Validierung, Bereinigung und Codierung

Validierung, Bereinigung und Codierung adressiert die Eingabevalidierung, um Schwachstellen wie Site-Cross-Scripting (XSS), SQL Injection und andere Angriffe zu verhindern.

Diese Steuerung stellt sicher, dass Eingabevalidierung und Ausgabecodierung vorhanden und korrekt konfiguriert sind, z. B. Codierung oder Escape-Zeichen für Ausgabedaten. Diese Kategorie umfasst auch Prüfungen auf Elemente wie Deserialisierung von Objekten, Sandboxing bei Bedarf und positive Validierung durch Allow-Listen.

• Zugriff auf skriptfähige GlideSystemUserSession-API beschränken [aktualisiert in Sicherheitscenter 1,3 und 2,0]
  Die vom Client aufrufbare skriptfähige GlideSystemUserSessionSandbox-API stellt die Methoden addErrorMessageNoSanitization und addInfoMessageNoSanitization von GlideSystemUserSession für die JavaScript-Sandbox bereit. Dadurch können alle Anwender diese Methode über ein Skript aufrufen.
• JavaScript-Tags in eingebetteter HTML deaktivieren [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.ui.security.codetag.allow_scriptEigenschaft zum Deaktivieren der Unterstützung für die Einbettung von HTML-JavaScript-Code, der mit dem Tag [Code] erstellt wurde.
• HTML-Bereinigung erzwingen [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie com.glide.security.check_unsanitized_htmlEigenschaft zum Erzwingen des Bereinigungsverhaltens von translated_html-Feldern auf globaler Ebene für Feldzuweisungen.
• Skript-Sandbox aktivieren [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.script.use.sandboxEigenschaft zum Aktivieren des Skript-Sandboxings.
• Bilder eingehender E-Mails in Anhänge konvertieren [aktualisiert im Sicherheitscenter 1,3 Und entfernt in 1,5]
  Verwenden Sie glide.email.inbound.convert_html_inline_attachment_referencesEigenschaft, um anzugeben, ob eingehende E-Mail-HTML konvertiert werden soll, damit E-Mail-Bilder in der Vorschau des E-Mail-HTML-Textkörpers angezeigt werden.
• AJAXEvaluate deaktivieren
  Verwenden Sie glide.script.allow.ajaxevaluateDient zum Schutz der System-API vor Schwachstellen der Clientskriptausführung durch AJAX-Aufrufe.
• Deaktivieren Sie die Entitätserweiterung im XMLDocument2-Streaming-Parser [Aktualisiert im Sicherheitscenter 1,5]
  Wenn Anpassungen keine Entitätserweiterung erfordern, verwenden Sie glide.stax.allow_entity_resolutionEigenschaft zum vollständigen Deaktivieren der Erweiterung externer Entitäten. Die XML-Analyse ist abgeschlossen, enthält jedoch keine internen oder externen Entitäten.
• url für externe Inhalte deaktivieren [aktualisiert im Sicherheitscenter 2,0]
  Verwalten Sie mit dem Connect-Chat, wie externe Linkmetadaten in Ihrer Instanz verwendet werden.
• Herunterladbare MIME-Typen einschränken [aktualisiert in Sicherheitscenter 1,3 und 2,0]
  Die glide.ui.attachment.download_mime_typesDie Eigenschaft zwingt, dass die angegebene Liste gefährlicher Dateitypen auf den Client heruntergeladen und nicht inline im Browser angezeigt wird.
• Eingebetteten HTML-Code deaktivieren [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.ui.security.allow_codetagEigenschaft zum Deaktivieren der Unterstützung für die Einbettung von HTML-Code, der mit dem Tag [Code] erstellt wurde.
• HTML-Bereinigung in Virtual Agent aktivieren [aktualisiert in Sicherheitscenter 1,3 und 1,5]
  Verwenden Sie com.glide.cs.html.sanitizer.enabledEigenschaft zum Aktivieren des HTMLBereinigungsservice.
• Jelly JS-Interpolationsschutz aktivieren
  Verwenden Sie glide.ui.jelly.js_interpolation.protectEigenschaft, um sicherzustellen, dass JavaScript, das kurz darauf auf einer Jelly-Seite ausgeführt werden soll, mithilfe der Jelly-Interpolation vor Einschleusungen geschützt ist.
• Jelly JS-Interpolationsschutz für geschachtelte Ausdrücke aktivieren [aktualisiert im Sicherheitscenter 2,0]
  Verwalten Sie den Interpolationsschutz in Ihrer Instanz.
• Relative Links erzwingen [aktualisiert in Sicherheitscenter 1,3 und 1,5]
  Verwenden Sie glide.cms.catalog_uri_relativeEigenschaft, für die relative Links vom URI-Parameter erzwungen werden sollen /ess/catalog.do .
• URL-Berechtigungslistenprüfung erzwingen [aktualisiert in Sicherheitscenter 1,3, 1,5 und 2,0]
  Verwenden Sie glide.security.url.whitelistSystemeigenschaft zum Hinzufügen einer zusätzlichen Validierungsebene, um sicherzustellen, dass eine eingeführte externe URL Teil von URLs mit Einschlussliste sein soll.
• Excel-Formeln mit Escape-Zeichen versehen [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.export.escape_formulasEigenschaft zum verhindern von Excel-Injection, auch als Formelinjektion bezeichnet.
• JavaScript mit Escape-Zeichen versehen [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.html.escape_scriptEigenschaft zum Erzwingen des Escape-Vorgangs aus JavaScript ( <script></script>) Tags in HTML-Feldern während Listenansichten.
• Jelly-Skript mit Escape-Zeichen [aktualisiert in Sicherheitscenter 1,3 und 1,5]
  Verwenden Sie glide.ui.escape_all_scriptEigenschaft, um das Escape-Zeichen aller in Jelly injizierten Skripts zu erzwingen.
• Escape-Skripts im Scratchpad [aktualisiert im Sicherheitscenter 1,3]
  Erfahren Sie, wie Scratchpad die Sicherheitslage Ihrer Instanz beeinflusst und wie Sie sie verwalten, damit keine schädlichen Skripts darauf ausgeführt werden können.
• XML-Markup mit Escape-Zeichen [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.ui.escape_textEigenschaft zum Erzwingen des Escape-Vorgangs von XML-Werten auf Parser-Ebene, bevor sie an den Browser des Clients übertragen werden.
• XML-Antwort mit Escape-Zeichen versehen
  Verwalten Sie, wie XML-Escapes in Ihrer Instanz behandelt werden.
• HTML-Bereinigung aktivieren [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.html.sanitize_all_fieldsEigenschaft zum Aktivieren der Skripteinbindung für die HTMLBereinigung, die HTML-Eingaben basierend auf Attributen für Ausschlussliste und Einschlussliste bereinigt, die in einem Skript konfiguriert sind.
• Zulässige Java-Pakete einschränken [aktualisiert im Sicherheitscenter 1,3]
  Die Konfiguration dieser Eigenschaften schützt vor gefährlichen APIs, die der Skripting-Engine ausgesetzt sind.
• Festlegung des anfänglichen eindeutigen LDAP-Namens aufheben [im Sicherheitscenter 1,3 aktualisiert und 2,0 entfernt]
  Verwenden Sie diese Eigenschaft, um den eindeutigen Namen eines LDAP-Serverdatensatzes zu verwalten.
• Schwellenwert für Entitätserweiterung für skriptfähige GlideXMLUtil minimieren [aktualisiert in Sicherheitscenter 1,3, 1,5 und 2,0]
  Verwenden Sie glide.xmlutil.max_entity_expansionEigenschaft zum Ändern der maximalen Entitätserweiterungsgrenze auf eine kleinere Zahl.
• Erstellung einer leeren ACL verhindern [Neu im Sicherheitscenter 2,0]
  Legen Sie fest glide.security.empty_acl.popup_window.enabled Eigenschaft zum sicheren Wert „wahr“, um Versuche zum Erstellen, Aktualisieren oder Speichern einer ungültigen ACL zu blockieren. Diese Einstellung stellt auch ein clientseitiges Modell bereit, um eine Rolle oder ein Sicherheitsattribut für die ACL zu konfigurieren.
• Eingeschränkte herunterladbare MIME-Typen definieren [aktualisiert in Sicherheitscenter 1,3, 1,5 und 2,0]
  Verwenden Sie glide.ui.attachment.force_download_all_mime_typesEigenschaft zum Herunterladen von MIME-Typen und zum nicht Inline-Rendern im Browser.
• Hochgeladene MIME-Typen beschränken [aktualisiert in Sicherheitscenter 1,3 und 2,0]
  Verwenden Sie glide.security.file.mime_type.validationEigenschaft zum Aktivieren der MIME-Typprüfung auf Uploads. Sie können aktivieren (legen Sie die Eigenschaft auf fest Wahr ) Oder deaktivieren (auf festlegen Falsch ) MIME-Typvalidierung für Dateianhänge.
• Alle übersetzten HTML-Felder bereinigen [Neu im Sicherheitscenter 2,0]
  Erfahren Sie, wie Sie konfigurieren glide.translated_html.sanitize_all_fieldsEigenschaft für den sicheren Wert, um sicherzustellen, dass alle translated_htmlElemente werden mit einer HTML-Bereinigung bereinigt.