Validierung, Bereinigung und Codierung

Validierung, Bereinigung und Codierung adressieren die Eingabevalidierung, um Schwachstellen wie Cross-Site Scripting (XSS), SQL Injection und andere Angriffe zu verhindern.

Diese Steuerung stellt sicher, dass Eingabevalidierung und Ausgabecodierung vorhanden und korrekt konfiguriert sind, z. B. Codierung oder Escape-Zeichen für Ausgabedaten. Diese Kategorie enthält auch Prüfungen auf Elemente wie Deserialisierung von Objekten und positive Validierung durch Allow-Listen.

• HTML-Links zu vertrauenswürdigen Domänen in den Beschreibungsfeldern des Impact Workspace-Moduls zulassen [Neu in Security Center 7,0]
  Verwenden Sie eine Systemeigenschaft, um die in den Beschreibungsfeldern zulässige HTML zu bereinigen. Diese Eigenschaft beschränkt die zulässigen Links auf diejenigen aus den vertrauenswürdigen Domänen, die in der Eigenschaft aufgeführt sind.
• Zugriff auf skriptfähige GlideSystemUserSession-API beschränken [aktualisiert in Security Center 1,3 und 2,0]
  Die vom Client aufrufbare skriptfähige GlideSystemUserSessionSandbox-API stellt die Methoden addErrorMessageNoSanitization und addInfoMessageNoSanitization von GlideSystemUserSession für die JavaScript-Sandbox bereit. Dadurch können alle Anwender diese Methode über ein Skript aufrufen.
• JavaScript-Tags in eingebettetem HTML deaktivieren [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.ui.security.codetag.allow_scriptEigenschaft zum Deaktivieren der Unterstützung für die Einbettung von HTML-JavaScript-Code, der mit dem Tag [Code] erstellt wurde.
• Sicherheitsmanager für gesicherte Java aktivieren [Neu in Security Center 1,3]
  Die glide.security.managerDie Eigenschaft enthält den Java-Klassennamen des aktuellen Java-Sicherheitsmanagers.
• HTML-Bereinigung erzwingen [aktualisiert in Security Center 1,3]
  Verwenden Sie com.glide.security.check_unsanitized_htmlEigenschaft zum Erzwingen des Bereinigungsverhaltens von translated_html-Feldern auf globaler Ebene für Feldzuweisungen.
• Stellen Sie sicher, dass die Kontextsuche keine nicht validierte Umleitung enthält [Neu in Security Center 7,0]
  Verhindern Sie mit einer Systemeigenschaft, dass Ergebnisse der Kontextsuche Referral-Links außerhalb der aktuellen Domäne enthalten.
• AJAXEvaluate deaktivieren
  Verwenden Sie glide.script.allow.ajaxevaluateZum Schutz der System-API vor Schwachstellen bei der Ausführung von Client-Skripts durch AJAX-Aufrufe.
• Deaktivieren Sie die Entitätserweiterung im XMLDocument2-Streaming-Parser [Aktualisiert in Security Center 1,5]
  Wenn Anpassungen keine Entitätserweiterung erfordern, verwenden Sie glide.stax.allow_entity_resolutionEigenschaft zum vollständigen Deaktivieren der Erweiterung externer Entitäten. Die XML-Datei schließt die Analyse ab, enthält jedoch keine internen oder externen Entitäten.
• url für externe Inhalte deaktivieren [aktualisiert in Security Center 2,0]
  Verwalten Sie mit Connect-Chat, wie externe Linkmetadaten in Ihrer Instanz verwendet werden.
• Herunterladbare MIME-Typen beschränken [aktualisiert in Security Center 1,3 und 2,0]
  Die glide.ui.attachment.download_mime_typesDie Eigenschaft erzwingt, dass die angegebene Liste gefährlicher Dateitypen auf den Client heruntergeladen und nicht inline im Browser angezeigt wird.
• Eingebetteten HTML-Code deaktivieren [aktualisiert in Security Center 1,3]
  Verwenden Sie glide.ui.security.allow_codetagEigenschaft zum Deaktivieren der Unterstützung für die Einbettung von HTML-Code, der mit dem Tag [Code] erstellt wurde.
• HTML-Bereinigung in Virtual Agent aktivieren [aktualisiert in Security Center 1,3 und 1,5]
  Verwenden Sie com.glide.cs.html.sanitizer.enabledEigenschaft zum Aktivieren des HTMLSanitizerService.
• Jelly JS-Interpolationsschutz aktivieren
  Verwenden Sie glide.ui.jelly.js_interpolation.protectEigenschaft, um sicherzustellen, dass JavaScript, das auf einer Jelly-Seite ausgeführt werden soll, mithilfe der Jelly-Interpolation vor Einschleusung geschützt ist.
• Jelly JS-Interpolationsschutz für geschachtelte Ausdrücke aktivieren [aktualisiert in Security Center 2,0]
  Verwalten Sie den Interpolationsschutz für Ihre Instanz.
• Relative Links erzwingen [aktualisiert in Security Center 1,3 und 1,5]
  Verwenden Sie glide.cms.catalog_uri_relativeEigenschaft, für die relative Links vom URI-Parameter erzwungen werden sollen /ess/catalog.do .
• Prüfung der URL-Zulässigkeitsliste erzwingen [aktualisiert in Security Center 1,3, 1,5 und 2,0]
  Verwenden Sie glide.security.url.whitelistSystemeigenschaft zum Hinzufügen einer zusätzlichen Validierungsebene, um sicherzustellen, dass eine eingeführte externe URL Teil von URLs mit Einschlussliste sein soll.
• Excel-Formeln mit Escape-Zeichen [aktualisiert in Security Center 1,3]
  Verwenden Sie glide.export.escape_formulasEigenschaft zum verhindern von Excel-Injection, auch als Formelinjektion bezeichnet.
• HTML in Listenansichten mit Escape-Zeichen versehen [aktualisiert in Security Center 1,3 und 1,5]
  Verwenden Sie glide.ui.escape_html_list_fieldEigenschaft zum Erzwingen von HTML-Escapes für HTML-Felder in einer Listenansicht.
• JavaScript mit Escape-Zeichen versehen [aktualisiert in Security Center 1,3]
  Verwenden Sie glide.html.escape_scriptEigenschaft zum Erzwingen des Escape-Vorgangs aus JavaScript ( <script></script>) Tags in HTML-Feldern während Listenansichten.
• Jelly-Skript mit Escape-Zeichen [aktualisiert in Security Center 1,3 und 1,5]
  Verwenden Sie glide.ui.escape_all_scriptEigenschaft, um das Escape-Zeichen aller in Jelly injizierten Skripts zu erzwingen.
• Escape-Skripts in Scratchpad [aktualisiert in Security Center 1,3]
  Erfahren Sie, wie Scratchpad die Sicherheitslage Ihrer Instanz beeinflusst und wie Sie sie verwalten, damit keine schädlichen Skripts darauf ausgeführt werden können.
• XML-Markup mit Escape-Zeichen [aktualisiert in Security Center 1,3]
  Verwenden Sie glide.ui.escape_textEigenschaft zum Erzwingen des Escape-Vorgangs von XML-Werten auf Parser-Ebene, bevor sie an den Browser des Clients übertragen werden.
• XML-Antwort mit Escape-Zeichen versehen
  Verwalten Sie, wie XML-Escapes in Ihrer Instanz behandelt werden.
• HTML-Bereinigung aktivieren [aktualisiert in Security Center 1,3]
  Verwenden Sie glide.html.sanitize_all_fieldsEigenschaft zum Aktivieren der HTMLSanitizer-Skripteinbindung, die HTML-Eingaben basierend auf Attributen „Ausschlussliste“ und „Einschlussliste“ bereinigt, die in einem Skript konfiguriert sind.
• Zulässige Java-Pakete beschränken [aktualisiert in Security Center 1,3]
  Die Konfiguration dieser Eigenschaften schützt vor gefährlichen APIs, die der Skripting-Engine ausgesetzt werden.
• Festlegung des anfänglichen eindeutigen LDAP-Namens aufheben [in Security Center 1,3 aktualisiert und 2,0 entfernt]
  Verwenden Sie diese Eigenschaft, um den eindeutigen Namen eines LDAP-Server-Datensatzes zu verwalten.
• Strikte Sicherheit von Sitzungscookies erzwingen [aktualisiert im Sicherheitscenter 1,3]
  Verwenden Sie glide.ui.secure_cookiesEigenschaft, die ordnungsgemäß formatierte Cookies erfordert
• Schwellenwert für Entitätserweiterung für skriptfähige GlideXMLUtil minimieren [aktualisiert in Security Center 1,3, 1,5 und 2,0]
  Verwenden Sie glide.xmlutil.max_entity_expansionEigenschaft zum Ändern der maximalen Entitätserweiterungsgrenze auf eine kleinere Zahl.
• Erstellung einer leeren ACL verhindern [Neu in Security Center 2,0]
  Legen Sie fest glide.security.empty_acl.popup_window.enabled Eigenschaft für den sicheren Wert „wahr“, um Versuche zum Erstellen, Aktualisieren oder Speichern einer ungültigen ACL zu blockieren. Diese Einstellung stellt auch ein clientseitiges Modell zur Konfiguration einer Rolle oder eines Sicherheitsattributs für die ACL bereit.
• Eingeschränkte herunterladbare MIME-Typen definieren [aktualisiert in Security Center 1,3, 1,5 und 2,0]
  Verwenden Sie glide.ui.attachment.force_download_all_mime_typesEigenschaft zum Herunterladen von MIME-Typen und zum nicht Inline-Rendern im Browser.
• Hochgeladene MIME-Typen beschränken [aktualisiert in Security Center 1,3 und 2,0]
  Verwenden Sie glide.security.file.mime_type.validationEigenschaft zum Aktivieren der MIME-Typprüfung auf Uploads. Sie können aktivieren (die Eigenschaft auf festlegen Wahr ) Oder deaktivieren (auf festlegen Falsch ) MIME-Typvalidierung für Dateianhänge.
• Externe XML-Entitäten beschränken [aktualisiert in Security Center 1,3 und 2,0]
  Stellen Sie sicher, dass glide.xml.entity.whitelistUnd glide.xml.entity.whitelist.enabledEigenschaften sind auf die empfohlenen Werte festgelegt, um Angriffe auf externe XML-Entitäten (XXE) zu verhindern.
• Validierung der XMLdoc2-Entität mit zulässiger Entitätserweiterung anfordern [aktualisiert in Security Center 1,3]
  Wenn Anpassungen keine Entitätserweiterung erfordern, verwenden Sie glide.xmlutil.max_entity_expansionEigenschaft zum vollständigen Deaktivieren der Erweiterung externer Entitäten. Die XML-Datei schließt die Analyse ab, enthält jedoch keine internen oder externen Entitäten.
• Alle übersetzten HTML-Felder bereinigen [Neu in Security Center 2,0]
  Erfahren Sie, wie Sie konfigurieren glide.translated_html.sanitize_all_fieldsEigenschaft für den sicheren Wert, um sicherzustellen, dass alle vorhanden sind translated_htmlElemente werden mit einer HTML-Bereinigung bereinigt.
• HTML in den Beschreibungsfeldern des Impact Workspace-Moduls bereinigen [Neu in Security Center 7,0]
  Bereinigen Sie HTML in den Beschreibungsfeldern, indem Sie HTML-Tags entfernen, die Quellen von HTML-Injection-Angriffen mit sind sn_impact_common.blacklist_tags_HTML_injectionEigenschaft.
• Sicherheitsrichtlinie für sichere Inhalte für svg-Dateien festlegen [Neu in Security Center 1,3]
  Die com.glide.csp.self_script_src_svgEigenschaft fügt hinzu Skript-SRC keine anweisung zum HTTP-Content-Security-Policy-Header, wenn über die Dateierweiterung Translation Memory Index (IIX) auf scalable Vector Graphics (SVGs) zugegriffen wird.