Härtungseinstellungen

Die ServiceNowDer Inhalt der Härtungseinstellungen für Sicherheitscenter (SSC) enthält detaillierte Beschreibungen und Compliance-Werte für die sicherheitsbezogenen Systemeigenschaften und Plugins in Now Platform. Sie können diese Eigenschaften mit der App „Härtungseinstellungen“ im Sicherheitscenter festlegen.

Übersicht und Zweck

Das Sicherheitscenter berechnet eine tägliche Compliance-Punktzahl, ausgedrückt als Prozentsatz, der darauf basiert, wie konform Ihre aktuellen Instanzsicherheitseinstellungen mit den Compliance-Werten in den Sicherheitscenter-Härtungseinstellungen sind.

Sie können die spezifischen Sicherheitskonfigurationseinstellungen, die sich auf die Punktzahl für Ihre Instanz auswirken können, direkt im Sicherheitscenter verwalten.

Die Konfigurationen der Härtungseinstellungen werden mit mehreren Attributen erläutert, die in der Tabelle beschrieben werden.

Tabelle : 1. Konfigurationsdetails der Härtungseinstellungen

Konfigurationsattribut	Beschreibung
Übersicht	Bietet einen allgemeinen Überblick über die Empfehlung.
Konfigurationsname	Die Eigenschaft oder der Plugin-Name.
Konfigurationstyp	Beschreibt, wo die Eigenschaft außerhalb des Sicherheitszentrums konfiguriert werden kann, z. B. in Systemeigenschaften ( sys_properties_list.do).
Datentyp	Beschreibt den Typ des Werts, der für die Konfiguration erforderlich ist. Beispiele sind „wahr/falsch“, „boolescher Wert“, „Installation“, „Plugin“, „Zeichenfolge“ usw.
Empfohlener Wert	Der Wert, der vom Sicherheitszentrum empfohlen wird, um die Sicherheits-Compliance in Ihrer Instanz zu verbessern.
Standardwert	Der Wert, auf den die Konfiguration im Basissystem festgelegt ist.
Kategorie	Der Name und der Link zur Kategorie für die Härtungseinstellung.
Sicherheitsrisiko	Schweregradpunktzahl : Die Punktzahl gibt das potenzielle Sicherheitsrisiko für Ihre Instanz gemäß der Wahrscheinlichkeit an, dass die Schwachstelle ausgenutzt wird. Die Sicherheitslücke wird einzeln anhand der CVSS-Punktzahl (Common Vulnerability Scoring System) auf einer Skala von berücksichtigt und bewertet 0,0 Bis 10,0 . Siehe https://nvd.nist.gov/vuln-metrics/cvss/v3-calculatorFür zusätzliche Informationen.
	Schweregradbewertung pro CVSS-Punktzahl : Kritisch: 9,0–10,0 Hoch: 7,0–8,9 Mittel: 4,0–6,9 Niedrig: .01-3.9 Keine: 0,0
	Sicherheitsrisikodetails : Beschreibt die Wichtigkeit der Einstellungskonfiguration und das Risiko, die empfohlene Konfiguration nicht zu verwenden.
Abhängigkeiten und Voraussetzungen	Zugehörige Einstellungen oder Konfigurationen, die vor oder in Verbindung mit der Härtungskonfiguration erforderlich sind.
Funktionale Auswirkung	Die Auswirkung dieser Härtungseinstellung auf den Betrieb Ihrer Instanz.
Referenzen	Links zur Konfigurationsdokumentation oder anderen hilfreichen Informationen.

Hinweis:

Einige der Konfigurationen können nur bis abgeschlossen werden Kundenservice und SupportUnd werden als solche angegeben.

Weitere Informationen dazu, wie Sie sicherstellen, dass Ihre Instanzen die Härtungsanforderungen erfüllen, finden Sie unter Sicherheitshärtung.

Andere Ressourcen

Als Anwenderreferenz: Now PlatformVerwaltet umfassende Informationen zu Konfigurationsfähigkeiten in der Produktdokumentation. Sie greifen über die in gefundenen Links auf die meisten Sicherheitsinhalte zu Sichern Sie Ihre Instanz. Weitere Informationen finden Sie unter:

• Verfügbare Systemeigenschaften
• Eigenschaften der allgemeinen Sicherheitseinstellungen
• Strenge Sicherheitseinstellungen

• Baseline der Härtungseinstellungen
  Erkunden Sie, wie Baseline-Versionen für Härtungseinstellungen an Familien- und Store-Releases ausgerichtet sind.
• Zugriffssteuerung
  Die Zugriffssteuerungskategorie auditiert den Prozess zum Schutz von Ressourcen vor nicht autorisiertem Zugriff durch Gewährung und Ablehnung von Anforderungen basierend auf einem Berechtigungsmodell. Dies umfasst die Sicherstellung, dass eine Entität, die auf eine Ressource zugreift, gültige Anmeldeinformationen dazu enthält, einen klar definierten Satz von Rollen oder Berechtigungen zu erstellen und zu schützen und sicherzustellen, dass Rollen- oder Berechtigungssteuerungen vor Wiedergabe und Manipulation geschützt sind.
• API und Webservice
  Die API- und Webservicekategorie stellt sicher, dass Anwendungen über die entsprechende Authentifizierung, Autorisierung und Sitzungsverwaltung verfügen, validieren alle Eingaben, die eine Vertrauensgrenze überschreiten, und enthalten Sicherheitskontrollen für alle API-Typen.
• Architektur, Design und Bedrohungsmodellierung
  Diese breite Steuerung behandelt allgemeine Designüberlegungen und Schlüsselelemente für die Implementierung einer sicheren Anwendung. Dies deckt die Mandanten der Verfügbarkeit, der Integrität der Vertraulichkeitsverarbeitung, der Nichtablehnbarkeit und des Datenschutzes ab. Darüber hinaus sind Elemente eines sicheren Softwareentwicklungslebenszyklus enthalten.
• Authentifizierung
  Die Authentifizierungskategorie deckt die Hauptelemente der modernen Authentifizierung ab, um zu bestätigen, dass eine Entität und ihre Ansprüche authentisch und korrekt sind, resistent gegen Identitätswechsel sind und das Abfangen von Passwörtern verhindern.
• Geschäftslogik
  Diese Kategorie betrachtet die Logik und den Flow, die für jede Anwendung eindeutig sind, mit allgemeinen Sicherheitsprinzipien. Stellen Sie insbesondere sicher, dass die beabsichtigte Sequenz des Geschäftslogik-Flows nicht umgangen werden kann, dass Einschränkungen vorhanden sind, um automatisierte Angriffe zu erkennen und zu verhindern, und dass Schutz vor Spoofing, Manipulation, Offenlegung von Informationen und Erhöhung von Berechtigungen vorhanden ist.
• Kommunikation
  Diese Steuerung stellt eine ordnungsgemäße Verschlüsselung mithilfe starker Algorithmen und Verschlüsselungen sicher. Dies umfasst die Sicherstellung, dass die empfohlene Version von TLS für die Client-Konnektivität verwendet wird, die Verwendung starker Cipher-Suites, die Verwendung vertrauenswürdiger und signierter Zertifikate, die Sicherstellung, dass Verbindungen zwischen Komponenten verschlüsselt sind, und die Protokollierung von Verbindungsfehlern.
• Konfiguration
  Die Konfigurationskategorie stellt sicher, dass Anwendungen über eine sichere Build-Umgebung und gesicherte Drittanbieterbibliothekskomponenten verfügen. Insbesondere wird sichergestellt, dass eine Build- und Bereitstellungs-Pipeline wiederholbar ist, automatisierte Tests umfasst und verhindert, dass bekannte Sicherheitsprobleme bereitgestellt werden. Dies beinhaltet, dass Abhängigkeiten auf dem neuesten Stand bleiben und frei von bekannten Schwachstellen sind.
• Datenschutz
  Die Datenschutzkategorie behandelt die Elemente Vertraulichkeit, Integrität und Verfügbarkeit (CIA) von Daten.
• Fehlerbehandlung und -Protokollierung
  Die Kategorie „Fehlerbehandlung und -Protokollierung“ behandelt die Qualität und Ausführlichkeit der protokollierten Informationen, die Stakeholdern zur Verfügung gestellt werden.
• Datei und Ressourcen
  Die Datei- und Ressourcenkategorie stellt sicher, dass Anwendungen nicht vertrauenswürdige Dateidaten sicher verarbeiten und nicht vertrauenswürdige Daten aus nicht vertrauenswürdigen Quellen mit eingeschränkten Berechtigungen an einem geeigneten Speicherort speichern.
• Böswilliger Code
  Die Kategorie „böswilliger Code“ stellt sicher, dass nach besten Kräften sichergestellt wird, dass Ihr Code frei von Schwachstellen und unerwünschten Funktionen ist.
• Management von Anwendersitzungen
  Diese Kategorie untersucht die Sicherheit des Anwendungsstatus für einen Anwender. Sitzungen müssen für jede Person eindeutig sein, nicht erraten oder geteilt werden können und nach Zeiträumen der Inaktivität oder wenn nicht erforderlich, für ungültig erklärt werden. Dies umfasst Faktoren wie Cookie-Attribute für Cookie-basierte Sitzungen, Generierung von Sitzungstoken und Speicher sowie Anforderungen für die föderierte erneute Authentifizierung.
• Gespeicherte Kryptografie
  Diese Kategorie konzentriert sich auf die Verschlüsselung gespeicherter Daten. Es umfasst mehrere wichtige Aspekte, z. B. die Verwendung etablierter Algorithmen und kryptografischer Module, die Sicherstellung der richtigen Generierung von Pseudo-zufälligen Werten, die Implementierung der Verschlüsselung basierend auf der Datenklassifizierung und die sichere Speicherung und Isolierung von Schlüsselmaterial.
• Validierung, Bereinigung und Codierung
  Validierung, Bereinigung und Codierung adressiert die Eingabevalidierung, um Schwachstellen wie Site-Cross-Scripting (XSS), SQL Injection und andere Angriffe zu verhindern.