監査人チェック

  • リリースバージョン: Yokohama
  • 更新日 2025年01月30日
  • 所要時間：8分

    • 監査ツールスイートを使用して SecureCheck を実行し、インスタンスのセキュリティ体制に影響を与える可能性のある構成ミスを検出します。

    監査ツールスイートは更新セットとして提供されます。このスイートは セキュリティセンター 内で使用できます。Utah 以前を使用している場合は、インスタンスでセキュリティセンターが有効になっていることを確認します。

    更新セットのインポート

    アドミニストレーターは、次のリンクを使用して support.servicenow.com から更新セットをダウンロードできます: https://support.servicenow.com/sys_attachment.do?sys_id=821e1e724732969077748d01426d4393。

    Commit an update setで詳述した手順を使用して、更新セットを収容します。

    更新セットがコミットされると、次の場所にある監査ツールスイートにアクセスできます。 All (すべて) > セキュリティセンター > スキャナー > スイート.

    情報を確認

    表 : 1. アクセス制御監査人のチェック
    名前を確認 説明 スキャン結果タイプ
    古いストアアプリを特定する

    インスタンスでアクティブ化され、バージョンが更新されているアプリを識別します。

    ストアアプリケーションの最新バージョンで実行していることを確認します。これには潜在的なセキュリティ問題の修正が含まれている可能性があります。

    		 推奨される解決策
    安全でない GlideRecord 呼び出し

    エンドユーザーが直接呼び出すことができるスクリプトを識別します (クライアントコール可能なスクリプトインクルード、ウィジェット、プロセッサ、REST エンドポイントなど)

    これらのスクリプトは ACL を尊重し、GlideRecordSecure または GlideRecord を canRead、canWrite、canCreate、canDelete とともに使用する必要があります。

    		 推奨される解決策
    許可された JavaScript ライブラリを確認する

    特定のサードパーティ JavaScript ライブラリを許可または拒否するために JavaScript コンテンツアクセス制御が使用されているスクリプトを識別します。

    アクセスをブロックする前に、インスタンスのカスタマイズを確認して、ライブラリが使用されていないことを確認します。JavaScript コンテンツプロバイダーのアクセストラッキング [sys_js_content_provider_access_tracking] テーブルを確認して、ライブラリが最後にアクセスされた日付を確認できます。

    注:
    このチェックは、Tokyo 以降で最初にプロビジョニングされたインスタンスでは無視できます。関連付けられたテーブルのレコードには、デフォルトで拒否ルールが設定されています。Tokyo より前に最初にプロビジョニングされたインスタンスでは、JavaScript アクセス制御テーブルに許可ルールが存在する場合があります。
    		 推奨される解決策
    対応する ACL がないクライアント呼び出し可能スクリプトインクルードを確認します

    対応する ACL を持たないクライアント呼び出し可能スクリプトインクルードを識別します。これらのスクリプトは、デフォルトの ("*") クライアント呼び出し可能スクリプトインクルード ACL を使用します。

    これらのスクリプトに対して、アクセスの適切な基準を定義する ACL を作成し、想定されるユーザーのみが提供された機能を操作できることを確認します。

    		 推奨される解決策
    レコードプロデューサーありでビジネスルールなしのカスタムテーブルをレビューする

    サーバー側の追加検証を行わないレコードプロデューサーを識別します。このチェックでは、レコードプロデューサーはあるがビジネスルールが関連付けられていないカスタムテーブルを識別します。

    これにより、ユーザーが予期しないデータを関連するテーブルに送信する可能性があります。

    		 推奨される解決策
    空の ACL をレビューする

    スクリプト、条件、セキュリティ属性、ロールがない ACL レコード、または 公開 ロールを持つ ACL を識別します。

    ACL を空のままにするか 、public ロールを使用すると、この ACL で保護されているすべてのコンテンツにオープンアクセスできます。

    		 推奨される解決策
    HTML サニタイズが無効になっているフィールドを確認する

    HTML サニタイズが非アクティブになっている HTML フィールドを識別します。

    HTML サニタイズは、HTML コード内の潜在的に有害な要素や属性を削除または置き換えます。サニタイズが非アクティブな HTML フィールドを確認して、この構成が必要かどうかを確認します。

    		 推奨される解決策
    非アクティブなセキュリティ機能プラグインをレビューする

    追加の構成可能なセキュリティコントロールを提供する、アクティブ化されていないプラグインを特定します。このチェックによって生成された検出結果は、情報提供を目的として提供されています。

    特定されたプラグインのいずれかを有効にする前に、プラグインがユースケースまたは要件を満たしていることを確認してください。識別されたユースケースがない場合は、これらの検出結果をミュートできます。

    		知らせる
    許可された大きな IP アドレス範囲を確認する

    多数の IP アドレスを含む IP アドレスアクセス制御範囲を識別します。

    注:

    誤検出が多数発生している場合は、特定のビジネスニーズに合わせて largestExpectedCIDRBlock 変数を調整することを検討してください。

    クラスレスドメイン間ルーティング (CIDR) ブロックには、数が減少するにつれて大量の IP アドレスが含まれます。たとえば、CIDR ブロックサイズ 8 は CIDR ブロックサイズ 16 よりも大きい (IP アドレスが多い) 場合です。

    現在の構成がビジネスニーズに一致していることを確認して確認します。

    		 レビューと決定
    パブリック GraphQL スキーマのレビュー

    GraphQL API [sys_graphql_schema] テーブル内のパブリック GraphQL スキーマを識別します。

    これらのスキーマは、認証なしで使用できるように構成できます。エンドポイントの機能によっては、認証されていないユーザーが予期しないアクションを実行したり、予期しないデータを操作したりする可能性があります。

    		 レビューと決定
    公開ナレッジベース記事のレビュー

    非認証ユーザーがアクセスできるように設定されたナレッジベースとナレッジベース記事を識別します。

    現在の構成がビジネスニーズに一致していることを確認して確認します。

    		 レビューと決定
    パブリック REST API エンドポイントのレビュー

    認証なしで使用できるように設定されている、スクリプト化済み REST リソース [sys_ws_operation] テーブル内の REST API エンドポイントを識別します。

    エンドポイントの機能によっては、認証されていないユーザーが予期しないアクションを実行したり、予期しないデータを操作したりする可能性があります。

    		 レビューと決定
    公開サービスポータルページのレビュー

    公開されているサービスポータルページを識別します。サービスポータルページを非認証ユーザーが利用できるようにするには、[public] フィールドを [true] に設定します。

    現在の構成がビジネスニーズに一致していることを確認して確認します。

    		 レビューと決定
    公開 UI ページのレビュー

    公開される UI ページを識別します。UI ページは、[sys_public] ページを使用して非認証ユーザーが利用できるようにすることができます。

    現在の構成がビジネスニーズに一致していることを確認して確認します。

    		 レビューと決定
    「アドミン」ロールを含むロールをレビューします

    admin ロールを含むすべてのロール (ロール [sys_user_role] テーブル) を識別します。

    admin ロールはユーザーに管理権限を付与します。必要な場合にのみ使用してください。現在の構成がビジネスニーズに一致していることを確認して確認します。これが意図的な構成である場合、このチェックはミュートできます。

    		 レビューと決定
    対応する ACL がない UI ページのレビュー

    その UI ページの ACL を持たない UI ページを識別します。

    特定の ACL を持たない UI ページは、デフォルトで汎用の UI ページ ACL に設定され 意図しないユーザーにアクセスが許可される可能性があります。

    		 推奨される解決策
    有効なローカルパスワードを持つユーザーをレビュー

    ローカルに設定されたパスワードを持つユーザーを識別します。

    ローカルパスワードを持つユーザーは、ローカルログインが許可されていない場合でも、ローカル認証情報を使用して API を介してインスタンスとやり取りできます。このパスワード設定は、統合ユーザーアカウントが正しく機能するために必要です。

    これらのユーザーアカウントを確認し、意図したユーザー (統合アカウントなど) のみがローカル認証で認証できることを確認します。

    		 レビューと決定
    古いハッシュアルゴリズムで保存されているパスワードをローテーションする

    以前のバージョンの Now Platform で作成されたパスワードを持つユーザーアカウントを識別します。このパスワードは、現在レガシーまたは古いハッシュアルゴリズムと見なされているものを使用していた可能性があります。

    パスワードをローテーションしていない古いプラットフォームバージョンで作成されたアカウントには、従来のハッシュアルゴリズムで保存されたパスワードが残っている可能性があります。作成された識別されたアカウントを確認し、パスワードのリセットを検討します。

    		 推奨される解決策
    レコードプロデューサーの保護

    安全でないレコードプロデューサーを識別します。

    適切なロールにアサインされていない場合、権限のないユーザーがそれらのロールにアクセスでき、機密情報が漏洩する可能性があります。レコードプロデューサーに適切なロールをアサインし、それらを必要とするユーザーのみがアクセスできるようにします。

    		 推奨される解決策
    UI アクションヴィジビリティ

    テーブルへの読み取りアクセス権を持たないロールなしユーザーがアクセスできる UI アクションを特定します。

    これらのユーザーは、これらの UI アクションを介して、アクセス権のないテーブルのデータを変更できる可能性があります。影響を受けるテーブルへのアクセス権を持つユーザーのみが UI アクションを使用できることを確認します。

    		 推奨される解決策