확인, 삭제 및 인코딩

유효성 검사, 삭제 및 인코딩은 XSS(교차 사이트 스크립팅), SQL 주입 및 기타 공격과 같은 취약성을 방지하기 위한 입력 유효성 검사를 해결합니다.

이 제어를 통해 입력 유효성 검사 및 출력 인코딩이 제대로 구성됩니다(예: 인코딩 또는 출력 데이터 이스케이프). 이 범주에는 허용 목록을 통한 객체 역직렬화 및 긍정 확인과 같은 항목에 대한 검사도 포함됩니다.

• Impact 작업 공간 모듈의 설명 필드에 신뢰할 수 있는 도메인에 대한 HTML 링크 허용[Security Center 7.0의 새로운 기능]
  시스템 속성을 사용하여 설명 필드에 허용되는 HTML을 정리할 수 있습니다. 이 속성은 허용되는 링크를 속성에 나열된 신뢰할 수 있는 도메인의 링크로만 제한합니다.
• GlideSystemUserSession 스크립팅 가능한 API에 대한 접근 제한 [보안 센터 1.3 및 2.0에서 업데이트됨]
  클라이언트 호출 가능 GlideSystemUserSessionSandbox 스크립트 가능 API는 GlideSystemUserSession의 addErrorMessageNoSanitization 및 addInfoMessageNoSanitization 메서드를 JavaScript 샌드박스에 노출합니다. 이렇게 하면 모든 사용자가 스크립트를 통해 이 메서드를 호출할 수 있습니다.
• 임베디드 HTML에 JavaScript 태그 사용 안 함[Security Center 1.3에서 업데이트됨]
  이 glide.ui.security.codetag.allow_script 속성을 사용하여 [code] 태그를 사용하여 만든 HTML JavaScript 코드를 포함하기 위한 지원을 비활성화합니다.
• 강화된 Java 보안 관리자 사용 [Security Center 1.3의 새로운 기능]
  이 glide.security.manager 특성은 현재 Java 보안 관리자의 Java 클래스 이름을 포함합니다.
• HTML 위생화 강제 적용[Security Center 1.3에서 업데이트됨]
  이 com.glide.security.check_unsanitized_html 속성을 사용하여 필드 할당을 위해 전역 수준에서 translated_html 필드의 정리 동작을 적용합니다.
• Contextual Search에 확인되지 않은 리디렉션이 포함되어 있지 않은지 확인[Security Center 7.0의 새로운 기능]
  컨텍스트 검색 결과에 시스템 속성이 있는 현재 도메인 외부의 추천 링크가 포함되지 않도록 합니다.
• AJAXEvaluate 사용 안 함
  를 glide.script.allow.ajaxevaluate 사용하여 AJAX 호출을 통한 클라이언트 스크립트 실행의 취약성으로부터 시스템 API를 보호합니다.
• XMLDocument2 스트리밍 파서 내에서 엔터티 확장 사용 안 함 [Security Center 1.5에서 업데이트됨]
  커스터마이제이션에 엔터티 확장이 필요하지 않은 경우 이 glide.stax.allow_entity_resolution 속성을 사용하여 외부 엔터티 확장을 완전히 비활성화합니다. XML은 구문 분석을 완료하지만 내부 또는 외부 엔터티는 포함하지 않습니다.
• 외부 콘텐츠 URL 사용 안 함[Security Center 2.0에서 업데이트됨]
  커넥트 채팅을 통해 인스턴스에서 외부 링크 메타데이터를 사용하는 방법을 관리합니다.
• 다운로드 가능한 MIME 유형 제한 [Security Center 1.3 및 2.0에서 업데이트됨]
  이 glide.ui.attachment.download_mime_types 속성은 위험한 파일 형식의 지정된 목록을 클라이언트에 다운로드하고 브라우저에서 인라인으로 않도록 합니다.
• 내장된 HTML 코드 사용 안 함[Security Center 1.3에서 업데이트됨]
  이 glide.ui.security.allow_codetag 속성을 사용하여 [code] 태그를 사용하여 만든 HTML 코드를 포함하기 위한 지원을 비활성화합니다.
• 가상 에이전트 내에서 HTML 위생 검사 사용 [Security Center 1.3 및 1.5에서 업데이트됨]
  com.glide.cs.html.sanitizer.enabled 속성을 사용하여 HTMLSanitizerService를 사용하도록 설정합니다.
• Jelly JS 보간 보호 사용
  이 glide.ui.jelly.js_interpolation.protect 속성을 사용하여 Jelly 페이지에서 실행될 JavaScript가 Jelly 보간을 통해 삽입으로부터 보호되도록 합니다.
• 중첩 식에 대해 Jelly JS 보간 보호 사용 [Security Center 2.0에서 업데이트됨]
  인스턴스에서 보간 보호를 관리합니다.
• 상대 링크 적용[Security Center 1.3 및 1.5에서 업데이트됨]
  이 glide.cms.catalog_uri_relative 속성을 사용하여 /ess/catalog.do에 URI 매개변수의 상대 링크를 적용합니다.
• URL 허용 목록 검사 강제 적용[Security Center 1.3, 1.5 및 2.0에서 업데이트됨]
  glide.security.url.whitelist 시스템 속성을 사용하여 유효성 확인 계층을 추가하여 도입된 외부 URL이 포함 목록 URL의 일부여야 하는지 여부를 확인합니다.
• 이스케이프 Excel 수식 [Security Center 1.3에서 업데이트됨]
  이 glide.export.escape_formulas 속성을 사용하여 수식 주입이라고도 하는 Excel 주입을 방지합니다.
• 목록 뷰에서 HTML 이스케이프 [Security Center 1.3 및 1.5에서 업데이트됨]
  이 glide.ui.escape_html_list_field 속성을 사용하여 목록 뷰에서 HTML 필드에 대해 HTML 이스케이프를 강제 적용합니다.
• 이스케이프 JavaScript [Security Center 1.3에서 업데이트됨]
  이 glide.html.escape_script 속성을 사용하여 목록 뷰 중에 HTML 필드의 JavaScript(<script></script>) 태그에서 강제로 이스케이프합니다.
• 이스케이프 Jelly 스크립트[Security Center 1.3 및 1.5에서 업데이트됨]
  이 glide.ui.escape_all_script 속성을 사용하여 Jelly에 주입된 모든 스크립트를 강제로 이스케이프합니다.
• 스크래치패드의 이스케이프 스크립트[Security Center 1.3에서 업데이트됨]
  스크래치패드가 인스턴스의 보안 태세에 어떤 영향을 미치는지, 그리고 악성 스크립트가 실행되지 않도록 스크래치패드를 관리하는 방법을 알아봅니다.
• 이스케이프 XML 마크업 [Security Center 1.3에서 업데이트됨]
  이 glide.ui.escape_text 속성을 사용하여 파서 수준에서 XML 값을 강제로 이스케이프한 후 클라이언트의 브라우저로 전송합니다.
• 이스케이프 xml 응답
  인스턴스에서 XML 이스케이프가 처리되는 방식을 관리합니다.
• HTML 위생 검사 사용 [Security Center 1.3에서 업데이트됨]
  이 glide.html.sanitize_all_fields 속성을 사용하여 스크립트에 구성된 제외 목록 및 포함 목록 속성을 기반으로 HTML 입력을 삭제하는 HTMLSanitizer 스크립트 포함을 활성화합니다.
• 허용된 Java 패키지 제한 [Security Center 1.3에서 업데이트됨]
  이러한 속성을 구성하면 위험한 API가 스크립팅 엔진에 노출되는 것을 방지할 수 있습니다.
• LDAP 초기 고유 이름 설정 해제 [Security Center 1.3에서 업데이트되고 2.0에서 제거됨]
  이 속성을 사용하여 LDAP 서버 기록의 고유 이름을 관리합니다.
• 세션 쿠키의 엄격한 보안 적용[Security Center 1.3에서 업데이트됨]
  glide.ui.secure_cookies 속성을 사용하여 올바른 형식의 쿠키 요구
• GlideXMLUtil 스크립트에 대한 엔터티 확장 임계치 최소화[Security Center 1.3, 1.5 및 2.0에서 업데이트됨]
  glide.xmlutil.max_entity_expansion 이 속성을 사용하여 최대 엔터티 확장 제한을 더 작은 숫자로 변경합니다.
• 빈 ACL 생성 방지[Security Center 2.0의 새로운 기능]
  잘못된 ACL을 생성, 업데이트 또는 저장하려는 시도를 glide.security.empty_acl.popup_window.enabled 차단하려면 속성을 보안 값인 예로 설정합니다. 이 설정은 ACL에 대한 역할 또는 보안 특성을 구성하는 클라이언트 쪽 모델도 제공합니다.
• 제한된 다운로드 가능한 MIME 유형 정의[Security Center 1.3, 1.5 및 2.0에서 업데이트됨]
  이 glide.ui.attachment.force_download_all_mime_types 속성을 사용하여 MIME 유형을 다운로드하고 브라우저에서 인라인으로 렌더링하지 않습니다.
• 업로드된 MIME 유형 제한 [Security Center 1.3 및 2.0에서 업데이트됨]
  glide.security.file.mime_type.validation 이 속성을 사용하여 업로드에 대한 MIME 유형 검사를 활성화합니다. 파일 첨부에 대한 MIME 형식 확인을 활성화( true로 설정)하거나 비활성화( false로 설정)할 수 있습니다.
• XML 외부 엔터티 제한 [Security Center 1.3 및 2.0에서 업데이트됨]
  및 glide.xml.entity.whitelist.enabled 속성이 권장 값으로 설정되어 XXEglide.xml.entity.whitelist(XML 외부 엔터티) 공격을 방지해야 합니다.
• allowlistDisable 엔터티 확장으로 XMLdoc2 엔터티 유효성 검사 필요[Security Center 1.3에서 업데이트됨]
  커스터마이제이션에 엔터티 확장이 필요하지 않은 경우 이 glide.xmlutil.max_entity_expansion 속성을 사용하여 외부 엔터티 확장을 완전히 비활성화합니다. XML은 구문 분석을 완료하지만 내부 또는 외부 엔터티는 포함하지 않습니다.
• 번역된 모든 HTML 필드 삭제 [Security Center 2.0의 새로운 기능]
  모든 translated_html 요소가 HTML 위생 검사로 삭제되도록 속성을 secure 값으로 구성하는 glide.translated_html.sanitize_all_fields 방법을 알아봅니다.
• Impact 작업 공간 모듈의 설명 필드에서 HTML 정리[Security Center 7.0의 새로운 기능]
  속성으로 HTML 삽입 공격의 소스인 HTML 태그를 제거하여 설명 필드에서 HTML을 정리합니다 sn_impact_common.blacklist_tags_HTML_injection .
• svg 파일에 대한 안전한 콘텐츠 보안 정책 설정 [Security Center 1.3의 새로운 기능]
  이 com.glide.csp.self_script_src_svg 속성은 IIX(Translation Memory Index) 파일 확장자를 통해 SVG(Scalable Vector Graphics)에 액세스할 때 HTTP Content-Security-Policy 헤더에 script-src none 지시문을 추가합니다.