Validação, limpeza e codificação

Validação, limpeza e codificação de entrada de endereços para evitar vulnerabilidades como Script entre sites (XSS), injeção de SQL e outros ataques.

Este controle garante que a validação de entrada e a codificação de saída estejam em vigor e configuradas corretamente, como codificação ou escape de dados de saída. Esta categoria também inclui verificações de itens como desserialização de objetos, área restrita quando necessário e validação positiva por meio de listas de permissões.

• Restringir o acesso à API programável GlideSystemUserSession [Atualizado na Central de segurança 1.3 e 2.0]
  A API programável GlideSystemUserSessionSandbox de cliente chamável expõe os métodos addErrorMessageNoSanitization e addInfoMessageNoSanitization de GlideSystemUserSession para a área restrita do JavaScript. Isso permite que todos os usuários chamem este método por meio de script.
• Desabilitar marcadores JavaScript no HTML incorporado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.security.codetag.allow_script para desabilitar o suporte para incorporação de código HTML JavaScript criado usando o marcador [code].
• Habilitar o gerenciador de segurança Java protegido [Novo na Central de segurança 1.3]
  A propriedade glide.security.manager contém o nome da classe Java do gerenciador de segurança Java atual.
• Impor a limpeza de HTML [Atualizado na Central de segurança 1.3]
  Use a propriedade com.glide.security.check_unsanitized_html para impor o comportamento de limpeza dos campos translated_html globalmente para atribuições de campo.
• Habilitar a área restrita de script [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.script.use.sandbox para habilitar a área restrita de script.
• Como converter imagens de e-mails recebidos em anexos [Atualizado na Central de segurança 1.3 e removido na 1.5]
  Use a propriedade glide.email.inbound.convert_html_inline_attachment_references para especificar se o e-mail de entrada deve ser convertido em HTML para que as imagens do e-mail apareçam na visualização do corpo do HTML.
• Desabilitar AJAXEvaluate
  Use glide.script.allow.ajaxevaluate para proteger a API do sistema contra vulnerabilidades de execução de script do cliente por meio de chamadas AJAX.
• Como desativar a expansão de entidade no Analisador de fluxo de XMLDocument2 [Atualizado na Central de segurança 1.5]
  Se as personalizações não exigirem expansão de entidade, use a propriedade glide.stax.allow_entity_resolution para desabilitar completamente a expansão de entidade externa. O XML conclui a análise, mas não inclui entidades internas ou externas.
• Desabilitar URL de conteúdo externo [Atualizado na Central de segurança 2.0]
  Gerencie como os metadados de link externo são usados em sua instância com o Bate-papo do Connect.
• Restringir tipos MIME para download [Atualizado na Central de segurança 1.3 e 2.0]
  A propriedade glide.ui.attachment.download_mime_types forçará a lista especificada de tipos de arquivos perigosos a ser baixada para o cliente e não exibida em linha no navegador.
• Como desabilitar o código HTML integrado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.security.allow_codetag para desabilitar o suporte para incorporação de código HTML criado usando o marcador [code].
• Habilitar o limpador de HTML no Virtual Agent [Atualizado na Central de segurança 1.3 e 1.5]
  Use a propriedade com.glide.cs.html.sanitizer.enabled para habilitar o HTMLSanitizerService.
• Habilitar proteção de interpolação do JS Jelly
  Use a propriedade glide.ui.jelly.js_interpolation.protect para garantir que qualquer JavaScript prestes a ser executado em uma página do Jelly esteja protegido contra injeção com a ajuda da interpolação do Jelly.
• Habilitar a proteção de interpolação Jelly JS para expressões aninhadas [Atualizado na Central de segurança 2.0]
  Gerencie a proteção de interpolação na sua instância.
• Impor links relativos [Atualizado na Central de segurança 1.3 e 1.5]
  Use a propriedade glide.cms.catalog_uri_relative para impor links relativos do parâmetro URI em em/ess/catalog.do.
• Impor verificação da lista de permissões de URL [Atualizado na Central de segurança 1.3, 1.5 e 2.0]
  Use a propriedade do sistema glide.security.url.whitelist para adicionar uma camada extra de validação para garantir que qualquer URL externo introduzido faça parte dos URLs da lista de inclusões.
• Escapar fórmulas do Excel [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.export.escape_formulas para impedir a injeção do Excel, também conhecida como injeção de fórmula.
• Escapar HTML em exibições de lista [Atualizado na Central de segurança 1.3 e 1.5]
  Use a propriedade glide.ui.escape_html_list_field para forçar escapes de HTML para campos HTML em uma exibição de lista.
• Escapar JavaScript [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.html.escape_script para forçar o escape de marcadores JavaScript (<script></script>) em campos HTML nas exibições de lista.
• Escapar script Jelly [Atualizado na Central de segurança 1.3 e 1.5]
  Use a propriedade glide.ui.escape_all_script para forçar o escape de todos os scripts injetados no Jelly.
• Scripts de escape no bloco de anotações [Atualizado na Central de segurança 1.3]
  Saiba como o bloco de anotações afeta a postura de segurança da sua instância e como gerenciá-lo para que scripts mal-intencionados não possam ser executados nele.
• Como fazer escapes de marcação XML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.escape_text para forçar o escape de valores XML no nível do analisador antes de transmiti-los ao navegador do cliente.
• Escapar resposta XML
  Gerencie como os escapes XML são tratados em sua instância.
• Como habilitar o Sanitizer de HTML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.html.sanitize_all_fields para habilitar a inclusão de script HTMLSanitizer, que limpa a entrada de HTML, de acordo com os atributos das listas de exclusões e de inclusões configuradas em um script.
• Restrição de pacotes Java permitidos [Atualizado na Central de segurança 1.3]
  Configurar essas propriedades protege contra APIs perigosas expostas ao mecanismo de script.
• Cancelar definição do nome diferenciado inicial do LDAP [Atualizado na Central de segurança 1.3 e removido na 2.0]
  Use esta propriedade para gerenciar o nome distinto de um registro do servidor LDAP.
• Como impor a segurança estrita de cookies de sessão [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.secure_cookies para exigir cookies formatados corretamente
• Como minimizar o limite de expansão da entidade para GlideXMLUtil programável [Atualizado na Central de segurança 1.3, 1.5 e 2.0]
  Use a propriedade glide.xmlutil.max_entity_expansion para alterar o limite máximo de expansão da entidade para um número menor.
• Impedir criação de ACL vazia [Novo na Central de segurança 2.0]
  Defina a propriedade glide.security.empty_acl.popup_window.enabled com o valor seguro verdadeiro para bloquear tentativas de criar, atualizar ou salvar uma ACL inválida. Esta configuração também fornecerá um modelo do lado do cliente para configurar uma função ou atributo de segurança para a ACL.
• Definir tipos MIME para download restritos [Atualizado na Central de segurança 1.3, 1.5 e 2.0]
  Use a propriedade glide.ui.attachment.force_download_all_mime_types para baixar tipos MIME e não renderizar em linha no navegador.
• Restringir tipos de MIME carregados [Atualizado na Central de segurança 1.3 e 2.0]
  Use a propriedade glide.security.file.mime_type.validation para ativar a verificação de tipo MIME para uploads. Você pode habilitar (definir a propriedade como verdadeira) ou desabilitar (defini-la como falsa) a validação do tipo MIME para anexos de arquivo.
• Restringir entidades XML externas [Atualizado na Central de segurança 1.3 e 2.0]
  Certifique-se de que as propriedades glide.xml.entity.whitelist e glide.xml.entity.whitelist.enabled estejam definidas com os valores recomendados para impedir ataques de entidade externa de XML (XXE).
• Exigência de validação da entidade XMLdoc2 com expansão da entidade allowlistDisable [Atualizado na Central de segurança 1.3]
  Se as personalizações não exigirem expansão de entidade, use a propriedade glide.xmlutil.max_entity_expansion para desabilitar completamente a expansão de entidade externa. O XML conclui a análise, mas não inclui entidades internas ou externas.
• Limpar todos os campos HTML traduzidos [Novo na Central de segurança 2.0]
  Aprenda a configurar a propriedade glide.translated_html.sanitize_all_fields com o valor seguro para garantir que todos os elementos translated_html sejam limpos com um limpador de HTML.
• Definir uma política de segurança de conteúdo para arquivos SVG [Novo na Central de segurança 1.3]
  A propriedade com.glide.csp.self_script_src_svg adiciona a diretiva script-src none ao cabeçalho Content-Security-Policy HTTP quando Scalable Vetor Graphics (SVGs) são acessados por meio da extensão de arquivo Translation Memory Index (IIX).