Gestão de sessões (proteção de segurança da instância)

O Gestão de sessões ajuda a identificar corretamente o tráfego que pertence a um usuário específico. Tome precauções para garantir que não haja abuso do relacionamento de confiança.

As aplicações s da Web podem criar sessões para rastrear usuários anônimos após a primeira solicitação do usuário. Um exemplo seria manter a preferência de idioma do usuário, garantindo:

• Identificação do usuário em todas as solicitações subsequentes.
• Aplicação de controles de acesso de segurança.
• Autorização de acesso aos dados privados do usuário.
• Aumento da usabilidade da aplicação.

Portanto, as aplicações da Web atuais podem fornecer recursos de sessão de pré e pós-autenticação.

Autenticação e Gestão de sessões

Autenticação é o processo de verificar se um indivíduo, entidade ou site é quem afirma ser.

A autenticação tenta verificar a identidade digital do remetente de uma comunicação. Testar o esquema de autenticação significa entender como o processo de autenticação funciona e usar essas informações para contornar o mecanismo de autenticação. Um exemplo comum é o processo de login. A autenticação ocorre após o envio de um nome de usuário, ID de usuário e um ou mais itens de informações privadas que somente o usuário conheceria.

O Gestão de sessões inclui propriedades relacionadas à segurança que um administrador pode configurar para garantir que os mecanismos de gerenciamento de sessão seguro sejam estabelecidos na Now Platform.

• Tempo limite absoluto da sessão (proteção de segurança da instância)
  Use a propriedade glide.ui.user_cookie.max_life_span_in_days para definir uma duração máxima para os cookies de usuários criados quando os usuários fazem login com a caixa de seleção Lembrar-me selecionada. Quando o cookie expirear, os usuários que tiverem selecionado a caixa de seleção Lembrar-me serão forçados a se reautenticar na instância.
• Token anti-CSRF (proteção de segurança da instância)
  Use a propriedade glide.security.use_csrf_token para garantir o uso de um token seguro para identificar e validar solicitações de entrada, que por sua vez são usadas para impedir esses ataques.
• Alterar credenciais padrão (proteção de segurança da instância)
  Use a caixa de seleção A senha precisa ser redefinida em Usuários e grupos para garantir que um usuário ilegítimo não possa tirar proveito dos dados padrão.
• Cookies somente HTTP (proteção de segurança da instância)
  Use a propriedade glide.cookies.http_only para habilitar o atributo HTTPOnly para cookies confidenciais.
• Validação estrita de CSRF (proteção de segurança da instância)
  Use a propriedade glide.security.csrf.strict.validation.mode para habilitar a validação estrita do token CSRF. Se o token CSRF não corresponder, impedirá o reenvio da solicitação.
• Desabilitar autenticação sem senha (proteção de segurança da instância)
  Use a propriedade glide.login.no_blank_password para impedir que os usuários efetuem login na Now Platform com senhas em branco ou deixando o campo Senha vazio.
• Habilitar autenticação multifator (MFA) (proteção de segurança da instância)
  Use a propriedade glide.authenticate.multifactor para habilitar a autenticação multifator (MFA) na instância. A MFA é um requisito de segurança que requer que um usuário insira mais de um conjunto de credenciais para autenticar em uma instância.
• Definir critérios de autenticação multifator baseados em função
  Use a propriedade glide.authenticate.multifactor para impor a MFA (multi-factor authentication, autenticação multifator) baseada em função para todos os usuários atribuídos a funções específicas.
• Habilitar verificações da política de Redefinição de senha (proteção de segurança da instância)
  Use a propriedade glide.enable.password_policy para habilitar verificações de política de senha sempre que um usuário mudar a senha usando a interface do usuário.
• Gerenciamento de tentativas de login com falha (proteção de segurança da instância)
  Há duas ações de script disponíveis que permitem a um administrador de site gerenciar o número de vezes que um usuário pode fornecer uma senha incorreta antes de ser bloqueado na Now Platform. Você pode habilitar qualquer uma dessas ações de script para gerenciar tentativas de login sem êxito.
• Preenchimento automático do campo de senha (proteção de segurança da instância)
  Use a propriedade glide.login.autocomplete para permitir que navegadores usem o preenchimento automático em campos de senha de formulários de login.
• Remover credenciais da página de boas-vindas (proteção de segurança da instância)
  Modifique o conteúdo padrão na página de boas-vindas para remover as credenciais padrão.
• Remover a opção Lembrar-me (proteção de segurança da instância)
  Use a propriedade glide.ui.forgetme para remover a caixa de seleção Lembrar-me da página de login para impedir que as informações de login sejam armazenadas em cache.
• Rotação de identificadores de sessão HTTP (proteção de segurança da instância)
  Use a propriedade glide.ui.rotate_sessions para habilitar a rotação dos identificadores de sessão HTTP para reduzir vulnerabilidades de segurança.
• Cookies de sessão segura (proteção de segurança da instância)
  Use a propriedade glide.ui.secure_cookies para exigir cookies formatados corretamente
• Política de referência de segurança (proteção de segurança da instância)
  Use a propriedade com.glide.security.referrerpolicy para controlar quais dados de referenciador devem ser enviados em cabeçalhos de resposta HTTP quando as páginas Now Platform enviam solicitações de dados. O valor de Política de referência em um cabeçalho HTTP controla quais informações de referência devem ser incluídas nas solicitações de dados.
• Tempo limite da atividade da sessão (proteção de segurança da instância)
  Use a propriedade glide.ui.session_timeout para designar, em minutos, o valor do tempo limite da atividade.
• Tempo limite da janela da sessão (proteção de segurança da instância)
  Use a propriedade glide.ui.user_cookie.life_span_in_days para definir o período de expiração do cookie Lembrar-me. O valor padrão é 15 dias e o limite máximo é de 30 dias.
• Configurar senhas para contas de usuário criadas automaticamente
  Use as propriedades do sistema glide.email.inbound.use_default_password e glide.user.default_password para definir como criar senhas para novos usuários criados a partir de e-mails de entrada.

Referência relacionada

• Controle de acesso (proteção de segurança da instância)
• Anexos (proteção de segurança da instância)
• Segurança de e-mail (proteção de segurança da instância)
• Validação de entrada (proteção de segurança da instância)
• Comunicações seguras (proteção de segurança da instância)
• Práticas recomendadas de segurança (proteção de segurança da instância)
• Lista de inclusões de segurança (proteção da segurança da instância)