Arquitetura, design e modelagem de ameaças

Este controle amplo aborda considerações de design de alto nível e elementos-chave para implementar uma aplicação segura. Ele cobre os locatários de disponibilidade, integridade de processamento de confidencialidade, não repúdio e privacidade. Além disso, elementos de um ciclo de vida de desenvolvimento de software seguro estão incluídos.

• Autenticação baseada em certificado não imposta [Novo na Central de segurança 1.3]
  A propriedade glide.authenticate.mutual.enabled habilita a autenticação baseada em certificados, um tipo de autenticação mútua para conexões REST de entrada com as APIs REST e SOAP na ServiceNow AI Platform.
• Verificação da representação na avaliação de ACL no app de RH [Novo na Central de segurança 1.3 e atualizado na 1.5]
  Use a propriedade sn_hr_core.impersonateCheck para impedir que um usuário represente outro usuário e acesse as informações de RH dele.
• Desabilite o login local para usuários com Single Sign-on (SSO) habilitado
  Atualize os registros do usuário para desabilitar o login local para usuários com Single Sign-on (SSO) habilitado.
• Desabilitar relatórios publicados não autenticados [Atualizado na Central de segurança 2,0]
  Desative esta propriedade para impedir que o usuário publique ou acesse relatórios. Esta propriedade desabilita o recurso de emissão de relatórios publicados em relatórios.
• Impor ACLs de campo para solicitações de consulta de entrada
  Gerencie como as consultas de entrada são validadas em sua instância.
• Impor ACLs de leitura em exibições de relatório
  Gerencie como as ACLs de leitura são aplicadas em sua instância.
• Impor ACLs de consulta para links rápidos de conhecimento
  Impor ACLs de consulta para links rápidos de conhecimento usando uma propriedade do sistema.
• Impor ACLs de consulta para sublistas, contagens de lista e tabelas de dados de widget
  Impor ACLs de consulta em consultas de sublista, contagem de lista e tabela de dados de widget usando propriedades do sistema.
• Impor opção de cadeia de caracteres de consulta válida [Novo na Central de segurança 7,0]
  Use uma propriedade do sistema para garantir que qualquer valor de campo de escolha, quando passado por uma cadeia de caracteres de consulta de URL, seja uma opção ativa válida quando um registro é criado.
• Como definir endereços IP internos permitidos da ServiceNow [Atualizado na Central de segurança 1.3 e 1.5]
  Use a propriedade glide.ip.authenticate.strict para especificar intervalos de IP que podem fazer conexões de entrada em uma instância.
• Desativação do comportamento legado de JQuery [Atualizado na Central de segurança 1.3]
  O glide.jquery.legacy é usado para impedir que versões pré-patch mais antigas do JQuery sejam usadas, o que introduzirá vulnerabilidades sem patch na biblioteca.
• Desabilitar comportamento legado de Escopo GlideRecord [Novo na Central de segurança 1,3 e atualizado em 1,5 e 2,0]
  A propriedade glide.record.legacy_cross_scope_access_policy_in_script desabilita a limitação de escopo, permitindo que as aplicações com escopo acessem interfaces de script global. Ele foi criado como um patch para o acesso entre escopos do GlideRecord.
• Desabilitar o comportamento do AngularJS legado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.angular.legacy para se proteger contra possíveis riscos de segurança decorrentes de ataques a vulnerabilidades descobertas em versões desatualizadas da biblioteca do AngularJS.
• Exigir autorização da REST API do agente de dados [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.basicauth.required.databrokerrestapiprocessor para exigir autorização básica para todas as solicitações de entrada da REST API do agente de dados.
• Funcionalidade de vinculação restrita na autorização do portador do caso [Novo na Central de segurança 7,0]
  Use uma propriedade do sistema e a vinculação restrita para garantir que um token de acesso gerado usando essa entidade não possa ser usado para chamadas de IU.
• Negar por padrão com ACLs vazias [Atualizado na Central de segurança 1,3]
  Use glide.sm.default_modePropriedade para controlar o comportamento padrão do gerenciador de segurança quando ele descobre que as regras da ACL (Access Control List, lista de controle de acesso) existentes fazem parte das regras de ACL da tabela curinga.
• Definir limpeza automática de token para credenciais de token [Novo na Central de segurança 2,0]
  Use com.snc.platform.security.token.auth.cleanupPropriedade para garantir que as chaves de API expiradas e os segredos HMAC sejam excluídos, limitando assim o potencial de reutilização de token.