Paramètres de sécurisation renforcée

Le contenu des ServiceNow paramètres de sécurisation renforcée du Centre de sécurité (SSC) contient des descriptions détaillées et des valeurs de conformité pour les propriétés système et les modules d’extension liés à la sécurité dans le Now Platform. Vous pouvez définir ces propriétés à l’aide de l’application Paramètres de sécurisation renforcée du Centre de sécurité.

Vue d'ensemble et objectif

Le Centre de sécurité calcule un score de conformité quotidien, exprimé en pourcentage, qui est basé sur le degré de conformité des paramètres de sécurité de votre instance actuelle avec les valeurs de conformité des paramètres de sécurisation renforcée du Centre de sécurité.

Vous pouvez gérer les paramètres de configuration de sécurité spécifiques susceptibles d’affecter le score de votre instance directement à partir du Centre de sécurité.

Les configurations des paramètres de sécurisation renforcée sont expliquées à l’aide de plusieurs attributs décrits dans le tableau.

Tableau 1. Détails de la configuration des paramètres de sécurisation renforcée

Attribut de configuration	Description
Vue d'ensemble	Fournit une vue d’ensemble de haut niveau de la recommandation.
Nom de la configuration	Le nom de la propriété ou du module d’extension.
Type de configuration	Décrit où la propriété peut être configurée en dehors du centre de sécurité, par exemple dans les propriétés système (sys_properties_list.do).
Type de données	Décrit le type de valeur requis pour la configuration. Les exemples sont vrai/faux booléen, installation, module d’extension, chaîne, et autres.
Valeur recommandée	Valeur recommandée par le Centre de sécurité pour améliorer la conformité de la sécurité dans votre instance.
Valeur par défaut	La valeur sur laquelle la configuration est définie dans le système de base.
Catégorie	Nom et lien vers la catégorie du paramètre de sécurisation renforcée.
Risque de sécurité	Score de gravité : le score indique le risque de sécurité potentiel pour votre instance en fonction de la probabilité d’exploitation de la vulnérabilité. La vulnérabilité de sécurité est examinée et notée individuellement à l’aide du score CVSS (Common Vulnerability Scoring System) sur une échelle allant de 0,0 à 10,0. Consultez https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator pour plus d'informations.
	Évaluation de gravité par score CVSS : Critique : 9,0 à 10,0 Élevé : 7,0 à 8,9 Moyen : 4,0 à 6,9 Faible : 0,01-3,9 Aucun : 0,0
	Détails du risque de sécurité : décrit l’importance de la configuration des paramètres et le risque de ne pas utiliser la configuration recommandée.
Dépendances et prérequis	Paramètres ou configurations connexes requis avant ou en conjonction avec la configuration de sécurisation renforcée.
Impact fonctionnel	Impact de ce paramètre de sécurisation renforcée sur le fonctionnement de votre instance.
Références	Liens vers la documentation de configuration ou d’autres informations utiles.

Remarque :

Certaines configurations ne peuvent être complétées que par Service et assistance client et seront indiquées comme telles.

Pour en savoir plus sur la façon de garantir que vos instances répondent aux exigences de sécurisation renforcée, reportez-vous à la section Sécurisation renforcée de la sécurité.

Autres ressources

Pour la référence utilisateur, la Now Platform conserve des informations détaillées sur les options de configuration dans la documentation du produit. Les liens trouvés dans Sécuriser votre instance vous permettent d'accéder à la plupart du contenu de la sécurité. Consultez également les rubriques suivantes :

• Propriétés système disponibles
• Propriétés des paramètres de sécurité généraux
• Paramètres de sécurité élevée

• Base de référence des paramètres de sécurisation renforcée
  Découvrez comment les versions de base de référence pour les paramètres de sécurisation renforcée s’alignent sur les versions de famille et de stockage.
• Contrôle d'accès
  La catégorie de contrôle d’accès audite le processus de protection des ressources contre tout accès non autorisé en accordant et en refusant des demandes basées sur un modèle d’autorisation. Il s’agit notamment de s’assurer qu’une entité accédant à une ressource détient des informations d’identification valides pour ce faire, de créer et de protéger un ensemble bien défini de rôles ou d’autorisations et de s’assurer que les contrôles des rôles ou des autorisations sont protégés contre la relecture et l’altération.
• API et service web
  La catégorie API et Service Web garantit que les applications disposent d’une authentification, d’une autorisation et d’une gestion des sessions appropriées, valident toutes les entrées qui traversent une limite de confiance et incluent des contrôles de sécurité pour tous les types d’API.
• Architecture, conception et modélisation des menaces
  Ce contrôle étendu traite les considérations de conception de haut niveau et les éléments clés pour implémenter une application sécurisée. Cela couvre les locataires de la disponibilité, l’intégrité du traitement de la confidentialité, la non-répudiation et la confidentialité. De plus, des éléments d’un cycle de vie de développement logiciel sécurisé sont inclus.
• Authentification
  La catégorie authentification couvre les principaux éléments de l’authentification moderne pour confirmer qu’une entité et ses affirmations sont authentiques et correctes, résistantes à l’usurpation d’identité et empêchent l’interception des mots de passe.
• Logique métier
  Cette catégorie examine la logique et le flux propres à chaque application avec des principes généraux de sécurité. Assurez-vous spécifiquement que la séquence prévue de flux de logique métier ne peut pas être contournée, que des limites existent pour détecter et empêcher les attaques automatisées, et que des protections contre les attaques d’usurpation, d’altération, de divulgation d’informations et d’élévation du privilège existent.
• Communications
  Ce contrôle garantit un chiffrement approprié à l’aide d’algorithmes et de chiffrements forts. Il s’agit notamment de s’assurer que la version recommandée de TLS est utilisée pour la connectivité client, d’utiliser des suites de chiffrement fortes, d’utiliser des certificats fiables et signés, de s’assurer que les connexions sont chiffrées entre les composants et de consigner les échecs de connexion.
• Configuration
  La catégorie Configuration garantit que les applications disposent d’un environnement de build sécurisé et de composants de bibliothèque tiers renforcés. Plus précisément, il s’agit de s’assurer qu’un pipeline de création et de déploiement est répétable et inclut des tests automatisés, et empêche le déploiement des problèmes de sécurité connus. Cela inclut la mise à jour des dépendances et l’absence de vulnérabilités connues.
• Protection des données
  La catégorie de protection des données traite des éléments de confidentialité, d’intégrité et de disponibilité (CIA) des données.
• Gestion et journalisation des erreurs
  La catégorie Gestion des erreurs et journalisation traite de la qualité et de la verbosité des informations journalisées exposées aux personnes concernées.
• Fichiers et ressources
  La catégorie des fichiers et des ressources garantit que les applications traitent les données de fichier non approuvées en toute sécurité et stockent les données non approuvées provenant de sources non approuvées avec des autorisations limitées dans un emplacement approprié.
• Code malveillant
  La catégorie Code malveillant garantit que tous les efforts sont faits pour confirmer que votre code est exempt de vulnérabilités et de fonctionnalités indésirables.
• Gestion des sessions
  Cette catégorie examine la sécurité de l’état de l’application pour un utilisateur. Les sessions doivent être uniques à chaque individu, impossibles à deviner ou partager, et invalidées après des périodes d’inactivité ou lorsqu’elles ne sont pas nécessaires. Cela inclut des facteurs tels que les attributs de cookie pour les sessions basées sur les cookies, la génération de jetons de session, le stockage et les exigences de réauthentification fédérée.
• Cryptographie stockée
  Cette catégorie se concentre sur le chiffrement des données stockées. Elle englobe plusieurs aspects clés, tels que l’utilisation d’algorithmes et de modules cryptographiques établis, la garantie de la génération correcte de valeurs pseudo-aléatoires, la mise en œuvre d’un cryptage basé sur la classification des données et le stockage et l’isolement sécurisés du matériel clé.
• Validation, nettoyage et codage
  La validation, le nettoyage et le codage abordent la validation d’entrée pour prévenir les vulnérabilités telles que le script de site à site (XSS), l’injection SQL et d’autres attaques.