Architecture, conception et modélisation des menaces

Ce contrôle étendu traite les considérations de conception de haut niveau et les éléments clés pour implémenter une application sécurisée. Cela couvre les locataires de la disponibilité, l’intégrité du traitement de la confidentialité, la non-répudiation et la confidentialité. De plus, des éléments d’un cycle de vie de développement logiciel sécurisé sont inclus.

• Authentification basée sur certificat non mise en application [Nouveau dans Security Center 1.3]
  La glide.authenticate.mutual.enabled propriété active l’authentification basée sur certificat, un type d’authentification réciproque pour les connexions REST entrantes aux API REST et SOAP dans le ServiceNow AI Platform.
• Vérifier l’emprunt d’identité dans l’évaluation ACL de l’application RH [nouveau dans Security Center 1.3 et mis à jour dans la version 1.5]
  Utilisez la propriété pour empêcher un utilisateur d’emprunter l’identité sn_hr_core.impersonateCheck d’un autre utilisateur et d’accéder à ses informations RH.
• Désactiver la connexion locale pour les utilisateurs avec l’authentification unique (SSO) activée
  Mettez à jour les enregistrements des utilisateurs pour désactiver la connexion locale pour les utilisateurs avec l’authentification unique (SSO) activée.
• Désactiver les rapports publiés non authentifiés [Mis à jour dans Centre de sécurité 2.0]
  Désactivez cette propriété pour empêcher l’utilisateur de publier ou d’accéder aux rapports. Cette propriété désactive la fonctionnalité de rapports publiés dans la génération de rapports.
• Renforcer les ACL de champs pour les demandes entrantes
  Gérez la façon dont les requêtes entrantes sont validées sur votre instance.
• Appliquer les ACL en lecture sur les vues de rapport
  Gérez la façon dont les ACL en lecture sont appliquées sur votre instance.
• Appliquer les ACL de requête pour les liens rapides de la base de connaissances
  Appliquez des ACL de requête pour les liens rapides de la base de connaissances à l’aide d’une propriété système.
• Appliquer les ACL de requête pour les sous-listes, les nombres de listes et les tables de données de widget
  Appliquez les ACL de requête sur les requêtes de table de données de sous-liste, de nombre de listes et de widget à l’aide de propriétés système.
• Appliquer un choix de chaîne de requête valide [Nouveau dans Security Center 7.0]
  Utilisez une propriété système pour vous assurer que toute valeur de champ de choix, lorsqu’elle est transmise via une chaîne de requête URL, est un choix actif valide lors de la création d’un enregistrement.
• Définir les adresses IP internes autorisées ServiceNow [Mis à jour dans Centre de sécurité 1.3 et 1.5]
  Utilisez la propriété pour spécifier les glide.ip.authenticate.strict plages IP qui peuvent établir des connexions entrantes sur une instance.
• Désactiver le comportement JQuery hérité [Mis à jour dans Security Center 1.3]
  Ceci glide.jquery.legacy est utilisé pour empêcher l’utilisation d’anciennes versions jQuery prédéfinies qui introduiront des vulnérabilités non corrigées dans la bibliothèque.
• Désactiver le comportement hérité de clôture du champ d’application GlideRecord [Nouveau dans Security Center 1.3 et mis à jour dans les versions 1.5 et 2.0]
  La glide.record.legacy_cross_scope_access_policy_in_script propriété désactive la séparation des champs d’application permettant aux applications incluses dans le périmètre d’accéder aux interfaces de script globales. Il a été créé en tant que correctif pour l’accès multi-champs d’application de GlideRecord.
• Désactiver le comportement AngularJS hérité [Mis à jour dans Centre de sécurité 1.3]
  Utilisez la propriété pour vous protéger contre les glide.angular.legacy risques de sécurité potentiels découlant des attaques sur les vulnérabilités détectées dans les versions de bibliothèque AngularJS obsolètes.
• Exiger une autorisation pour l’API REST du courtier en données [Mis à jour dans Centre de sécurité 1.3]
  Utilisez la propriété pour exiger une glide.basicauth.required.databrokerrestapiprocessor autorisation de base pour toutes les demandes API REST du courtier de données.
• Fonctionnalité de liaison restreinte en cas d’autorisation du titulaire [nouveau dans le centre de sécurité 7.0]
  Utilisez une propriété système et une liaison restreinte pour vous assurer qu’un jeton d’accès généré à l’aide de cette entité ne peut pas être utilisé pour les appels d’interface utilisateur.
• Refuser par défaut en cas d’ACL vides [Mis à jour dans Centre de sécurité 1.3]
  Utilisez la glide.sm.default_mode propriété pour contrôler le comportement par défaut du gestionnaire de sécurité lorsqu’il détecte que des règles de liste de contrôle d’accès (ACL) existantes font partie des règles ACL d’une table à caractère générique.
• Définir le nettoyage automatique des jetons pour les informations d’identification de jeton [nouveau dans Security Center 2.0]
  Utilisez la propriété pour vous assurer que les com.snc.platform.security.token.auth.cleanup clés API et les secrets HMAC expirés sont supprimés, limitant ainsi le potentiel de réutilisation des jetons.