Validation, nettoyage et codage

La validation, l’assainissement et l’encodage traitent la validation des entrées pour prévenir les vulnérabilités telles que le script de site à site (XSS), l’injection SQL et d’autres attaques.

Ce contrôle garantit que la validation d’entrée et le codage de sortie sont en place et correctement configurés, par exemple, le codage ou l’échappement des données de sortie. Cette catégorie comprend également des vérifications d’éléments tels que la désérialisation des objets, le sandboxing, le cas échéant, et la validation positive via des listes d’autorisation.

• Restreindre l’accès à l’API de script GlideSystemUserSession [mis à jour dans Security Center 1.3]
  L’API scriptable GlideSystemUserSessionSandbox pouvant être appelée par le client expose les méthodes GlideSystemUserSession’s addErrorMessageNoSanitization et addInfoMessageNoSanitization au bac à sable JavaScript. Cela permet à tous les utilisateurs d’appeler cette méthode via un script.
• Désactiver les balises JavaScript dans le HTML intégré [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour désactiver la glide.ui.security.codetag.allow_script prise en charge de l’incorporation du code JavaScript HTML créé à l’aide de la balise [code].
• Activer le gestionnaire de sécurité Java renforcé [Nouveau dans Security Center 1.3]
  La glide.security.manager propriété contient le nom de classe Java du gestionnaire de sécurité Java actuel.
• Appliquer l’assainissement HTML [mis à jour dans Security Center 1.3]
  Utilisez la propriété pour appliquer le com.glide.security.check_unsanitized_html comportement de nettoyage de translated_html champs à un niveau global pour les affectations de champs.
• Appliquer le bac à sable pour les scripts générés par le client [Mise à jour dans Securty Center 1.3]
  Utilisez la propriété pour activer le glide.script.use.sandbox sandboxing des scripts.
• Convertir les images des e-mails entrants en pièces jointes [mis à jour dans Security Center 1.3 et supprimé dans la version 1.5]
  Utilisez la propriété pour spécifier si le code HTML de l’e-mail glide.email.inbound.convert_html_inline_attachment_references entrant doit être converti afin que les images de l’e-mail apparaissent dans l’aperçu HTML du corps de l’e-mail.
• Désactiver AJAXEvaluate
  Utilisez pour glide.script.allow.ajaxevaluate protéger l’API système des vulnérabilités de l’exécution du script client via les appels AJAX.
• Désactiver l’expansion des entités dans l’analyseur de diffusion en continu XMLDocument2 [mis à jour dans Security Center 1.5]
  Si les personnalisations ne nécessitent pas d’expansion d’entité, utilisez la propriété pour désactiver complètement l’expansion d’entité glide.stax.allow_entity_resolution externe. Le XML termine l’analyse mais n’inclut aucune entité interne ou externe.
• Désactiver l’URL du contenu externe
  Gérez la façon dont les métadonnées de liens externes sont utilisées dans votre instance avec la Messagerie instantanée de Connexion.
• Définir les types MIME téléchargeables restreints [Mise à jour dans Security Center 1.3]
  La glide.ui.attachment.download_mime_types propriété forcera le téléchargement de la liste spécifiée de types de fichiers dangereux sur le client et ne sera pas affichée dans le navigateur.
• Désactiver le code HTML intégré [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour désactiver la glide.ui.security.allow_codetag prise en charge de l’incorporation du code HTML créé à l’aide de la balise [code].
• Activer l’assainisseur HTML dans Agent virtuel [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour activer HTMLSanitizerService com.glide.cs.html.sanitizer.enabled .
• Activer la protection contre l'interpolation de Jelly JS
  Utilisez la glide.ui.jelly.js_interpolation.protect propriété pour vous assurer que tout JavaScript sur le point d’être exécuté sur une page Jelly est protégé contre l’injection à l’aide de l’interpolation Jelly.
• Activer la protection de l’interpolation Jelly JS pour les expressions imbriquées
  Gérez la protection contre l’interpolation sur votre instance.
• Renforcer les liens relatifs
  Utilisez la propriété pour appliquer des glide.cms.catalog_uri_relative liens relatifs à partir du paramètre URI on /ess/catalog.do.
• Appliquer la vérification de la liste d’autorisations d’URL
  Utilisez la glide.security.url.whitelist propriété pour ajouter une validation supplémentaire afin d’assurer que toute URL externe introduite doit faire partie des URL sur liste d’inclusion.
• Formules Excel d’échappement [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour empêcher l’injection Excel, également connue sous le glide.export.escape_formulas nom d’injection de formule.
• HTML d’échappement dans les vues de listes [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour forcer les glide.ui.escape_html_list_field caractères d’échappement HTML pour les champs HTML d’une vue de liste.
• Échapper à JavaScript
  Utilisez la propriété pour forcer l’échappement des balises JavaScript (<script></script>) dans les glide.html.escape_script champs HTML au cours des vues de listes.
• Script Jelly d’échappement [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour forcer l’échappement glide.ui.escape_all_script de tous les scripts injectés dans Jelly.
• Scripts d’échappement dans le bloc-notes [Mise à jour dans Security Center 1.3]
  Découvrez comment le bloc-notes est pris en compte dans la posture de sécurité de votre instance et comment le gérer afin que des scripts malveillants ne puissent pas être exécutés dessus.
• Balisage XML d’échappement [mis à jour dans Security Center 1.3]
  Utilisez la propriété pour forcer l’échappement glide.ui.escape_text des valeurs XML au niveau de l’analyseur avant de les transmettre au navigateur du client.
• Échapper à la réponse XML
  Gérez la façon dont les échappements XML sont gérés sur votre instance.
• Activer l’assainisseur HTML [mis à jour dans Security Center 1.3]
  Utilisez la propriété pour activer l’include de script HTMLSanitizer, qui nettoie l’entrée glide.html.sanitize_all_fields HTML selon les attributs sur liste d’exclusion et d’inclusion configurés dans un script.
• Restreindre les packages Java autorisés [Mise à jour dans Security Center 1.3]
  La configuration de ces propriétés protège contre l’exposition des API dangereuses au moteur de scripting.
• Annuler le nom distinctif initial LDAP [mis à jour dans Security Center 1.3]
  Utilisez cette propriété pour gérer le nom unique d’un enregistrement de serveur LDAP.
• Appliquer la sécurité stricte des cookies de session [Mise à jour dans Security Center 1.3]
  Utilisez la glide.ui.secure_cookies propriété pour exiger des cookies correctement formatés
• Minimiser le seuil d’expansion des entités [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour réduire la limite maximale d’expansion de l’entité glide.xmlutil.max_entity_expansion .
• Restreindre les types MIME chargés [Mise à jour dans Securty Center 1.3]
  Utilisez la propriété pour activer la vérification du type MIME pour les glide.security.file.mime_type.validation chargements. Vous pouvez activer (propriété sur true) ou désactiver (définir la propriété sur faux) la validation de type MIME pour les pièces jointes de fichiers.
• Restreindre les entités externes XML [Mise à jour dans Security Center 1.3]
  Utilisez la propriété pour activer la vérification du type MIME pour les glide.security.file.mime_type.validation chargements. Vous pouvez activer (propriété sur true) ou désactiver (définir la propriété sur faux) la validation de type MIME pour les pièces jointes de fichiers.
• Exiger la validation des entités XMLdoc2 avec l’expansion des entités allowlistDisable [Mise à jour dans Security Center 1.3]
  Si les personnalisations ne nécessitent pas d’expansion d’entité, utilisez la propriété pour désactiver complètement l’expansion d’entité glide.xmlutil.max_entity_expansion externe. Le XML termine l’analyse mais n’inclut aucune entité interne ou externe.
• Définir une politique de sécurité de contenu sûre pour les fichiers SVG [Nouveau dans Security Center 1.3]
  La com.glide.csp.self_script_src_svg propriété ajoute la directive script-src none à l’en-tête HTTP Content-Security-Policy lorsque des SVG (Scalable Vector Graphics) sont accessibles via l’extension de fichier IIX (Translation Memory Index).