Härtungseinstellungen

Die ServiceNow Der Inhalt der Sicherheitscenter-Härtungseinstellungen (SSC) enthält detaillierte Beschreibungen und Compliance-Werte für die sicherheitsbezogenen Systemeigenschaften und Plugins in ServiceNow AI Platform. Sie können diese Eigenschaften mit der App „Härtungseinstellungen“ im Sicherheitscenter festlegen.

Übersicht und Zweck

Das Sicherheitscenter berechnet eine tägliche Compliance-Punktzahl, ausgedrückt als Prozentsatz, der darauf basiert, wie konform Ihre aktuellen Instanzsicherheitseinstellungen mit den Compliance-Werten in den Sicherheitscenter-Härtungseinstellungen sind.

Sie können die spezifischen Sicherheitskonfigurationseinstellungen, die sich auf die Punktzahl für Ihre Instanz auswirken können, direkt im Sicherheitscenter verwalten.

Die Konfigurationen der Härtungseinstellungen werden mit mehreren Attributen erläutert, die in der Tabelle beschrieben werden.

Tabelle : 1. Details zur Konfiguration der Härtungseinstellungen

Konfigurationsattribut	Beschreibung
Übersicht	Bietet einen allgemeinen Überblick über die Empfehlung.
Konfigurationsname	Die Eigenschaft oder der Plugin-Name.
Konfigurationstyp	Beschreibt, wo die Eigenschaft außerhalb des Sicherheitszentrums konfiguriert werden kann, z. B. in Systemeigenschaften ( sys_properties_list.do).
Datentyp	Beschreibt den Typ des Werts, der für die Konfiguration erforderlich ist. Beispiele sind „wahr/falsch“, „boolescher Wert“, „Installation“, „Plugin“, „Zeichenfolge“ usw.
Empfohlener Wert	Der Wert, der vom Sicherheitscenter zur Verbesserung der Sicherheits-Compliance in Ihrer Instanz empfohlen wird.
Standardwert	Der Wert, auf den die Konfiguration im Basissystem festgelegt ist.
Kategorie	Der Name und der Link zur Kategorie für die Härtungseinstellung.
Sicherheitsrisiko	Schweregradpunktzahl : Die Punktzahl gibt das potenzielle Sicherheitsrisiko für Ihre Instanz entsprechend der Wahrscheinlichkeit an, dass die Schwachstelle ausgenutzt wird. Die Sicherheitslücke wird einzeln anhand der CVSS-Punktzahl (Common Vulnerability Scoring System) auf einer Skala von berücksichtigt und bewertet 0,0 Bis 10,0 . Weitere Informationen finden Sie unter https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator.
	Schweregradbewertung pro CVSS-Punktzahl : Kritisch: 9,0-10,0 Hoch: 7,0–8,9 Mittel: 4,0–6,9 Niedrig: .01-3.9 Keine: 0,0
	Sicherheitsrisikodetails : Beschreibt die Wichtigkeit der Einstellungskonfiguration und das Risiko, dass die empfohlene Konfiguration nicht verwendet wird.
Abhängigkeiten und Voraussetzungen	Zugehörige Einstellungen oder Konfigurationen, die vor oder in Verbindung mit der Härtungskonfiguration erforderlich sind.
Funktionale Auswirkung	Die Auswirkung dieser Härtungseinstellung auf den Betrieb Ihrer Instanz.
Referenzen	Links zur Konfigurationsdokumentation oder anderen hilfreichen Informationen.

Hinweis:

Einige der Konfigurationen können nur bis abgeschlossen werden Kundenservice und Support Und werden als solche angegeben.

Weitere Informationen dazu, wie Sie sicherstellen, dass Ihre Instanzen die Härtungsanforderungen erfüllen, finden Sie unter Sicherheitshärtung.

Andere Ressourcen

Für Anwenderreferenz: ServiceNow AI Platform Verwaltet umfassende Informationen zu Konfigurationsfunktionen in der Produktdokumentation. Sie greifen über die in gefundenen Links auf die meisten Sicherheitsinhalte zu Instanz sichern. Weitere Informationen finden Sie unter:

• Verfügbare Systemeigenschaften
• Eigenschaften der allgemeinen Sicherheitseinstellungen
• Strenge Sicherheitseinstellungen

• Baseline-Versionen der Härtungseinstellungen
  Erkunden Sie, wie Baseline-Versionen für Härtungseinstellungen an Familien- und Store-Releases ausgerichtet sind.
• Zugriffssteuerung
  Die Zugriffssteuerungskategorie auditiert den Prozess zum Schutz von Ressourcen vor nicht autorisiertem Zugriff durch Gewährung und Ablehnung von Anforderungen basierend auf einem Berechtigungsmodell. Dies umfasst die Sicherstellung, dass eine Entität, die auf eine Ressource zugreift, gültige Anmeldeinformationen dazu enthält, einen klar definierten Satz von Rollen oder Berechtigungen zu erstellen und zu schützen und sicherzustellen, dass Rollen- oder Berechtigungssteuerungen vor Wiedergabe und Manipulation geschützt sind.
• API und Webservice
  Die API- und Webservicekategorie stellt sicher, dass Anwendungen über die entsprechende Authentifizierung, Autorisierung und Sitzungsverwaltung verfügen, validiert alle Eingaben, die eine Vertrauensgrenze überschreiten, und enthält Sicherheitskontrollen für alle API-Typen.
• Architektur, Design und Bedrohungsmodellierung
  Diese breite Steuerung behandelt allgemeine Designüberlegungen und Schlüsselelemente für die Implementierung einer sicheren Anwendung. Dies deckt die Mandanten Verfügbarkeit, Integrität der Vertraulichkeitsverarbeitung, Nichtwiderlegung und Datenschutz ab. Darüber hinaus sind Elemente eines sicheren Softwareentwicklungslebenszyklus enthalten.
• Authentifizierung
  Die Authentifizierungskategorie deckt die Hauptelemente der modernen Authentifizierung ab, um zu bestätigen, dass eine Entität und ihre Ansprüche authentisch und korrekt sind, resistent gegen Identitätswechsel sind und das Abfangen von Passwörtern verhindern.
• Geschäftslogik
  Diese Kategorie betrachtet die Logik und den Flow, die für jede Anwendung eindeutig sind, mit allgemeinen Sicherheitsprinzipien. Stellen Sie insbesondere sicher, dass die beabsichtigte Sequenz des Geschäftslogik-Flows nicht umgangen werden kann, dass Grenzen zum Erkennen und verhindern automatisierter Angriffe vorhanden sind und dass Schutz vor Spoofing, Manipulation, Offenlegung von Informationen und Erhöhung von Berechtigungen vorhanden ist.
• Kommunikation
  Diese Steuerung stellt eine ordnungsgemäße Verschlüsselung mit starken Algorithmen und Verschlüsselungen sicher. Dies umfasst die Verwendung der empfohlenen Version von TLS für die Client-Konnektivität, die Verwendung starker Verschlüsselungs-Suites, die Verwendung vertrauenswürdiger und signierter Zertifikate, die Verschlüsselung von Verbindungen zwischen Komponenten und die Protokollierung von Verbindungsfehlern.
• Konfiguration
  Die Kategorie „Konfiguration“ stellt sicher, dass Anwendungen über eine sichere Build-Umgebung und gehärtete Drittanbieterbibliothekskomponenten verfügen. Insbesondere muss sichergestellt werden, dass eine Build- und Bereitstellungs-Pipeline wiederholbar ist, automatisierte Tests umfasst und verhindert, dass bekannte Sicherheitsprobleme bereitgestellt werden. Dies beinhaltet, Abhängigkeiten auf dem neuesten Stand und frei von bekannten Schwachstellen zu halten.
• Datenschutz
  Die Datenschutzkategorie behandelt die Elemente Vertraulichkeit, Integrität und Verfügbarkeit (CIA) von Daten.
• Fehlerbehandlung und -Protokollierung
  Die Kategorie „Fehlerbehandlung und -Protokollierung“ behandelt die Qualität und Ausführlichkeit der protokollierten Informationen, die Stakeholdern zur Verfügung gestellt werden.
• Datei und Ressourcen
  Die Datei- und Ressourcenkategorie stellt sicher, dass Anwendungen nicht vertrauenswürdige Dateidaten sicher verarbeiten und nicht vertrauenswürdige Daten aus nicht vertrauenswürdigen Quellen mit eingeschränkten Berechtigungen an einem geeigneten Ort speichern.
• Schädlicher Code
  Die Kategorie „schädlicher Code“ stellt sicher, dass nach besten Kräften sichergestellt wird, dass Ihr Code frei von Schwachstellen und unerwünschten Funktionen ist.
• Management von Anwendersitzungen
  Diese Kategorie untersucht die Sicherheit des Anwendungsstatus für einen Anwender. Sitzungen müssen für jede Person eindeutig sein, nicht erraten oder geteilt werden können und nach Zeiträumen der Inaktivität oder wenn nicht erforderlich für ungültig erklärt werden. Dies umfasst Faktoren wie Cookie-Attribute für Cookie-basierte Sitzungen, Sitzungstoken-Generierung und Speicher sowie Anforderungen für die erneute Authentifizierung.
• Gespeicherte Kryptografie
  Diese Kategorie konzentriert sich auf die Verschlüsselung gespeicherter Daten. Sie umfasst mehrere wichtige Aspekte, z. B. die Verwendung etablierter Algorithmen und kryptografischer Module, die Sicherstellung der richtigen Generierung von Pseudo-zufälligen Werten, die Implementierung der Verschlüsselung basierend auf der Datenklassifizierung und die sichere Speicherung und Isolierung von Schlüsselmaterial.
• Validierung, Bereinigung und Codierung
  Validierung, Bereinigung und Codierung adressieren die Eingabevalidierung, um Schwachstellen wie Cross-Site Scripting (XSS), SQL Injection und andere Angriffe zu verhindern.