확인, 위생 및 인코딩

유효성 검사, 위생 및 인코딩은 XSS(교차 사이트 스크립팅), SQL 주입 및 기타 공격과 같은 취약성을 방지하기 위해 입력 유효성 검사를 처리합니다.

이 제어를 통해 인코딩 또는 출력 데이터 이스케이프와 같이 입력 유효성 검사 및 출력 인코딩이 제대로 구성됩니다. 이 범주에는 객체의 해제, 필요한 경우 샌드박싱, 허용 목록을 통한 양수 확인과 같은 항목에 대한 검사도 포함됩니다.

• GlideSystemUserSession 스크립팅 가능한 API에 대한 접근 제한[Security Center 1.3에서 업데이트됨]
  클라이언트 호출 가능 GlideSystemUserSessionSandbox 스크립팅 가능 API는 GlideSystemUserSession의 addErrorMessageNoSanitization 및 addInfoMessageNoSanitization 메서드를 javascript 샌드박스에 노출합니다. 이렇게 하면 모든 사용자가 스크립트를 통해 이 메서드를 호출할 수 있습니다.
• 포함된 HTML에서 JavaScript 태그 사용 안 함[Security Center 1.3에서 업데이트됨]
  이 glide.ui.security.codetag.allow_script 속성을 사용하여 [code] 태그를 사용하여 만든 HTML JavaScript 코드를 포함하기 위한 지원을 비활성화합니다.
• 강화된 Java 보안 관리자 사용 [Security Center 1.3의 새로운 기능]
  이 특성에는 glide.security.manager 현재 Java 보안 관리자의 Java 클래스 이름이 포함되어 있습니다.
• HTML 위생화 적용[Security Center 1.3에서 업데이트됨]
  이 com.glide.security.check_unsanitized_html 속성을 사용하여 필드 할당에 대한 전역 수준에서 translated_html 필드의 위생 동작을 적용합니다.
• 클라이언트 작성 스크립트 샌드박스 적용 [보안 센터 1.3에서 업데이트됨]
  이 glide.script.use.sandbox 속성을 사용하여 스크립트 샌드박스를 활성화합니다.
• 인바운드 이메일 이미지를 첨부 파일로 변환[Security Center 1.3에서 업데이트 되고 1.5에서 제거됨]
  이 glide.email.inbound.convert_html_inline_attachment_references 속성을 사용하여 이메일 이미지가 이메일 HTML 본문 미리 보기에 나타나도록 인바운드 이메일 HTML을 변환할지 여부를 지정합니다.
• AJAXEvaluate 사용 안 함
  를 glide.script.allow.ajaxevaluate 사용하여 AJAX 호출을 통한 클라이언트 스크립트 실행의 취약성으로부터 시스템 API를 보호합니다.
• XMLDocument2 스트리밍 파서 내에서 엔터티 확장 사용 안 함 [Security Center 1.5에서 업데이트됨]
  사용자 지정에 엔터티 확장이 필요하지 않은 경우 이 glide.stax.allow_entity_resolution 속성을 사용하여 외부 엔터티 확장을 완전히 비활성화합니다. XML은 구문 분석을 완료하지만 내부 또는 외부 엔터티를 포함하지 않습니다.
• 외부 콘텐츠 URL 사용 안 함
  커넥트 채팅을 통해 인스턴스에서 외부 링크 메타데이터가 사용되는 방식을 관리합니다.
• 제한된 다운로드 가능한 MIME 유형 정의[Security Center 1.3에서 업데이트됨]
  이 glide.ui.attachment.download_mime_types 속성은 지정된 위험한 파일 형식 목록을 클라이언트에 다운로드하고 브라우저에서 인라인으로 볼 수 없도록 강제합니다.
• 포함된 HTML 코드 사용 안 함[Security Center 1.3에서 업데이트됨]
  이 glide.ui.security.allow_codetag 속성을 사용하여 [code] 태그를 사용하여 만든 HTML 코드를 포함하기 위한 지원을 비활성화합니다.
• 가상 에이전트 내에서 HTML 위생 검사 사용 [Security Center 1.3에서 업데이트됨]
  이 com.glide.cs.html.sanitizer.enabled 속성을 사용하여 HTMLSanitizerService를 사용하도록 설정합니다.
• Jelly JS 보간 보호 사용
  이 glide.ui.jelly.js_interpolation.protect 속성을 사용하여 Jelly 페이지에서 실행될 JavaScript가 Jelly 보간을 통해 삽입으로부터 보호되도록 합니다.
• 내포된 표현식에 Jelly JS 보간 보호 사용
  인스턴스의 보간 보호를 관리합니다.
• 관련 링크 적용
  이 glide.cms.catalog_uri_relative 속성을 사용하여 /ess/catalog.do의 URI 매개변수에서 상대 링크를 적용합니다.
• URL 허용 목록 검사 강제 적용
  이 속성을 사용하여 도입된 외부 URL이 glide.security.url.whitelist 포함 목록 URL의 일부여야 하는지 여부를 확인할 수 있도록 다른 확인 계층을 추가합니다.
• 이스케이프 Excel 수식 [Security Center 1.3에서 업데이트됨]
  수식 glide.export.escape_formulas 주입이라고도 하는 Excel 주입을 방지하려면 이 속성을 사용합니다.
• 목록 보기에서 HTML 이스케이프[Security Center 1.3에서 업데이트됨]
  이 glide.ui.escape_html_list_field 속성을 사용하여 목록 뷰에서 HTML 필드에 대해 HTML 이스케이프를 강제 적용합니다.
• 이스케이프 JavaScript
  glide.html.escape_script 이 속성을 사용하여 목록 뷰 중 HTML 필드의 JavaScript(<script></script>) 태그에서 강제로 이스케이프합니다.
• 이스케이프 젤리 스크립트[Security Center 1.3에서 업데이트됨]
  이 glide.ui.escape_all_script 속성을 사용하여 Jelly에 삽입된 모든 스크립트를 강제로 이스케이프합니다.
• 스크래치 패드의 이스케이프 스크립트[Security Center 1.3에서 업데이트됨]
  스크래치패드가 인스턴스의 보안 태세에 어떤 영향을 미치는지, 그리고 악성 스크립트가 실행될 수 없도록 어떻게 관리하는지 알아보십시오.
• 이스케이프 XML 태그[Security Center 1.3에서 업데이트됨]
  이 glide.ui.escape_text 속성을 사용하여 XML 값을 클라이언트의 브라우저로 전송하기 전에 파서 수준에서 강제로 이스케이프합니다.
• 이스케이프 xml 응답
  인스턴스에서 XML 이스케이프가 처리되는 방식을 관리합니다.
• HTML 위생 검사 사용 [Security Center 1.3에서 업데이트됨]
  이 glide.html.sanitize_all_fields 속성을 사용하여 스크립트에 구성된 제외 목록 및 포함 목록 속성을 기반으로 HTML 입력을 삭제하는 HTMLSanitizer 스크립트 포함을 활성화합니다.
• 허용된 Java 패키지 제한[Security Center 1.3에서 업데이트됨]
  이러한 속성을 구성하면 스크립팅 엔진에 위험한 API가 노출되지 않도록 보호할 수 있습니다.
• LDAP 초기 고유 이름 설정 해제 [보안 센터 1.3에서 업데이트됨]
  이 속성을 사용하여 LDAP 서버 기록의 고유 이름을 관리합니다.
• 세션 쿠키의 엄격한 보안 적용[Security Center 1.3에서 업데이트됨]
  glide.ui.secure_cookies 속성을 사용하여 올바른 형식의 쿠키 요구
• 엔터티 확장 임계값 최소화[Security Center 1.3에서 업데이트됨]
  이 glide.xmlutil.max_entity_expansion 속성을 사용하여 최대 엔터티 확장 제한을 더 작은 숫자로 변경합니다.
• 업로드된 MIME 유형 제한 [보안 센터 1.3에서 업데이트됨]
  이 glide.security.file.mime_type.validation 속성을 사용하여 업로드에 대한 MIME 유형 검사를 활성화합니다. 첨부 파일에 대한 MIME 형식 확인을 활성화( true로 설정)하거나 비활성화( false로 설정)할 수 있습니다.
• XML 외부 엔터티 제한[Security Center 1.3에서 업데이트됨]
  이 glide.security.file.mime_type.validation 속성을 사용하여 업로드에 대한 MIME 유형 검사를 활성화합니다. 첨부 파일에 대한 MIME 형식 확인을 활성화( true로 설정)하거나 비활성화( false로 설정)할 수 있습니다.
• allowlistDisable 엔터티 확장을 사용하여 XMLdoc2 엔터티 확인 필요[Security Center 1.3에서 업데이트됨]
  사용자 지정에 엔터티 확장이 필요하지 않은 경우 이 glide.xmlutil.max_entity_expansion 속성을 사용하여 외부 엔터티 확장을 완전히 비활성화합니다. XML은 구문 분석을 완료하지만 내부 또는 외부 엔터티를 포함하지 않습니다.
• svg 파일에 대한 안전한 콘텐츠 보안 정책 설정[Security Center 1.3의 새로운 기능]
  이 com.glide.csp.self_script_src_svg 속성은 IIX(Translation Memory Index) 파일 확장자를 통해 SVG(Scalable Vector Graphics)에 액세스할 때 HTTP Content-Security-Policy 헤더에 script-src none 지시문을 추가합니다.