인증

인증 범주는 엔터티와 해당 클레임이 정통하고 정확하며 가장에 저항하고 암호 가로채기를 방지하는 최신 인증의 주요 요소를 다룹니다.

ASVS 표준은 이 섹션의 NIST 800-63b(https://pages.nist.gov/800-63-3/sp800-63b.html) 사양을 기반으로 합니다.

인증에는 암호 정책, 통제 및 스토리지, 인증자의 적절한 구현 및 대역 외 또는 일회성 검증기의 적절한 구현이 포함됩니다.

• 역할 기반 다단계 인증 활성화[Security Center 1.3에서 업데이트됨]
  이 glide.authenticate.multifactor 속성을 사용하여 특정 역할에 할당된 모든 사용자에 대해 역할 기반 MFA(다단계 인증)를 적용합니다.
• 역할 기반 다단계 인증 사용[Security Center 1.3에서 업데이트됨]
  이 glide.authenticate.multifactor 속성을 사용하여 특정 역할에 할당된 모든 사용자에 대해 역할 기반 MFA(다단계 인증)를 적용합니다.
• 잘못된 암호 재설정 시도에 대한 잠금 시간 제어[Security Center 1.3 및 2.0에서 업데이트됨]
  이 password_reset.request.max_attempt_window 속성은 사용자가 속성으로 설정된 실패한 최대 시도 횟수를 초과한 후 암호를 재설정하거나 변경하기 위해 기다려야 하는 시간(분)을 password_reset.request.max_attempt 제어합니다.
• 수신 전자 메일에서 사용자 만들기 사용 안 함 [보안 센터 1.3에서 업데이트됨]
  이 glide.user.trusted_domain 속성을 사용하여 수신 이메일에서 사용자를 만드는 데 사용되는 신뢰할 수 있는 도메인의 목록을 쉼표로 구분하여 지정합니다.
• 암호 없는 인증 사용 안 함
  이 glide.login.no_blank_password 속성을 사용하면 사용자가 빈 암호로 Now Platform에 로그인하거나 암호 필드를 비워 둘 수 없습니다.
• OAuth 2 토큰 부여에서 ROPC(리소스 소유자 암호 자격 증명) 사용 안 함 [Security Center 7.0의 새로운 기능]
  ROPC(자원 소유자 암호 자격 증명)가 OAuth 2 토큰을 부여하지 못하도록 합니다.
• 로그인 시 암호 정책 적용 안 함[Security Center 1.5에서 업데이트되고 2.0에서 제거됨]
  인스턴스에서 암호 복잡도가 처리되는 방식을 관리합니다.
• 계정 복구 사용 [Security Center 1.3 및 1.5에서 업데이트됨]
  이 glide.sso.acr.enabled 속성은 계정 복구 기능을 제어합니다.
• 고객 등록에 CAPTCHA 사용
  고객 등록에 CAPTCHA를 활성화하여 악의적인 봇의 요청 위험을 줄입니다.
• 거부 목록 암호 확인 검사 사용
  제외된 암호 테이블에서 거부 목록 암호를 관리합니다.
• 외부 사용자 등록에 Captcha 사용 [Security Center 1.3 및 1.5에서 업데이트됨]
  외부 사용자 등록을 위해 CAPTCHA의 유효성을 검사할지 여부를 통제합니다 sn_ext_usr_reg.captchaEnabled .
• 암호 재설정에 CAPTCHA 사용
  이 password_reset.captcha.ignore 속성을 사용하여 사용자가 암호를 재설정할 때 CAPTCHA 질문 요구를 활성화하거나 비활성화합니다.
• 다단계 인증용 이메일 OTP 사용
  인스턴스에 2단계 인증을 적용하는 방법을 관리합니다.
• 암호 재설정 정책 검사 사용 [Security Center 2.0에서 업데이트됨]
  glide.enable.password_policy 속성을 사용하면 사용자가 사용자 인터페이스를 사용하여 암호를 변경할 때마다 암호 정책 검사를 활성화할 수 있습니다.
• 모바일에 대한 정책 기반 세션 액세스 사용 [Security Center 1.5의 새로운 기능]
  Zero Trust- Policy Based Session Access 플러그인을 사용하여 모바일 앱을 통해 인증하는 사용자의 역할이 축소되는지 여부를 제어합니다.
• SAML 요청에서 릴레이 상태를 활성화하여 재생 공격 방지
  SAML 요청에서 릴레이 상태를 활성화하여 재생 공격을 방지함으로써 재생 공격의 위험을 줄입니다.
• 등록 및 확인을 위한 SMS 코드 알림 사용[Security Center 1.3에서 업데이트됨]
  이password_reset.sms.use_notify 속성은 암호 재설정을 위한 SMS 코드 알림 사용을 제어합니다.
• LDAP 인증에서 SSL 사용[Security Center 1.5 및 2.0에서 업데이트됨]
  인스턴스에서 LDAP 인증 요청의 암호화를 관리합니다.
• 로그인 시 현재 암호 정책 준수 요구 사항 강제 적용
  로그인 시 현재 암호 정책 준수 요구 사항을 적용하여 무차별 암호 대입 계정 로그인의 위험을 줄입니다.
• 장치 암호화 및 암호 요구 사항 강제 적용 [Security Center 1.3의 새로운 기능]
  이 glide.sg.device_encryption_enabled 속성은 FIPS 140-2(Federal Information Processing Standard) 암호화를 적용합니다. 모바일 장치 암호화 및 암호는 장치를 물리적으로 가져온 경우에도 권한이 없는 사용자가 장치의 콘텐츠에 액세스할 수 없도록 합니다.
• 잘못된 암호 재설정 시도 제한 [Security Center 1.3에서 업데이트되고 2.0에서 업데이트됨]
  이 password_reset.request.max_attempt 옵션은 사용자가 지정된 기간 동안 잠기기 전에 암호를 재설정하거나 변경할 수 있는 최대 실패 시도 횟수를 제어하는 데 사용됩니다.
• 로그인 실패 후 잠금 해제 시간 제한 관리[Security Center 1.3에서 업데이트됨]
  사이트 관리자가 에서 잠기기 ServiceNow AI Platform전에 사용자가 잘못된 암호를 제공할 수 있는 횟수를 관리할 수 있는 두 가지 스크립트 작업을 사용할 수 있습니다. 이러한 스크립트 작업 중 하나를 활성화하여 실패한 로그인 시도를 관리할 수 있습니다.
• 실패한 로그인 잠금 해제 시간 제한 기간 최대화[Security Center 1.3에서 업데이트됨]
  사이트 관리자가 에서 잠기기 ServiceNow AI Platform전에 사용자가 잘못된 암호를 제공할 수 있는 횟수를 관리할 수 있는 두 가지 스크립트 작업을 사용할 수 있습니다. 이러한 스크립트 작업 중 하나를 활성화하여 실패한 로그인 시도를 관리할 수 있습니다.
• 암호 요청 재시도 기간 재설정 최대화 [Security Center 1.3에서 업데이트됨]
  이 password_reset.request.retry_window 속성은 암호 재설정 시도 횟수가 새로 고침되기 전의 시간(분)을 제어합니다.
• 암호 요청 잠금 해제 기간 재설정 최대화[Security Center 1.3에서 업데이트됨]
  이 password_reset.request.unlock_window 속성은 사용자가 마지막으로 성공한 계정 잠금 해제 작업 후 재설정 요청을 시작하기 위해 기다려야 하는 시간(분)을 제어합니다.
• 암호 SMS 복잡성 재설정 최대화[Security Center 1.3에서 업데이트됨]
  이 password_reset.sms.default_complexity 속성은 암호 재설정 중에 필요한 최소 필수 SMS 코드 검증 크기를 제어합니다.
• 암호 SMS 일시 중지 기간 재설정 최대화 [Security Center 1.3에서 업데이트됨]
  사용자가 새 암호 재설정 코드를 요청하기 전에 기다려야 하는 시간(분)을 관리합니다.
• 암호 확인 지연 기간 재설정 최대화[Security Center 1.3에서 업데이트됨]
  사용자가 새 암호 재설정 요청을 제출하기 전에 기다려야 하는 지연 시간(밀리초)을 구성합니다.
• 외부 사용자 등록 링크 만료 기간 최소화 [Security Center 1.3 및 1.5에서 업데이트됨]
  등록 링크에 액세스할 수 있는 일 수를 관리합니다.
• 일별 암호 최대 SMS 재설정 최소화 [Security Center 1.3에서 업데이트됨]
  사용자가 매일 검증용으로 전송하는 최대 SMS 코드 수를 관리합니다.
• 높은 보증 세션에 대한 실패한 로그인 시도 최소화
  높은 보증 세션에 대한 로그인 시도 실패를 최소화하여 무차별 암호 대입 공격의 가능성을 줄입니다.
• 암호 요청 만료 기간 재설정 최소화[Security Center 1.3에서 업데이트됨]
  사용자가 password_reset.request.expiry 암호 재설정 프로세스를 수행해야 하는 기간(분)을 나타냅니다.
• 암호 요청 성공 기간 재설정 최소화 [보안 센터 1.3에서 업데이트됨]
  이 password_reset.request.success_window 속성은 사용자가 암호를 성공적으로 재설정한 후 암호를 재설정하거나 다시 변경하기 위해 기다려야 하는 시간(분)을 제어합니다. 사용자가 지정된 기간 동안 암호를 다시 재설정할 수 없도록 차단됩니다.
• 암호 SMS 만료 기간 재설정 최소화 [Security Center 1.3에서 업데이트됨]
  SMS 코드가 만료되기 전 남은 시간(분)을 제어합니다.
• 일회성 대역 외 검증자 수명 기간 최소화 [Security Center 1.3에서 업데이트됨]
  대역 외 검증기의 기간을 관리합니다.
• SAML notBefore 또는 notOnOrAfter 제약 조건 기간 최소화[Security Center 1.3 및 1.5에서 업데이트됨]
  SAML 요청 및 응답이 유효한 것으로 간주되는 유예 기간을 추가하려면 이 속성을 구성합니다.
• 암호 재설정/변경 프로세스 중에 사용자에게 알림 [Security Center 1.5에서 제거됨]
  이속성을 사용하면 최종 사용자가 셀프 서비스 프로세스를 통해 암호를 재설정하거나 변경할 수 있습니다.
• Multifactor Setup에 허용되는 바이패스 감소
  Multifactor 설정에 허용되는 바이패스를 줄여 계정이 손상 위험에 처할 수 있는 기간을 줄입니다.
• 소개 페이지에서 자격 증명 제거
  시작 페이지의 기본 컨텐츠를 수정하여 기본 자격 증명을 제거합니다.
• 고객 서비스 애플리케이션에서 게스트 워크업 경험에 대해 captcha 필요[Security Center 1.3의 새로운 기능 및 1.5에서 업데이트됨]
  게스트 워크업 경험용 captcha는 사용자에게 captcha 확인을 완료하도록 요구하여 인증되지 않은 게스트 사용자가 예약을 생성하지 못하도록 합니다.
• 클래식 모바일 앱 UI 난독화 필요[Security Center 1.3에서 업데이트됨]
  glide.ui.m.blur_ui_when_backgrounded 백그라운드 프로세스 중에 이미지가 저장될 때 이 속성을 사용하여 스냅샷의 모든 필드를 난독 처리합니다.
• 모바일 앱 UI 난독화 필요[Security Center 1.3에서 업데이트됨]
  glide.sg.blur_ui_when_backgrounded 앱이 백그라운드에서 실행 중일 때 앱의 UI가 흐리게 표시되도록 속성을 구성합니다.
• 최소 암호 길이 설정 [보안 센터 2.2에서 업데이트됨]
  규정 준수 문제를 방지하고 무차별 암호 대입 공격의 성공 위험을 줄이기 위해 최소 암호 길이를 설정합니다.
• 1시간으로 암호 재설정 OTP 수명 설정[Security Center 2.0에서 업데이트됨]
  암호 재설정 이메일의 링크 지속 시간을 제어합니다.