Auditorenprüfungen

  • Freigeben Version: Yokohama
  • Aktualisiert 30. Januar 2025
  • 5 Minuten Lesedauer

    • Verwenden Sie die Auditor-Suite für SecureCheck, um Fehlkonfigurationen zu erkennen, die sich auf den Sicherheitsstatus Ihrer Instanz auswirken können.

    Die Auditor-Suite wird als Update Set bereitgestellt. Sie können diese Suite in Security Centerverwenden. Vergewissern Sie sich, dass Security Center in Ihrer Instanz aktiviert ist, wenn Sie Utah oder früher verwenden.

    Importieren Sie das Update Set

    Administratoren können das Update Set mit folgendem Link von der Website support.servicenow.com herunterladen: https://support.servicenow.com/sys_attachment.do?sys_id=821e1e724732969077748d01426d4393.

    Bestätigen Sie das Update Set anhand der in Commit an update setbeschriebenen Schritte.

    Sobald das Update Set bestätigt wurde, können Sie unter auf die Auditor-Suite zugreifen Alle > Sicherheitscenter > Scanner > Suites.

    Überprüfen Sie die Informationen

    Tabelle : 1. Auditor-Prüfungen für Zugriffssteuerungen
    Name überprüfen Beschreibung Suchtyp scannen
    Identifizieren Sie veraltete Store-Apps

    Identifiziert in Ihrer Instanz aktivierte Apps, für die aktualisierte Versionen verfügbar sind.

    Stellen Sie sicher, dass Sie die neuesten Versionen der Store Apps verwenden, die Korrekturen für potenzielle Sicherheitsprobleme enthalten können.

    		 Lösung empfohlen
    Unsichere GlideRecord-Aufrufe

    Identifiziert Skripts, die direkt von Endanwendern aufgerufen werden können (z. B. vom Client aufrufbare Skripteinbindungen, Widgets, Prozessoren, REST-Endpunkte)

    Diese Skripts sollten ACLs berücksichtigen und GlideRecordSecure oder GlideRecord mit canRead, canWrite, canCreate, canDelete verwenden.

    		 Lösung empfohlen
    Überprüfen Sie die zulässigen JavaScript-Bibliotheken

    Identifiziert Skripts, bei denen die JavaScript-Inhaltszugriffssteuerung verwendet wird, um bestimmte JavaScript-Bibliotheken von Drittparteien zuzulassen oder zu verweigern.

    Überprüfen Sie Instanzanpassungen, um sicherzustellen, dass keine Bibliotheken verwendet werden, bevor Sie den Zugriff blockieren. Die Tabelle „Zugriffsnachverfolgung für JavaScript-Inhaltsanbieter“ [sys_js_content_provider_access_tracking] kann überprüft werden, um das letzte Datum des Zugriffs auf die Bibliothek anzuzeigen.

    Hinweis:
    Diese Prüfung kann in Instanzen ignoriert werden, die ursprünglich in Tokyo oder höher bereitgestellt wurden. Für Datensätze in der zugeordneten Tabelle sind standardmäßig Ablehnungsregeln festgelegt. In Instanzen, die vor Tokyo bereitgestellt wurden, können in den JavaScript-Zugriffssteuerungstabellen Zulassungsregeln vorhanden sein.
    		 Lösung empfohlen
    Überprüfen Sie vom Client aufrufbare Skripteinbindungen ohne entsprechende ACL

    Identifiziert vom Client aufrufbare Skripteinbindungen, die keine entsprechende ACL aufweisen. Diese Skripts verwenden die standardmäßige ACL („*“) für vom Client aufrufbare Skripteinbindungen.

    Erstellen Sie für diese Skripts ACLs, die die entsprechenden Zugriffskriterien definieren, um sicherzustellen, dass nur die erwarteten Benutzer mit der bereitgestellten Funktionalität interagieren können.

    		 Lösung empfohlen
    Überprüfen Sie anwenderdefinierte Tabellen mit Datensatzerstellern und ohne Business-Regel

    Identifiziert Datensatzersteller, die keine zusätzliche serverseitige Validierung erfahren. Diese Prüfung identifiziert anwenderdefinierte Tabellen mit einem Datensatzersteller, aber ohne zugeordnete Business-Regel.

    Diese können es Anwendern ermöglichen, unerwartete Daten an die zugeordnete Tabelle zu übermitteln.

    		 Lösung empfohlen
    Überprüfen Sie leere ACLs

    Identifiziert ACL-Datensätze, die kein Skript, keine Bedingung, kein Sicherheitsattribut oder keine Rolle aufweisen, oder ACLs mit der öffentlichen Rolle.

    Wenn Sie ACLs leer lassen oder die öffentliche Rolle verwenden, erhalten Sie offenen Zugriff auf alle Inhalte, die von dieser ACL geschützt werden.

    		 Lösung empfohlen
    Überprüfen Sie Felder mit deaktivierter HTML-Bereinigung

    Identifiziert HTML-Felder, bei denen die HTML-Bereinigung inaktiv ist.

    Bei der HTML-Bereinigung werden potenziell schädliche Elemente und Attribute im HTML-Code entfernt oder ersetzt. Überprüfen Sie die HTML-Felder, in denen die Bereinigung inaktiv ist, um zu bestätigen, ob diese Konfiguration erforderlich ist.

    		 Lösung empfohlen
    Überprüfen Sie inaktive Sicherheitsfunktions-Plugins

    Identifiziert nicht aktivierte Plugins, die zusätzliche, konfigurierbare Sicherheitskontrollen bieten. Die bei dieser Prüfung erzeugten Ergebnisse werden zu Informationszwecken bereitgestellt.

    Stellen Sie vor dem Aktivieren eines der identifizierten Plugins sicher, dass das Plugin Ihre Anwendungsfälle oder Anforderungen erfüllt. Sie können diese Ergebnisse stummschalten, wenn Sie keinen Anwendungsfall für den identifizierten haben.

    		Informieren
    Überprüfen Sie die großen zulässigen IP-Adressbereiche

    Identifiziert IP-Adresszugriffssteuerungsbereiche, die eine große Anzahl von IP-Adressen enthalten.

    Hinweis:

    Wenn Sie eine große Anzahl von falsch positiven Meldungen sehen, sollten Sie die Variable „größererExpectedCIDRBlock“ an Ihre spezifischen Geschäftsanforderungen anpassen.

    CIDR-Blöcke (Classless Inter-Domain Routing) enthalten eine größere Anzahl von IP-Adressen, wenn die Anzahl abnimmt. Beispielsweise ist die CIDR-Blockgröße 8 größer (enthält mehr IP-Adressen) als die CIDR-Blockgröße 16.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie öffentliche GraphQL-Schemas

    Identifiziert öffentliche GraphQL-Schemata in der Tabelle „GraphQL-API“ [sys_graphql_schema].

    Diese Schemas können so konfiguriert werden, dass sie ohne Authentifizierung verfügbar sind. Abhängig von der Funktionalität des Endpunkts können nicht authentifizierte Anwender unerwartete Aktionen ausführen oder mit unerwarteten Daten interagieren.

    		 Überprüfen und entscheiden
    Überprüfen Sie öffentliche Knowledge Base-Artikel

    Identifiziert Knowledge Bases und Knowledge Base-Artikel, die konfiguriert sind, um nicht authentifizierten Anwendern den Zugriff zu ermöglichen

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie die öffentlichen REST API-Endpunkte

    Identifiziert REST API-Endpunkte in der Tabelle „Geskriptete REST-Ressource“ [sys_ws_operation], die so konfiguriert sind, dass sie ohne Authentifizierung verfügbar sind.

    Abhängig von der Funktionalität des Endpunkts können nicht authentifizierte Anwender unerwartete Aktionen ausführen oder mit unerwarteten Daten interagieren.

    		 Überprüfen und entscheiden
    Überprüfen Sie die Seiten des öffentlichen Serviceportals

    Identifiziert Serviceportal-Seiten, die öffentlich gemacht werden. Serviceportal-Seiten werden für nicht authentifizierte Anwender verfügbar gemacht, indem das Feld „öffentlich“ auf „wahr“ festgelegt wird.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie die öffentlichen UI-Seiten

    Identifiziert UI-Seiten, die öffentlich gemacht werden. UI-Seiten können für nicht authentifizierte Anwender mithilfe der Seite [sys_public] verfügbar gemacht werden.

    Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht.

    		 Überprüfen und entscheiden
    Überprüfen Sie Rollen, die die Rolle „admin“ enthalten

    Identifiziert alle Rollen (Tabelle „Rollen“ [sys_user_role]), die die Administratorrolle enthalten.

    Die Administratorrolle gewährt Benutzern Administratorrechte und sollte nur bei Bedarf verwendet werden. Überprüfen und bestätigen Sie, dass die aktuelle Konfiguration Ihren Geschäftsanforderungen entspricht. Wenn dies eine beabsichtigte Konfiguration ist, kann diese Prüfung stummgeschaltet werden.

    		 Überprüfen und entscheiden
    Überprüfen Sie UI-Seiten ohne entsprechende ACLs

    Identifiziert UI-Seiten, die keine ACL für diese UI-Seite haben.

    UI-Seiten, die keine bestimmte ACL haben, standardmäßig eine generische UI-Seiten-ACL,, die unbeabsichtigten Anwendern Zugriff gewähren kann.

    		 Lösung empfohlen
    Überprüfen Sie die Anwender mit gültigen lokalen Passwörtern

    Identifiziert Benutzer mit lokal festgelegten Passwörtern.

    Benutzer mit lokalen Passwörtern können über APIs unter Verwendung der lokalen Anmeldeinformationen mit der Instanz interagieren, auch wenn lokale Anmeldungen nicht zulässig sind. Diese Passwortkonfiguration ist erforderlich, damit Integrationsbenutzeraccounts ordnungsgemäß funktionieren.

    Überprüfen Sie diese Anwenderaccounts, um sicherzustellen, dass sich nur vorgesehene Anwender (z. B. Integrationsaccounts) mit der lokalen Authentifizierung authentifizieren können.

    		 Überprüfen und entscheiden
    Mit veralteten Hashing-Algorithmen gespeicherte Passwörter rotieren

    Identifiziert Anwenderaccounts mit Passwörtern, die in früheren Versionen der Now Platform erstellt wurden und möglicherweise einen veralteten Hashing-Algorithmus verwendet haben.

    Für Accounts, die mit alten Plattformversionen erstellt wurden und deren Passwörter nicht rotiert wurden, können Passwörter noch mit einem veralteten Hashing-Algorithmus gespeichert werden. Überprüfen Sie die erstellten identifizierten Accounts unter Berücksichtigung von Passwortzurücksetzungen.

    		 Lösung empfohlen
    Datensatzersteller werden gesichert

    Identifiziert unsichere Datensatzersteller.

    Wenn sie nicht den entsprechenden Rollen zugewiesen sind, können nicht autorisierte Anwender darauf zugreifen und vertrauliche Informationen preisgeben. Weisen Sie Datensatzerstellern die entsprechenden Rollen zu, um sicherzustellen, dass sie nur für Benutzer zugänglich sind, die sie benötigen.

    		 Lösung empfohlen
    Sichtbarkeit von UI-Aktionen

    Identifiziert UI-Aktionen, auf die von einem Anwender ohne Rollen zugegriffen werden kann, der keinen Lesezugriff auf die Tabelle hat.

    Diese Anwender können möglicherweise Daten in einer Tabelle ändern, auf die sie über diese UI-Aktionen keinen Zugriff haben. Verifiziert, dass UI-Aktionen nur für Benutzer verfügbar sind, die Zugriff auf die betroffene Tabelle haben.

    		 Lösung empfohlen