Härtungseinstellungen

Der Inhalt für die Härtungseinstellungen des ServiceNow Security Center (SSC) enthält detaillierte Beschreibungen und Compliance-Werte für die sicherheitsbezogenen Systemeigenschaften und Plugins im Now Platform. Sie können diese Eigenschaften mit der App für die Härtungseinstellungen im Security Center festlegen.

Übersicht und Zweck

Security Center berechnet eine tägliche Compliance-Punktzahl, ausgedrückt als Prozentsatz, der darauf basiert, wie konform Ihre aktuellen Sicherheitseinstellungen für Instanzen mit den Compliance-Werten in den Härtungseinstellungen von Security Center sind.

Sie können die spezifischen Sicherheitskonfigurationseinstellungen, die sich auf die Punktzahl für Ihre Instanz auswirken können, direkt über das Security Center verwalten.

Die Konfigurationen der Härtungseinstellungen werden anhand mehrerer Attribute in der Tabelle erläutert.

Tabelle : 1. Konfigurationsdetails für Härtungseinstellungen

Konfigurationsattribut	Beschreibung
Übersicht	Bietet eine allgemeine Übersicht über die Empfehlung.
Konfigurationsname	Die Eigenschaft oder der Plugin-Name.
Konfigurationstyp	Beschreibt, wo die Eigenschaft außerhalb des Sicherheitscenters konfiguriert werden kann, z. B. in den Systemeigenschaften (sys_properties_list.do).
Datentyp	Beschreibt den Werttyp, der für die Konfiguration erforderlich ist. Beispiele sind wahr/falsch boolescher Wert, Installation, Plugin, Zeichenfolge usw.
Empfohlener Wert	Der Wert, der vom Sicherheitscenter empfohlen wird, um die Sicherheits-Compliance in Ihrer Instanz zu verbessern.
Standardwert	Der Wert, auf den die Konfiguration im Basissystem festgelegt ist.
Kategorie	Name und Link zur Kategorie für die Härtungseinstellung.
Sicherheitsrisiko	Schweregrad-Punktzahl: Die Punktzahl gibt das potenzielle Sicherheitsrisiko für Ihre Instanz anhand der Wahrscheinlichkeit an, dass die Schwachstelle ausgenutzt wird. Die Sicherheitsschwachstelle wird einzeln betrachtet und bewertet anhand der CVSS-Punktzahl (Common Vulnerability Bewertungssystem) auf einer Skala von 0,0 bis 10,0. Weitere Informationen finden Sie unter https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator.
	Schweregradbewertung pro CVSS-Punktzahl: Kritisch: 9,0–10,0 Hoch: 7,0–8,9 Mittel: 4,0–6,9 Niedrig: .01–3.9 Keine: 0,0
	Sicherheitsrisikodetails: Beschreibt die Bedeutung der Einstellungskonfiguration und das Risiko, die empfohlene Konfiguration nicht zu verwenden.
Abhängigkeiten und Voraussetzungen	Zugehörige Einstellungen oder Konfigurationen, die vor oder in Verbindung mit der Härtungskonfiguration erforderlich sind.
Funktionale Auswirkung	Die Auswirkungen, die diese Härtungseinstellung auf den Betrieb Ihrer Instanz hat.
Referenzen	Links zu Konfigurationsdokumentation oder anderen hilfreichen Informationen.

Hinweis:

Einige der Konfigurationen können nur von Kundenservice und Support abgeschlossen werden und werden als solche angezeigt.

Weitere Informationen dazu, wie Sie dafür sorgen, dass Ihre Instanzen die Härtungsanforderungen erfüllen, finden Sie unter Sicherheitshärtung.

Andere Ressourcen

Zur Benutzerreferenz enthält Now Platform umfangreiche Informationen zu den Konfigurationsfähigkeiten in der Produktdokumentation. Auf die meisten Sicherheitsinhalte können Sie über die Links in Instanz sichernzugreifen. Siehe auch:

• Verfügbare Systemeigenschaften
• Allgemeine Sicherheitseinstellungseigenschaften
• Strenge Sicherheitseinstellungen

• Baseline der Härtungseinstellungen
  Erfahren Sie, wie Baselineversionen für Härtungseinstellungen mit Familien- und Store-Releases übereinstimmen.
• Zugriffssteuerung
  Die Kategorie „Zugriffssteuerung“ prüft den Prozess, Ressourcen vor nicht autorisiertem Zugriff zu schützen, indem Anforderungen basierend auf einem Berechtigungsmodell gewährt und verweigert werden. Dies umfasst sicherzustellen, dass eine Entität, die auf eine Ressource zugreift, über gültige Anmeldeinformationen verfügt, um einen wohldefinierten Satz von Rollen oder Berechtigungen zu erstellen und zu schützen und sicherzustellen, dass Rollen- oder Berechtigungssteuerungen vor Wiedergabe und Manipulation geschützt sind.
• API und Webservice
  Die API- und Webservice-Kategorie stellt sicher, dass Anwendungen über ein angemessenes Management von Authentifizierung, Autorisierung und Sitzungen verfügen, alle Eingaben validieren, die eine Vertrauensgrenze überschreiten, und Sicherheitskontrollen für alle API-Typen enthalten.
• Architektur, Design und Bedrohungsmodellierung
  Diese umfassende Steuerung befasst sich mit allgemeinen Designüberlegungen und Schlüsselelementen zur Implementierung einer sicheren Anwendung. Dies umfasst die Mandanten der Verfügbarkeit, der Vertraulichkeitsverarbeitungsintegrität, der Nachweisbarkeit und des Datenschutzes. Darüber hinaus sind Elemente eines sicheren Software-Entwicklungslebenszyklus enthalten.
• Authentifizierung
  Die Authentifizierungskategorie deckt die Hauptelemente der modernen Authentifizierung ab, mit denen bestätigt wird, dass eine Entität und ihre Ansprüche zuverlässig und korrekt sind, gegen Identitätswechsel abgesichert sind und das Abfangen von Passwörtern verhindern.
• Geschäftslogik
  Diese Kategorie befasst sich mit der Logik und dem Flow, die bzw. den für jede Anwendung eindeutig sind, mit allgemeinen Sicherheitsprinzipien. Stellt insbesondere sicher, dass die beabsichtigte Reihenfolge des Geschäftslogik-Flows nicht umgangen werden kann, dass Grenzwerte zum Erkennen und Verhindern automatisierter Angriffe vorhanden sind und dass Schutzmaßnahmen gegen Spoofing, Manipulation, Offenlegung von Informationen und Angriffen zur Erhöhung von Berechtigungen vorhanden sind.
• Kommunikation
  Diese Steuerung stellt die ordnungsgemäße Verschlüsselung mit sicheren Algorithmen und Ziffern sicher. Dies umfasst sicherzustellen, dass die empfohlene Version von TLS für Client-Konnektivität verwendet wird, die Verwendung von sicheren Verschlüsselungssammlungen, die Verwendung vertrauenswürdiger und signierter Zertifikate, sicherzustellen, dass Verbindungen zwischen Komponenten verschlüsselt werden, und die Protokollierung von Verbindungsfehlern.
• Konfiguration
  Die Kategorie Konfiguration stellt sicher, dass Anwendungen über eine sichere Build-Umgebung und gesicherte Bibliothekskomponenten von Drittparteien verfügen. Insbesondere muss sichergestellt werden, dass eine Build- und Bereitstellungspipeline wiederholbar ist, automatisierte Tests durchgeführt und verhindert wird, dass bekannte Sicherheitsprobleme bereitgestellt werden. Dies beinhaltet, Abhängigkeiten auf dem neuesten Stand und frei von bekannten Schwachstellen zu halten.
• Datenschutz
  Die Datenschutzkategorie behandelt die Elemente Vertraulichkeit, Integrität und Verfügbarkeit (CIA) von Daten.
• Fehlerbehandlung und -protokollierung
  Die Kategorie für Fehlerbehandlung und Protokollierung befasst sich mit der Qualität und Ausführlichkeit protokollierter Informationen, die für Stakeholder verfügbar gemacht werden.
• Datei und Ressourcen
  Die Kategorie „Datei und Ressourcen“ stellt sicher, dass Anwendungen Daten in nicht vertrauenswürdigen Dateien sicher verarbeiten und nicht vertrauenswürdige Daten aus nicht vertrauenswürdigen Quellen mit eingeschränkten Berechtigungen an einem geeigneten Ort speichern.
• Böswilliger Code
  Die Kategorie „Böswilliger Code“ stellt sicher, dass nach Möglichkeit geprüft wird, ob Ihr Code frei von Schwachstellen und unerwünschten Funktionen ist.
• Management von Anwendersitzungen
  Diese Kategorie befasst sich mit der Sicherheit des Anwendungsstatus für einen Anwender. Sitzungen sollten für jede Person eindeutig sein, nicht erraten oder geteilt werden können und nach Phasen der Inaktivität oder wenn sie nicht benötigt werden, für ungültig erklärt werden. Dies umfasst Faktoren wie Cookie-Attribute für Cookies-basierte Sitzungen, die Generierung von Sitzungstoken und den Speicher sowie Anforderungen für die erneute Verbundauthentifizierung.
• Gespeicherte Kryptografie
  Diese Kategorie konzentriert sich auf die Verschlüsselung der gespeicherten Daten. Sie umfasst mehrere Schlüsselaspekte, z. B. die Verwendung etablierter Algorithmen und kryptografischer Module, die Sicherstellung der ordnungsgemäßen Generierung von Pseudozufallswerten, die Implementierung der Verschlüsselung auf Grundlage der Datenklassifizierung und die sichere Speicherung und Isolierung von Schlüsselmaterial.
• Validierung, Bereinigung und Codierung
  Validierung, Bereinigung und Codierung behandeln die Validierung der Eingabe, um Schwachstellen wie websiteübergreifendes Skripting (Cross-Site Scripting, XSS), SQL-Einschleusung und andere Angriffe zu verhindern.