3]
  Wenn Anpassungen keine Entitätserweiterung erfordern, verwenden Sie die Eigenschaft glide.xmlutil.max_entity_expansion, um die externe Entitätserweiterung vollständig zu deaktivieren. Die XML-Datei schließt die Analyse ab, enthält jedoch keine internen oder externen Entitäten.
• Alle übersetzten HTML-Felder bereinigen [Neu in Security Center 2.0]
  Erfahren Sie, wie Sie die Eigenschaft glide.translated_html.sanitize_all_fields auf den sicheren Wert konfigurieren, um sicherzustellen, dass alle translated_html -Elemente mit einer HTML-Bereinigung bereinigt werden.
• Legen Sie eine Sicherheitsrichtlinie für sichere Inhalte für SVG-Dateien fest [Neu in Security Center 1.3]
  Die Eigenschaft com.glide.csp.self_script_src_svg fügt dem HTTP Content-Security-Policy-Header die Direktive „script-src None“ hinzu, wenn über die Dateierweiterung „Translation Memory Index“ (IIX) auf skalierbare SVG-Dateien zugegriffen wird.