감사자 확인

  • 릴리스 버전: Zurich
  • 업데이트 날짜 2025년 07월 31일
  • 소요 시간: 6분

    • SecureCheck에 감사자 제품군을 사용하여 인스턴스의 보안 태세에 영향을 줄 수 있는 잘못된 구성을 탐지합니다.

    정보 확인

    표 1. 접근 제어 감사자 확인
    검사 이름 설명 스캔 찾기 유형
    오래된 스토어 앱 식별

    인스턴스에서 활성화된 앱 중 업데이트된 버전을 사용할 수 있는지 식별합니다.

    잠재적인 보안 문제에 대한 수정 사항을 포함할 수 있는 최신 버전의 스토어 애플리케이션을 실행하고 있는지 확인합니다.

    		 권장 해결
    안전하지 않은 GlideRecord 호출

    최종 사용자가 직접 호출할 수 없는 스크립트 식별(예: 클라이언트 호출 가능 스크립트 포함, 위젯, 프로세서, REST 엔드포인트)

    이러한 스크립트는 ACL을 준수하고 GlideRecordSecure 또는 GlideRecord를 canRead, canWrite, canCreate, canDelete와 함께 사용해야 합니다.

    		 권장 해결
    허용된 JavaScript 라이브러리 검토

    특정 외부 공급업체 JavaScript 라이브러리를 허용하거나 거부하는 데 JavaScript 콘텐츠 접근 제어가 사용되는 스크립트를 식별합니다.

    접근을 차단하기 전에 인스턴스 사용자 지정을 검토하여 라이브러리가 사용 중이 아닌지 확인합니다. JavaScript 컨텐츠 제공자 액세스 추적 [sys_js_content_provider_access_tracking] 테이블을 검토하여 라이브러리에 액세스한 마지막 날짜를 확인할 수 있습니다.

    주:
    Tokyo 이상에서 처음 프로비저닝된 인스턴스에서는 이 검사를 무시할 수 있습니다. 연결된 테이블의 기록에는 기본적으로 거부 규칙이 설정되어 있습니다. Tokyo 이전에 처음 프로비저닝된 인스턴스의 경우 JavaScript 접근 제어 테이블에 허용 규칙이 있을 수 있습니다.
    		 권장 해결
    해당 ACL이 없는 클라이언트 호출 가능 스크립트 포함 검토

    해당 ACL이 없는 클라이언트 호출 가능 스크립트 포함을 식별합니다. 이러한 스크립트는 기본("*") 클라이언트 호출 가능 스크립트 포함 ACL을 사용합니다.

    이러한 스크립트의 경우 예상되는 사용자만 제공된 기능과 상호작용할 수 있도록 적절한 접근 기준을 정의하는 ACL을 생성합니다.

    		 권장 해결
    기록 생성자가 있고 비즈니스 규칙이 없는 사용자 지정 테이블 검토

    추가 서버 쪽 확인이 없는 기록 생성자를 식별합니다. 이 검사는 기록 생성자가 있지만 연결된 비즈니스 규칙이 없는 사용자 지정 테이블을 식별합니다.

    이로 인해 사용자가 예기치 않은 데이터를 관련 테이블로 제출할 수 있습니다.

    		 권장 해결
    빈 ACL 검토

    스크립트, 조건, 보안 속성, 역할이 없는 ACL 기록이나 공용 역할의 ACL을 식별합니다.

    ACL을 비워 두거나 public 역할을 사용하면 이 ACL로 보호되는 모든 콘텐츠에 대한 공개 액세스가 제공됩니다.

    		 권장 해결
    HTML 위생이 비활성화된 필드 검토

    HTML 위생화가 비활성 상태인 HTML 필드를 식별합니다.

    HTML 위생은 HTML 코드 내에서 잠재적으로 유해한 요소와 속성을 제거하거나 대체합니다. 위생이 비활성 상태인 HTML 필드를 검토하여 이 구성이 필요한지 확인합니다.

    		 권장 해결
    비활성 보안 기능 플러그인 검토

    구성 가능한 추가 보안 제어를 제공하는 활성화되지 않은 플러그인을 식별합니다. 이 검사에서 생성된 결과는 정보 제공의 목적으로 제공됩니다.

    식별된 플러그인 중 하나를 활성화하기 전에 플러그인이 사용 사례 또는 요구 사항을 충족하는지 확인하십시오. 식별된 사용 사례가 없는 경우 이러한 결과를 음소거할 수 있습니다.

    		알림
    허용되는 큰 IP 주소 범위 검토

    많은 수의 IP 주소를 포함하는 IP 주소 액세스 제어 범위를 식별합니다.

    주:

    많은 수의 가양성이 표시되는 경우 특정 비즈니스 요구 사항에 맞게 largestExpectedCIDRBlock 변수를 조정하는 것이 좋습니다.

    CIDR(Classless Inter-Domain Routing) 블록에는 IP 주소가 감소할수록 더 많은 양의 IP 주소가 포함됩니다. 예를 들어, CIDR 블록 크기 8은 CIDR 블록 크기 16보다 큽니다(더 많은 IP 주소 포함).

    검토하고 현재 구성이 비즈니스 요구에 맞는지 확인합니다.

    		 검토 및 결정
    공개 GraphQL 스키마 검토

    GraphQL API [sys_graphql_schema] 테이블에서 공용 GraphQL 스키마를 식별합니다.

    이러한 스키마는 인증 없이 사용할 수 있도록 구성할 수 있습니다. 엔드포인트의 기능에 따라 인증되지 않은 사용자가 예기치 않은 작업을 수행하거나 예기치 않은 데이터와 상호 작용할 수 있습니다.

    		 검토 및 결정
    공개 지식베이스 문서 검토

    지식베이스 및 지식베이스 식별인증되지 않은 사용자가 액세스할 수 있도록 구성된 문서입니다.

    검토하고 현재 구성이 비즈니스 요구에 맞는지 확인합니다.

    		 검토 및 결정
    공용 REST API 엔드포인트 검토

    인증 없이 사용할 수 있도록 구성된 스크립팅된 REST 자원[sys_ws_operation] 테이블에서 REST API 엔드포인트를 식별합니다.

    엔드포인트의 기능에 따라 인증되지 않은 사용자가 예기치 않은 작업을 수행하거나 예기치 않은 데이터와 상호 작용할 수 있습니다.

    		 검토 및 결정
    공용 서비스 포털 페이지 검토

    공개된 서비스 포털 페이지를 식별합니다. "공개" 필드를 "true"로 설정하면 인증되지 않은 사용자가 서비스 포털 페이지를 사용할 수 있습니다.

    검토하고 현재 구성이 비즈니스 요구에 맞는지 확인합니다.

    		 검토 및 결정
    공개 UI 페이지 검토

    공개된 UI 페이지를 식별합니다. [sys_public] 페이지를 사용하여 인증되지 않은 사용자에게 UI 페이지를 제공할 수 있습니다.

    검토하고 현재 구성이 비즈니스 요구에 맞는지 확인합니다.

    		 검토 및 결정
    "admin" 역할이 포함된 역할 검토

    관리자 역할을 포함하는 역할(역할 [sys_user_role] 테이블)을 식별합니다.

    관리자 역할은 사용자에게 관리 권한을 부여하며 필요한 경우에만 사용해야 합니다. 검토하고 현재 구성이 비즈니스 요구에 맞는지 확인합니다. 의도적인 구성인 경우 이 검사를 음소거할 수 있습니다.

    		 검토 및 결정
    해당 ACL 없이 UI 페이지 검토

    해당 UI 페이지에 대한 ACL이 없는 UI 페이지를 식별합니다.

    특정 ACL이 없는 UI 페이지는 기본적으로 일반 UI 페이지 ACL 로 설정되어 의도하지 않은 사용자에게 액세스 권한을 부여할 수 있습니다.

    		 권장 해결
    유효한 로컬 암호를 사용하는 사용자 검토

    로컬에서 설정된 암호로 사용자를 식별합니다.

    로컬 암호를 사용하는 사용자는 로컬 로그인이 허용되지 않아도 로컬 자격 증명을 사용하여 API를 통해 인스턴스와 상호작용할 수 있습니다. 이 암호 구성은 통합 사용자 계정이 올바르게 작동하는 데 필요합니다.

    이러한 사용자 계정을 검토하여 의도한 사용자(예: 통합 계정)만 로컬 인증을 사용하여 인증할 수 있는지 확인합니다.

    		 검토 및 결정
    오래된 해싱 알고리즘으로 저장된 비밀번호 순환

    현재 레거시 또는 오래된 해시 알고리즘으로 간주되는 알고리즘을 사용했을 수 있는 이전 버전의 에서 ServiceNow AI Platform생성된 암호를 사용하여 사용자 계정을 식별합니다.

    암호를 순환하지 않은 이전 플랫폼 버전에서 생성된 계정에는 레거시 해싱 알고리즘으로 저장된 암호가 여전히 있을 수 있습니다. 생성된 식별된 계정을 검토하고 암호 재설정을 고려합니다.

    		 권장 해결
    기록 생성자 확보 중

    안전하지 않은 기록 생성자를 식별합니다.

    적절한 역할에 할당되지 않은 경우 권한 없는 사용자가 액세스하여 중요한 정보가 노출될 수 있습니다. 기록 생성자에 적절한 역할을 할당하여 필요한 사용자만 액세스할 수 있도록 합니다.

    		 권장 해결
    UI 작업 표시 여부

    테이블에 대한 읽기 권한이 없는 역할이 없는 사용자가 액세스할 수 있는 UI 작업을 식별합니다.

    이러한 사용자는 이러한 UI 작업을 통해 액세스할 수 없는 테이블의 데이터를 변경할 수 있습니다. UI 작업은 영향을 받는 테이블에 액세스할 수 있는 사용자만 사용할 수 있는지 확인합니다.

    		 권장 해결