| SOAP 要求に認証を必須とする (セキュリティセンター 1.3、1.5、および 2.0 で更新) |
- 新しい技術構成名：glide.basicauth.required.soap, glide.soap.require_ws_security
- 古い技術構成名：glide.basicauth.required.soap
- 新しい説明：Glide プロパティ glide.basicauth.required.soap は、インスタンスへの SOAP 要求を行うためにベーシック認証が必要かどうかを制御します。glide.basicauth.required.soap が推奨値の true に設定されていない場合、SOAP 操作を実行する非認証ユーザーは soap.guest ユーザーにマップされます。これにより、非認証ユーザーが、インスタンスにログインしているユーザーであるかのようにインスタンスで操作を実行できます。com.glide.soap.guest_user 内のユーザー定義に追加のロールがアサインされると、追加の影響が生じる可能性があります。
- 以前の説明：Glide プロパティ glide.basicauth.required.soap は、インスタンスへの SOAP 要求を行うために認証が必要かどうかを制御します。glide.basicauth.required.soap が推奨値の true に設定されていない場合、インスタンスでの SOAP 要求の認証は無効になります。アドミニストレーターレベルまたはメンテナンスレベルの操作への認証されていないアクセスが可能になり、インスタンス内のセキュリティ制御が無効になります。
- 新しい修正：プロパティ glide.basicauth.required.soap が値 true に設定されていることを確認します。または、プロパティ glide.soap.require_ws_security を true に設定し、製品ドキュメントに従って WS セキュリティプロファイルを構成して、WS セキュリティのインスタンスを構成します。
- 以前の修正：プロパティ glide.basicauth.required.soap が sys_properties テーブルにあり、true に設定されていることを確認します。
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
| Jelly スクリプトをエスケープ (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい説明：このプロパティは、含まれるすべての JS および HTML 文字列を、出力ストリームに書き込まれる前にエスケープして、いくつかの XSS 問題が発生しないようにします。glide.ui.escape_all_script が推奨値の true に設定されていない場合、Jelly に挿入されたスクリプトのエスケープは無効になります。この緩和がない場合は、プラットフォームがさまざまなスクリプトインジェクション攻撃に対して広くオープンになります。攻撃者はインスタンス上で任意の Rhino スクリプトを実行する可能性があります。
- 以前の説明：次のプロパティは、<j:jelly> ... </j:jelly> に含まれるすべての JS および HTML 文字列を、出力ストリームに書き込まれる前にエスケープして、いくつかの XSS 問題が発生しないようにします。glide.ui.escape_all_script が推奨値の「true」に設定されていない場合、Jelly に挿入されたスクリプトのエスケープは無効になります。この緩和がない場合は、プラットフォームがさまざまなスクリプトインジェクション攻撃に対して広くオープンになります。攻撃者はインスタンス上で任意の Rhino スクリプトを実行する可能性があります。
|
| CSRF 検証をバイパスする警告をユーザーが受け入れるのを防ぐ (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい簡単な説明：CSRF 検証をバイパスする警告をユーザーが受け入れるのを防ぐ
- 以前の簡単な説明：CSRF トークンの厳密な検証を強制する
- 新しい説明：このプロパティは、悪意がある可能性がある要求をインスタンスに送信できるようにする警告をユーザーが受け入れることを防止します。この警告は、被害者の他のアクティブセッションの 1 つに属する CSRF 対策トークンが一致しないために POST 要求が失敗した場合に表示されます。glide.security.csrf.strict.validation.mode が推奨値の true に設定されていない場合、攻撃者は被害者に属する別のアクティブセッションから漏洩した CSRF 対策トークンを利用して CSRF 攻撃を作成できます。インスタンスへの POST 要求には、ユーザーの現在のセッションに一致する sysparm_ck または X-UserToken 内に CSRF 対策トークンが含まれています。CSRF 対策トークンがユーザーの他のアクティブなセッションの 1 つに関連付けられている場合、POST 要求は security_interceptor.do への 302 リダイレクトを返し、このプロパティが false に設定されている場合、ユーザーは [続行] ボタンを使用できます。このボタンをクリックすると、インスタンスに要求が再送信されますが、有効な CSRF 対策トークンを持つようになります。このプロパティが true に設定されている場合、security_interceptor.do ページへの 302 リダイレクトで [続行] ボタンが表示されず、ユーザーは要求を再送信できません。CSRF 攻撃が成功すると、攻撃者は被害者が実行できるすべての操作を効果的に実行できるようになります。
- 以前の説明：このプロパティは、CSRF トークンの厳格な検証を有効にし、CSRF トークンの再利用を防止します。glide.security.csrf.strict.validation.mode が推奨値の true に設定されていない場合、CSRF トークンが再利用され、CSRF 攻撃を招く可能性があります。
- 新しい CVSS スコア：3.7
- 以前の CVSS スコア：3.1
|
|
- 新しい簡単な説明：イベント管理 HTTP プロセッサーで認証を必須とする
- 以前の簡単な説明：イベント管理 HTTP プロセッサーで認証を必須とする
|
| Anti-CSRF トークンを有効にする (セキュリティセンター 1.3 の新機能、1.5 で更新、2.0 で削除) |
- 新しい説明：クロスサイトリクエストフォージェリ (CSRF) は、認証済みのユーザーに、現在認証されている Web アプリケーションに対して要求を送信するよう強制する攻撃です。CSRF 攻撃は、認証されたユーザーへの Web アプリケーションの信頼を悪用します。このプロパティは、セキュアなトークンの使用を可能にして、受信要求を識別して検証します。このトークンはクロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。glide.security.use_csrf_token が推奨値の true に設定されていない場合に、CSRF が可能になります。
- 以前の説明：クロスサイトリクエストフォージェリ (CSRF) は、認証済みのユーザーに、現在認証されている Web アプリケーションに対して要求を送信するよう強制する攻撃です。CSRF 攻撃は、認証されたユーザーへの Web アプリケーションの信頼を悪用します。このプロパティは、セキュアなトークンの使用を可能にして、受信要求を識別して検証します。このトークンはクロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。 glide.security.use_csrf_token が推奨値の true に設定されていない場合に、CSRF が可能になります。
|
| 仮想エージェント内で HTML サニタイザーを有効化する (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい簡単な説明： 仮想エージェント内で HTML サニタイザーを有効にする
- 以前の簡単な説明：HTML サニタイザーを有効にする
- 新しい説明：このプロパティは、HtmlSanitizerService を有効にするかどうかを制御します。com.glide.cs.html.sanitizer.enabled が true に設定されていない場合、VA Web クライアントで保存されたクロスサイトスクリプティング (XSS) 攻撃が可能になります。
- 以前の説明：このプロパティは、HTMLSanitezerService を有効にするかどうかを制御します。com.glide.cs.html.sanitizer.enabled が true に設定されていない場合、VA Web クライアントで保存されたクロスサイトスクリプティング (XSS) 攻撃が可能になります。
|
| 明示的な外部ロールに対する内部アクセスを拒否する (セキュリティセンター 1.3 および 1.5 で更新) |
|
| WSDL 要求に対する認証を必須とする (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい説明：glide.basicauth.required.wsdl が推奨値の true に設定されていない場合、WSDL 要求のベーシック認証が無効になります。WSDL は、インスタンステーブルスキーマなどの Web サービスを記述するために使用されるプロトコルであり、テーブル内でデータを共有するためのメカニズムではありません。このプロパティを true に設定すると、非認証ユーザーへのテーブルスキーマの公開が可能になります。
- 以前の説明：glide.basicauth.required.wsdl が推奨値の true に設定されていない場合、WSDL 要求のベーシック認証が無効になります。これにより、非認証ユーザーに情報が開示される可能性があります。
- 新しい CVSS スコア：5.3
- 以前の CVSS スコア：4.3
|
| URL 許可リストのチェックを強制する (セキュリティセンター 1.3、1.5、および 2.0 で更新) |
ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。 |
| 制限されたダウンロード可能な MIME タイプを定義する (セキュリティセンター 1.3、1.5、および 2.0 で更新) |
- 新しい簡単な説明：制限されたダウンロード可能な MIME タイプを定義する
- 以前の簡単な説明：ダウンロード可能な MIME タイプを制限する
- 新しい説明：glide.ui.attachment.download_mime_types に「text/html,image/svg,image/svg+xml,application/xml」などの危険なアイテムが含まれている場合、危険なファイルがブラウザにインラインでレンダリングされ、クロスサイトスクリプティング攻撃 (XSS) につながる可能性があります。このプロパティは、ブラウザにインラインでレンダリングされない、カンマ区切りの添付 MIME タイプのリストです。たとえば、text/html を含めると、HTML ファイルはブラウザでインライン表示されるのではなく、添付ファイルとしてクライアントに強制的にダウンロードされます。このリストを適切に維持すると、クロスサイトスクリプティング攻撃を防ぐことができます。
- 以前の説明：glide.ui.attachment.download_mime_types に「text/html,image/svg,image/svg+xml,application/xml」などの危険なアイテムが含まれている場合、危険なファイルがブラウザにインラインでレンダリングされ、クロスサイトスクリプティング攻撃 (XSS) につながる可能性があります。このプロパティは、ブラウザにインラインでレンダリングされない、カンマ区切りの添付 MIME タイプのリストです。たとえば、text/html を含めると、html ファイルはブラウザでインライン表示されるのではなく、添付ファイルとしてクライアントに強制的にダウンロードされます。このリストを適切に維持すると、クロスサイトスクリプティング攻撃を防ぐことができます。
|
|
- 新しい説明：このプロパティは、HTML フィールドを表示するリストビューのサニタイズに役立ちます。glide.ui.escape_html_list_field が推奨値の true に設定されていない場合、悪意のあるユーザーは、フォームフィールド内に HTML コードを挿入して、さまざまなクライアント/ユーザーセッションで不要なスクリプトを実行できます。これは、攻撃者がセッション情報と機密データを盗むために利用される可能性があります。
- 以前の説明：次のプロパティは、HTML フィールドを表示するリストビューのサニタイズに役立ちます。glide.ui.escape_html_list_field が推奨値の true に設定されていない場合、悪意のあるユーザーは、フォームフィールド内に HTML コードを挿入して、さまざまなクライアント/ユーザーセッションで不要なスクリプトを実行できます。これは、攻撃者がセッション情報と機密データを盗むために利用される可能性があります。
|
|
- 新しい簡単な説明：外部ユーザー登録用の電子メールドメインを制限する
- 以前の簡単な説明：外部ユーザー登録用の電子メールドメインを制限する (プラグインの適用性：外部ユーザー登録)
- 新しい説明：sn_ext_usr_reg.allowed_email_domains プロパティは、ServiceNow インスタンスへの自己登録が許可されるメールアドレスを定義します。受け入れ可能なドメインのリストで sn_ext_usr_reg.allowed_email_domains が設定されていない場合、メールアドレスを持つすべてのユーザーがインスタンスにアカウントを登録できます。定義されていない場合、悪意のある攻撃者が、インスタンスへの認証されたアクセスを取得するために、望ましくないドメインのメールアドレスを使用して登録を実行する可能性があります。
- 以前の説明：受け入れ可能なドメインのホワイトリストで sn_ext_usr_reg.allowed_email_domains が設定されていない場合、悪意のある攻撃者が望ましくないドメインのメールアドレスを使用して登録を実行する可能性があります。
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい簡単な説明：外部ユーザー登録向けに Captcha を有効にする
- 以前の簡単な説明：外部ユーザー登録向けに Captcha を有効にする (プラグインの適用性：外部ユーザー登録)
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました
|
|
- 新しい簡単な説明：外部ユーザー登録リンクの有効期限を最小化する
- 以前の簡単な説明：外部ユーザー登録リンクの有効期限を最小化する (プラグインの適用性：外部ユーザー登録)
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました
|
| 感染したファイルのダウンロードを許可しない (セキュリティセンター 1.5 および 2.0 で更新) |
- 新しい簡単な説明：感染したファイルのダウンロードを許可しない
- 以前の簡単な説明：感染したファイルのダウンロードを許可しない
- 新しい修正：プロパティ com.glide.snap.infected_download_allowed が False に設定されていることを確認します。
- 以前の修正：プロパティ com.glide.snap.infected_download_allowed が True に設定されていることを確認します。
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい説明：glide.attachment.enforce_security_validation が推奨値の true に設定されていない場合、添付ファイルの MIME タイプの検証が行われず、間違ったファイル拡張子を使用して危険なファイルがシステムにアップロードされる可能性があります。このプロパティを true に設定すると、ファイルは正しいファイルタイプ拡張子でアップロードされます。セキュリティのベストプラクティスは、少なくとも MIME タイプの検証を使用してファイルのアップロードを検証することです。
- 以前の説明：glide.attachment.enforce_security_validation が推奨値の True に設定されていない場合、添付ファイルの MIME タイプの検証が行われず、間違ったファイル拡張子を使用して危険なファイルがシステムにアップロードされる可能性があります。このプロパティを true に設定すると、ファイルは正しいファイルタイプ拡張子でアップロードされます。セキュリティのベストプラクティスは、少なくとも MIME タイプの検証を使用してファイルのアップロードを検証することです。
- 新しい修正：プロパティ glide.attachment.enforce_security_validation が true に設定されていることを確認します。
- 以前の修正：プロパティ glide.attachment.enforce_security_validation が True に設定されていることを確認します。
|
|
- 新しい簡単な説明：MultiSSO のデバッグを無効にする
- 以前の簡単な説明：MultiSSO のデバッグを無効にする (プラグインの適用性：複数プロバイダーのシングルサインオン)
|
|
- 新しい技術構成名：glide.ip.authenticate.strict
- 古い技術構成名：glide.ip.authenticate.strict,glide.ip.authenticate.allow.secured
- 新しい説明：glide.ip.authenticate.strict が true に設定されている場合、ServiceNow の内部担当者とシステムは、必須 IP 範囲からインスタンスへの受信接続のみを行うことができます。この制限により、ServiceNow は重要な内部インフラストラクチャに対するインスタンスを可視化できなくなり、サポートスタッフや営業スタッフなど、より広範な ServiceNow 担当者が企業ネットワーク経由でアクセスできなくなります。「true」に設定すると、 glide.ip.authenticate.allow プロパティを使用して内部 ServiceNow 受信接続が許可されます。true に設定されていない場合は、 glide.ip.authenticate.allow で定義されているより広範な ServiceNow 内部 IP 範囲を使用して、内部 ServiceNow 受信接続が許可されます。
- 以前の説明：glide.ip.authenticate.strict が true に設定されている場合、glide.ip.authenticate.allow.secured で指定された IP 範囲のみがインスタンスへの受信接続を行うことができます。このプロパティには、必須の ServiceNow 内部 IP 範囲 (セキュア VPN、DC) のみのリストが含まれています。glide.ip.authenticate.allow.secured が推奨値または順列「10.0.0.0/8, 37.98.232.0/21, 103.23.64.0/22, 149.96.0.0/17, 149.96.0.0/16, 199.91.136.0/21, 148.139.0.0/16, 127.0.0.1」またはより新しい値リスト「10.0.0.0/8, 37.98.232.0/21, 103.23.64.0/22, 149.96.0.0/17, 149.96.0.0/16, 199.91.136.0/21, 148.139.0.0/16, 127.0.0.1, 0:0:0:0:0:0:0:1, ::1」(これは IPv6 localhost を Utah に追加する) に設定されていない場合は、SN DataCenter とセキュア VPN の外部にある信頼できないソースが、インスタンス上の機密性の高いモニタリングエンドポイントにアクセスできるようになる可能性があります。
- 新しい修正：プロパティ glide.ip.authenticate.allow.secured に信頼できる値のみが含まれており、プロパティ glide.ip.authenticate.strict が true に設定されていることを確認します。
- 以前の修正：プロパティ glide.ip.authenticate.allow.secured に「10.0.0.0/8, 37.98.232.0/21, 103.23.64.0/22, 149.96.0.0/17, 149.96.0.0/16, 199.91.136.0/21, 148.139.0.0/16, 127.0.0.1, 0:0:0:0:0:0:0:1, ::1」の値のみが含まれ、プロパティ glide.ip.authenticate.strict が true に設定されていることを確認します。
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
| XMLDocument2 ストリーミングパーサー内のエンティティ拡張を無効にする (セキュリティセンター 1.5 で更新) |
- 新しい簡単な説明：XMLDocument2 ストリーミングパーサー内のエンティティ拡張を無効にする
- 以前の簡単な説明：エンティティ拡張を無効にする
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい簡単な説明：ドット連結フィールドにドメインセパレーションを適用する
- 以前の簡単な説明：ドット連結フィールドにドメインセパレーションを適用する (プラグインの適用性：ドメインセパレーション)
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
| CMDB モデルの許可を制限する (セキュリティセンター 1.3 および 1.5 で更新) |
ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。 |
|
- 新しい説明：glide.sg.clear_pasteboard_when_backgrounded プロパティは、ServiceNow モバイルアプリからコピーされたテキストを、アプリがバックグラウンドモードになった後もクリップボードとペーストボードに保持するかどうかを制御します。このプロパティが推奨値の true に設定されていない場合、機密情報が Android または iOS のクリップボードに開示され、デバイス上の他のアプリケーションに開示される可能性があります。
- 以前の説明：プロパティ glide.sg.clear_pasteboard_when_backgrounded は、ServiceNow モバイルアプリからコピーされたテキストを、アプリがフォーカスされなくなった後もクリップボードとペーストボードに保持するかどうかを制御します。このプロパティが推奨値の true に設定されていない場合、機密情報が Android または iOS のクリップボードに開示され、デバイス上の他のアプリケーションに開示される可能性があります。
|
| アカウント復旧の有効化 (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい簡単な説明：アカウント復旧の有効化
- 以前の簡単な説明：アカウント復旧の有効化 (プラグインの適用性：複数プロバイダーのシングルサインオン)
|
| SQL エラーメッセージを無効にする (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい説明：glide.db.loguser が推奨値の false に設定されていない場合、機密性の高いサーバー側のエラーメッセージがエンドユーザーに表示される可能性があります。エラーメッセージには、スタックトレースやデータベースの構造に関する情報が含まれており、前提条件が存在する場合、SQL インジェクションを成功させるために必要な知識を攻撃者に提供する可能性があります。多層防御のため、これらのエラーメッセージはエンドユーザーに表示されません。
- 以前の説明：glide.db.loguser が推奨値の false に設定されていない場合、機密性の高いサーバー側のエラーメッセージがエンドユーザーに表示される可能性があります。
|
| 相対リンクを強制する (セキュリティセンター 1.3 および 1.5 で更新) |
- 新しい説明：glide.cms.catalog_uri_relative プロパティは、/ess/catalog.do の URI パラメーターからの相対リンクを適用します。glide.cms.catalog_uri_relative が推奨値の true に設定されていない場合、URL は enforceRelativeURL(url) 関数でサニタイズされません。絶対 URL をパラメーターまたはフィールド値の一部として使用すると、セキュリティリスクが生じる可能性があるため、ソースページは攻撃者が制御する Web サイトにリダイレクトされます。このプロパティは、サービスポータルに置き換えられた従来のコンテンツ管理システム (CMS) に影響します。
- 以前の説明：glide.cms.catalog_uri_relative プロパティは、/ess/catalog.do の URI パラメーターからの相対リンクを適用します。glide.cms.catalog_uri_relative が推奨値の true に設定されていない場合、URL は enforceRelativeURL(url) 関数でサニタイズされません。絶対 URL をパラメーターまたはフィールド値の一部として使用すると、セキュリティリスクが生じる可能性があるため、ソースページは攻撃者が制御する Web サイトにリダイレクトされます。
|
| GlideXMLUtil スクリプト可能項目のエンティティ拡張しきい値を最小化する (セキュリティセンター 1.3、1.5、および 2.0 で更新) |
- 新しい簡単な説明：GlideXMLUtil スクリプト可能項目のエンティティ拡張しきい値を最小化する
- 以前の簡単な説明：エンティティ拡張しきい値を最小化する
- 新しい説明：このプロパティは、XML パーサー内のエンティティ拡張の最大量を制御します。glide.xmlutil.max_entity_expansion が推奨値の 3000 以下に設定されていない場合、GlideXMLUtil 解析スクリプト可能項目がサービス拒否攻撃に対して脆弱になる可能性があります。
- 以前の説明：このプロパティは、XML パーサー内のエンティティ拡張の最大量を制御します。glide.xmlutil.max_entity_expansion が推奨値の 3000 以下に設定されていない場合、XML パーサーがサービス拒否攻撃に対して脆弱になる可能性があります。
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい説明：GlideRecord では、そのレベルのアクセス権では構成されていないテーブルへのクロススコープ作成/更新アクセスが提供されました。このスコープ対象のアクセス動作にパッチを適用したときに、顧客のアプリケーションが壊れないようにするために、プロパティ glide.record.legacy_cross_scope_access_policy_in_script が作成されました。true の場合、クロススコープアクセスは従来の動作にフォールバックします (安全でない)。このプロパティは、スコープフェンシングを無効にし、スコープ対象アプリがグローバルスクリプトインターフェイスにアクセスできるようにします。セキュリティのベストプラクティスは、スコープフェンシングの制限を設けることです。スコーピングにより、アプリケーションは最小特権の原則に従って、明示的なアクセス権を持つリソースまたはそのスコープ内のリソースにのみアクセスできます。この機能を無効にすると、機密性、可用性、および整合性に影響を与える可能性があります。
- 以前の説明：従来の動作では、許可されていないテーブルへの作成/更新アクセスが提供されました。このスコープ対象のアクセス動作にパッチを適用したときに、従来の顧客のアプリケーションが壊れないようにするために、プロパティ glide.record.legacy_cross_scope_access_policy_in_script が作成されました。true の場合、クロススコープアクセスは従来の動作にフォールバックします (安全でない)。このプロパティは、スコープフェンシングを無効にし、スコープ対象アプリがグローバルスクリプトインターフェイスにアクセスできるようにします。セキュリティのベストプラクティスは、スコープフェンシングの制限を設けることです。スコーピングにより、アプリケーションは最小特権の原則に従って、明示的なアクセス権を持つリソースまたはそのスコープ内のリソースにのみアクセスできます。この機能を無効にすると、機密性、可用性、および整合性に影響を与える可能性があります。
|
|
- 新しい簡単な説明：更新された複数 SSO プラグインのバージョンを有効にする
- 以前の簡単な説明：更新された複数 SSO プラグインのバージョンを有効にする (プラグイン適用：複数プロバイダーのシングルサインオン)
|
| LDAP 認証で SSL を有効にする (セキュリティセンター 1.5 および 2.0 で更新) |
検出精度を向上させるためにスクリプトが更新されました。 |
| API 要求でパスワードリセットを強制する (セキュリティセンター 1.5 で更新) |
検出精度を向上させるためにスクリプトが更新されました。 |
| ログイン時にパスワードポリシーを適用しない (セキュリティセンター 1.5 で更新、2.0 で削除) |
-
新しい説明：プロパティ glide.apply.password_policy.on_login を False に設定すると、ログイン時にパスワードの複雑さが強制されなくなります。このプロパティを True に設定すると、パスワードの複雑さが強制され、組織のポリシーコンプライアンスの問題につながります。
ASVS 4.03 v2.1.9 の推奨事項：
許可される文字のタイプを制限するパスワード構成ルールがないことを確認します。大文字/小文字、数字、特殊文字に関する要件は必要ありません。(C6)
ASVS の推奨事項は、パスワードの複雑さを強制する代わりに、パスワードの長さを 12 文字以上にすることです。
参照：OWASP ASVS v4.0 Authentication (OWASP ASVS v4.0 認証)
- 以前の説明：
プロパティ glide.apply.password_policy.on_login を False に設定すると、ログイン時にパスワードの複雑さが強制されなくなります。このプロパティを True に設定すると、パスワードの複雑さが強制され、組織のポリシーコンプライアンスの問題につながります。 ASVS 4.03 v2.1.9 の推奨事項： 許可される文字のタイプを制限するパスワード構成ルールがないことを確認します。大文字/小文字、数字、特殊文字に関する要件は必要ありません。(C6) ASVS の推奨事項は、パスワードの複雑さを強制する代わりに、パスワードの長さを 12 文字以上にすることです。 参照：OWASP ASVS v4.0 Authentication (OWASP ASVS v4.0 認証)
|
|
- 新しい簡単な説明：アクティブな SAML 構成でデモ認証を使用しない
- 以前の簡単な説明：アクティブな SAML 構成でデモ認証を使用しない (プラグイン適用：複数プロバイダーのシングルサインオン)
|
|
- 新しい簡単な説明：SAML の「notBefore」または「notOnOrAfter」の制約期間を最小化する
- 以前の簡単な説明：SAML の「notBefore」または「notOnOrAfter」の制約期間を最小化する (プラグイン適用：複数プロバイダーのシングルサインオン)
|
| 期限切れの Anti-CSRF トークンをブロック (セキュリティセンター 1.5 で更新) |
- 新しい簡単な説明：期限切れの Anti-CSRF トークンをブロック
- 以前の簡単な説明：期限切れの CSRF トークンをブロック
|
|
- 新しい簡単な説明：カスタマーサービスアプリケーションでのゲストウォークアップエクスペリエンスに Captcha を必須とする
- 以前の簡単な説明：カスタマーサービスアプリケーションでのゲストウォークアップエクスペリエンスに Captcha を必須とする (プラグイン適用：カスタマーサービスのゲストウォークアップエクスペリエンス)
|
|
- 新しい簡単な説明：HR アプリの ACL 評価で代理操作をチェックする
- 以前の簡単な説明：HR アプリの ACL 評価で代理操作をチェックする (プラグイン適用：ヒューマンリソース (HR) スコープ対象アプリ)
|
|
- 新しい簡単な説明：私用メールからの HR ケースの更新を制限する
- 以前の簡単な説明：私用メールからの HR ケースの更新を制限する (プラグイン適用：ヒューマンリソース (HR) スコープ対象アプリ)
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい簡単な説明: MID 監査ログを有効化する
- 以前の簡単な説明: MID 監査ログを有効化する (プラグイン適用：MID サーバー)
|
|
- 新しい簡単な説明：認証情報エイリアスの使用を強制する
- 以前の簡単な説明：認証情報エイリアスの使用を強制する (プラグイン適用：MID サーバー)
|
|
- 新しい簡単な説明：必須の JMS Connection Factory
- 以前の簡単な説明：必須の JMS Connection Factory (プラグイン適用：MID サーバー)
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい簡単な説明：トレーニングと予測フローの添付ファイルのサイズを制限する
- 以前の簡単な説明：トレーニングと予測フローの添付ファイルのサイズを制限する (プラグイン適用：プラットフォームドキュメントインテリジェンス (DocIntel))
|
|
ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。 |
|
- 新しい説明：Glide プロパティ glide.authenticate.session_access.log_audit_event が true に設定されている場合、セッション監査イベントが sys_session_access_audit テーブルに作成されます。ベストプラクティスは、悪意のある攻撃者の調査を支援するために、セッションにアクセスしたユーザーに関する情報をログに記録することです。ログに記録される情報には、ユーザー、セッション ID (非機密)、IP アドレス、ロール、ポリシーが含まれます。
- 以前の説明：Glide プロパティ glide.authenticate.session_access.log_audit_event が true に設定されている場合、セッション監査イベントが sys_session_access_audit テーブルに作成されます。ベストプラクティスは、悪意のある攻撃者の調査を支援するために、セッションアクセスに関する一般的な情報をログに記録することです。ログに記録される情報には、ユーザー、セッション ID (非機密)、IP アドレス、ロール、ポリシーが含まれます。
|
|
- 新しい簡単な説明：Information Request Playbook に対してスコープされた ACL アクセスを強制する
- 以前の簡単な説明：Information Request Playbook に対してスコープされた ACL アクセスを強制する
- ルールスクリプト：検出精度を向上させるためにスクリプトが更新されました。
|
|
- 新しい説明：Glide プロパティ glide.active.session.timeout.invalidate.session は、Tomcat コンテナがセッションを無効にする前にタイムアウトセッションをプロアクティブに無効にするかどうかを制御します。このプロパティが true に設定されていない場合、タイムアウトになったセッションが無効にならない短い期間 (キューサイズに応じて 60 秒以上) が存在する可能性があります。セッションがハイジャックされた場合、攻撃者はこの短い期間にセッションを利用できる可能性があります。
- 以前の説明：Glide プロパティ glide.active.session.timeout.invalidate.session は、Tomcat コンテナの前にタイムアウトセッションをプロアクティブに無効にするかどうかを制御します。このプロパティが true に設定されていない場合、タイムアウトになったセッションが無効にならない短い期間 (キューサイズに応じて 60 秒以上) が存在する可能性があります。セッションがハイジャックされた場合、攻撃者はこの短い期間にセッションを利用できる可能性があります。
|
|
- 新しい簡単な説明：HTTP 応答の本文サイズを制限する
- 以前の簡単な説明：応答の本文サイズが原因で、HTTP 応答が OutofMemory 例外をトリガーしないようにしてください
|