Exploration des paramètres de sécurité élevée

  • Rversion finale: Xanadu
  • Mis à jour 1 août 2024
  • 9 minutes de lecture
  • Les paramètres de sécurité élevée désignent plusieurs options de sécurité disponibles dans votre instance.

    Le module Paramètres de sécurité élevée est activé avec le module d’extension Paramètres de sécurité élevée, qui est actif par défaut sur les nouvelles instances. Si les paramètres de sécurité élevée ne sont pas actifs sur votre instance, consultez Demande d’activation des paramètres de sécurité élevée. Pour en savoir plus sur ce module d’extension, consultez Module d’extension de haute sécurité Paramètres de renforcement de la sécurité de l’instance. Les propriétés de ces types de paramètres de sécurité élevée sont disponibles :

    • Valeurs de propriété par défaut : pour renforcer la sécurité de votre plateforme en centralisant tous les paramètres de sécurité critiques en un seul emplacement pour la gestion et l’audit.
    • Propriété de refus par défaut : fournit une propriété du gestionnaire de sécurité pour contrôler le comportement de sécurité par défaut pour l’accès à la table.
    • Rôle d’administrateur de sécurité : permet d’empêcher la modification des paramètres et des ressources de sécurité clés. Le rôle d’administrateur de sécurité n’est pas hérité par le rôle administrateur et doit être explicitement attribué.
    • Privilèges élevés : permet aux utilisateurs ayant le rôle d’administrateur de sécurité d’opérer dans le contexte d’un utilisateur normal et de s’élever à un rôle de sécurité supérieur si nécessaire.
    • Contrôles d’accès aux propriétés : permet aux administrateurs de sécurité de définir les rôles requis pour lire et écrire les propriétés.
    • Journaux système : sont en lecture seule.
    • Règles de contrôle d’accès : contrôlez les données auxquelles les utilisateurs peuvent accéder et la manière dont ils peuvent y accéder.
    Remarque :
    • Les paramètres de sécurité élevée activent également automatiquement le module d’extension de sécurité contextuelle, s’il n’est pas déjà activé. En outre, Paramètres de sécurité de la plateforme : élevé fournit des paramètres et des fonctionnalités dans le contexte du renforcement de la sécurité de votre instance.
    • Le contenu des paramètres de renforcement de la sécurité de l’instance contient des descriptions détaillées et des valeurs de conformité pour les propriétés système et les modules d’extension liés à la sécurité dans le Now Platform. Pour en savoir plus sur chacune de ces propriétés, reportez-vous à la section Paramètres de la sécurisation pour la sécurité de l'instance.
    • Pour en savoir plus sur chacune de ces propriétés, reportez-vous à la section Paramètres de la sécurisation pour la sécurité de l'instance.
    Il existe deux façons de définir ou de modifier les propriétés des paramètres de sécurité élevée.
    • Accédez à la Sécurité de système > Paramètres de sécurité élevée.

      Les options de la page Propriétés de sécurité élevée sont Oui ou Non.

    • Accédez à la sys_properties.list et recherchez la propriété que vous souhaitez définir ou modifier.

      Les options de la table Propriétés système [sys_properties.list] sont vrai ou faux.

    Contrôle d’accès à la propriété

    Deux colonnes supplémentaires sont créées dans la table Propriétés [sys_properties] lorsque les paramètres de sécurité élevée sont actifs :

    • read_roles : liste de noms de rôles, séparés par des virgules, autorisés à lire tous les champs de cette propriété.
    • write_roles : liste de noms de rôle séparés par des virgules autorisés à écrire/modifier tous les champs de cette propriété.

    Les propriétés répertoriées dans la table Propriétés ont read_roles d’administrateur et write_roles de security_admin. Les utilisateurs disposant du rôle administrateur peuvent afficher et lire les valeurs des propriétés, mais doivent s’élever au rôle security_admin pour les modifier.

    Notifications

    L’activation des paramètres de sécurité élevée active également les messages d’avertissement de sécurité. Voici un exemple de message qui s’affiche après une approbation.

    Figure 1. Notification d’avertissement de sécurité
    Notification d’avertissement de sécurité

    Propriétés des paramètres de sécurité élevée

    Propriété Description Valeur par défaut Paramètres de la sécurisation pour la sécurité de l'instance
    glide.ui.escape_text

    Valeurs XML d’échappement au niveau de l’analyseur de l’interface utilisateur. Empêche les attaques de script de site à site réfléchies et stockées. Cette propriété n’est pas applicable dans Portail de services.

    Remarque :
    Cette propriété est définie sur vrai par défaut dans les versions ultérieures Vancouver et ne peut pas être modifiée par les administrateurs. Pour un cas d’utilisation où la propriété doit être modifiée, contactez le support client.
    Oui XML
    glide.ui.escape_all_script

    Force l’échappement par défaut de toutes les expressions dans Jelly JavaScript <![CDATA[<script type="text/javascript">]]> balises. Applique l’échappement uniquement si l’attribut type de la <![CDATA[<script>balise ]]> est vide ou si la valeur est text/javascript, text/ecmascript, application/javascript, application/ecmascript ou application/x-javascript.

    Oui dans les nouvelles instances Échapper à Jelly
    glide.ui.rotate_sessions

    Effectuez une rotation des identificateurs de session HTTP pour réduire les vulnérabilités de sécurité. Voir : http://www.owasp.org/index.php/Session_Management#Rotate_Session_Identifiers.

    Oui
    Remarque :

    Si vous utilisez le module d’extension SAML 2.0 pour l’authentification unique, définissez cette propriété sur Non. Sinon, cela interfère avec le partage d’informations de session qui a lieu entre l’instance et le fournisseur d’identité.

    Rotation des identifiants de session HTTP
    glide.ui.secure_cookies

    Activer les cookies de session sécurisés : Activez une sécurité par cookie supplémentaire. Si oui, la validation stricte des cookies de session est appliquée.

    Oui Cookies de session sécurisés
    glide.security.password_reset.uri

    Pour mobile Réinitialisation du mot de passe, URL vers laquelle l’utilisateur est redirigé lorsqu’il clique sur le bouton Mot de passe oublié ? .

    Aucun
    glide.security.strict.updates

    Vérifiez la sécurité des transactions entrantes lors de la soumission du formulaire (les droits sont toujours vérifiés lors de la création d’un formulaire).

    Remarque :
    Cette propriété est définie sur vrai par défaut dans les versions ultérieures Vancouver et ne peut pas être modifiée par les administrateurs. Pour un cas d’utilisation où la propriété doit être modifiée, contactez le support client.
    Oui Double vérification des transactions entrantes
    glide.security.strict.actions

    Vérifiez les conditions des actions d’interface utilisateur avant leur exécution. Normalement, les conditions ne sont vérifiées que pendant le rendu du formulaire.

    Oui Vérifier l’action d’interface utilisateur avant son exécution
    glide.security.use_csrf_token

    Activez l’utilisation d’un jeton de sécurité pour identifier et valider les demandes entrantes. Ce jeton est utilisé pour éviter les attaques de contrefaçon de requête de site à site.

    Oui Jeton anti-CSRF
    glide.ui.escape_html_list_field

    HTML d’échappement pour les champs HTML d’une vue de liste.

    Oui Échapper au HTML
    glide.html.escape_script

    Balises JavaScript d’échappement dans les champs HTML.

    Oui Échapper JavaScript
    glide.ui.forgetme

    Décochez la case Se souvenir de moi de la page de connexion.

    Oui Supprimer Se souvenir de moi
    glide.smtp.auth Authentifiez-vous auprès du serveur SMTP à l’aide des propriétés du nom d’utilisateur et du mot de passe.
    Remarque :
    Cette propriété est obsolète.
    Oui
    glide.script.use.sandbox

    Exécutez les scripts générés par le client (AJAXEvaluate et conditions de requête) dans un bac à sable à droits réduits. Si oui, seuls les règles métier et les includes de script lorsque la case Client joignable est cochée sur Oui sont disponibles, et certains appels API centraux sont interdits. Pour plus d'informations, consultez Configuration de la propriété du bac à sable de script.

    Oui Bac à sable pour les scripts générés par le client
    glide.soap.strict_security

    Appliquez une sécurité stricte sur les demandes SOAP entrantes. Exige que les demandes SOAP entrantes passent par le gestionnaire de sécurité pour l’accès à la table et au champ, et vérifie que les utilisateurs SOAP possèdent les rôles appropriés pour utiliser le service Web.

    Oui Sécurité stricte des requêtes SOAP
    glide.basicauth.required.wsdl

    Demandez une autorisation pour les demandes WSDL entrantes.

    Remarque :
    Si vous choisissez de ne pas demander d’autorisation pour les demandes WSDL entrantes, vous devez modifier les règles de contrôle d’accès (ACL) pour permettre aux utilisateurs invités d’accéder au contenu WSDL.
    Oui Autorisation de demande de WSDL
    glide.basicauth.required.csv

    Exiger l’autorisation de base pour les demandes CSV entrantes

    .
    Oui Autorisation des demandes de CSV
    glide.basicauth.required.excel

    Demandez l’autorisation de base pour les demandes Excel entrantes.

    Oui Autorisation des demandes Excel
    glide.basicauth.required.importprocessor

    Demandez l’autorisation de base pour les demandes d’importation entrantes.

    Oui Autorisation des demandes d’importation
    glide.basicauth.required.pdf

    Demandez l’autorisation de base pour les demandes PDF entrantes.

    Oui Autorisation de demande de PDF
    glide.basicauth.required.rss Demandez l’autorisation de base pour les demandes RSS entrantes. Oui Autorisation de demande de RSS
    glide.basicauth.required.scriptedprocessor

    Demandez l’autorisation de base pour les demandes de script entrantes.

    Oui Autorisation de demande de script
    glide.basicauth.required.soap

    Demandez l'autorisation de base pour les demandes SOAP entrantes.

    Oui Authentification de base : demandes SOAP
    glide.basicauth.required.unl

    Demandez l’autorisation de base pour les demandes de déchargement entrantes.

    Oui Autorisation de la demande de déchargement
    glide.basicauth.required.xml

    Demandez l’autorisation de base pour les demandes XML entrantes.

    Oui Autorisation de demande XML
    glide.basicauth.required.xsd

    Demandez l’autorisation de base pour les demandes XSD entrantes.

    Oui Autorisation de la demande XSD
    glide.cms.catalog_uri_relative

    Appliquez des liens relatifs à partir du paramètre URI sur /ess/catalog.do. Si oui, seules les URL relatives sont autorisées via la page /ess/catalog.do à l’aide du uri paramètre. Si ce n’est pas le cas, toutes les URL sont autorisées, ce qui peut permettre la création de liens vers des contenus externes non autorisés.

    Oui Renforcer les liens relatifs
    glide.set_x_frame_options

    Activez cette propriété pour définir l’en-tête de réponse X-Frame-Options sur SAMEORIGIN pour toutes les pages de l’interface utilisateur. L’en-tête de réponse HTTP X-Frame-Options peut être utilisé pour indiquer si un navigateur doit être autorisé à rendre une page dans un <frame> ou <iframe>. Les sites peuvent utiliser cette propriété pour éviter les attaques de détournement de clic en vérifiant que leur contenu n’est pas incorporé dans d’autres sites. https://developer.mozilla.org/en/the_x-frame-options_response_header

    Oui X-Frame-Options: SAMEORIGIN
    glide.ui.attachment.download_mime_types

    Une liste de types MIME de pièce jointe séparés par des virgules qui ne sont pas alignés dans le navigateur. Prévient les attaques par script de site à site. Par exemple, text/html force le téléchargement des fichiers HTML vers le client en tant que pièces jointes plutôt que leur affichage aligné dans le navigateur.

    texte/html, image/svg, image/svg+xml Forcer le téléchargement Types MIME
    glide.security.groupby_acl_check

    Lorsque cette propriété est activée, les vérifications d’ACL pour les opérations Grouper par sont effectuées pour les noms de groupe en fonction des données réelles des groupes.

    Oui Aucun
    glide.security.diag_txns_acl Si oui, seul l’utilisateur administrateur ou l’utilisateur à partir de l’adresse IP autorisée peut accéder à stats.do, threads.do et replication.do. Non Surveillance des performances (ACL)
    glide.ui.security.codetag.allow_script

    Autorisez le HTML incorporé (utilisant des balises [code]) pour contenir les balises JavaScript.

    Remarque :
    Cette propriété est définie sur vrai par défaut dans les versions ultérieures Vancouver et ne peut pas être modifiée par les administrateurs. Pour un cas d’utilisation où la propriété doit être modifiée, contactez le support client.
    Non Autoriser le code HTML intégré
    glide.script.allow.ajaxevaluate

    Activez le processeur AJAXEvaluate. L’appel d’API AJAXEvaluate permet au client d’envoyer et d’exécuter des scripts arbitraires sur le serveur.

    Non Activer AJAXEvaluate
    glide.login.autocomplete

    Autorisez les navigateurs à utiliser la saisie semi-automatique sur les champs de mot de passe des formulaires de connexion.

    Non Saisie semi-automatique du champ Mot de passe

    Les propriétés suivantes sont définies dans la table sys_properties, mais ne sont pas visibles sur la page Paramètres de sécurité élevée.

    Propriété Description Valeur par défaut Paramètres de la sécurisation pour la sécurité de l'instance
    com.glide.communications.httpclient.verify_hostname

    Vérifiez le nom d’hôte et la chaîne de certification présentés par les hôtes SSL distants. Protégez-vous contre les attaques de l’homme du milieu (MITM).

    Pour plus d’informations, consultez Configurer un spoke Kubernetes

    Remarque :
    Cette propriété remplace la propriété com.glide.communications.trustmanager_trust_all.
    VRAI Aucun
    glide.basicauth.required.schema

    Demandez l’authentification de base pour les demandes de schéma de table entrantes.

    VRAI Aucun
    glide.security.csrf_previous.autoriser

    Autorisez l’utilisation d’un jeton de sécurité expiré pour identifier et valider les demandes entrantes. Ce jeton est utilisé pour éviter les attaques de contrefaçon de requête de site à site.

    faux Aucun
    glide.security.csrf_previous.time_limit

    Délai en secondes avant l’expiration d’un jeton de sécurité. Permet de contrôler la durée de validité du jeton CSRF précédent. Lorsque la session utilisateur expire, le jeton de sécurité expire avec elle, sauf si la glide.security.csrf_previous.allow propriété est activée et qu’elle se trouve dans la période décrite dans cette propriété. Ce jeton est utilisé pour éviter les attaques de contrefaçon de requête de site à site.

    86400
    Remarque :
    Valeur en secondes. Équivalent à 1 jour.
    Aucun
    glide.security.csrf.strict.validation.mode

    Applique une validation stricte sur les jetons CSRF afin que les utilisateurs ne puissent pas soumettre à nouveau une demande si le jeton CSRF ne correspond pas.

    faux Validation stricte du CSRF
    com.glide.security.check_unsanitized_html Applique le comportement de nettoyage de translated_html champs à un niveau global pour les affectations de champs. appliquer Aucun