Configurações de proteção

. ServiceNow O conteúdo das configurações de proteção da Central de segurança (SSC) contém descrições detalhadas e valores de conformidade para as propriedades do sistema relacionadas à segurança e plug-ins no ServiceNow AI Platform. Você pode definir essas propriedades usando o app de configurações de proteção na Central de segurança.

Visão geral e finalidade

A Central de segurança calcula uma pontuação de conformidade diária, expressa como uma porcentagem que é baseada na conformidade das configurações de segurança da instância atuais com os valores de conformidade nas configurações de proteção da Central de segurança.

Você pode gerenciar as definições de configuração de segurança específicas que podem afetar a pontuação da sua instância diretamente da Central de segurança.

As configurações de proteção são explicadas com vários atributos descritos na tabela.

Tabela 1. Detalhes da configuração das configurações de proteção

Atributo da configuração	Descrição
Visão geral	Fornece uma visão geral de alto nível da recomendação.
Nome da configuração	A propriedade ou o nome do plug-in.
Tipo de configuração	Descreve onde a propriedade pode ser configurada fora da Central de Segurança, como nas propriedades do sistema (sys_properties_list.do).
Tipo de dados	Descreve o tipo de valor necessário para a configuração. Os exemplos são booliano verdadeiro/falso, instalação, plug-in, cadeia de caracteres etc.
Valor recomendado	O valor recomendado pela Central de Segurança para aprimorar a conformidade de segurança em sua instância.
Valor-padrão	O valor para o qual a configuração está definida no sistema de base.
Categoria	O nome e o link para a categoria da configuração de proteção.
Risco à segurança	Pontuação de gravidade: a pontuação indica o possível risco de segurança para sua instância de acordo com a probabilidade de a vulnerabilidade ser explorada. A vulnerabilidade de segurança é considerada e pontuada individualmente usando a pontuação do CVSS (Sistema de Pontuação de Vulnerabilidade Comum) em uma escala que varia de 0,0 a 10,0. Consulte https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator para obter informações adicionais.
	Classificação de gravidade por pontuação do CVSS: Crítico: 9,0-10,0 Alta: 7,0-8,9 Médio: 4,0-6,9 Baixo: 0,01-3,9 Nenhum: 0,0
	Detalhes do risco de segurança: descreve a importância da configuração de definição e o risco de não utilizar a configuração recomendada.
Dependências e pré-requisitos	Configurações relacionadas ou configurações que são necessárias antes ou em conjunto com a configuração de proteção.
Impacto funcional	O impacto desta configuração de proteção sobre a operação da sua instância.
Referências	Links para a documentação de configuração ou outras informações úteis.

Nota:

Algumas das configurações só podem ser concluídas por Suporte e atendimento ao cliente e serão indicadas como tal.

Para saber mais sobre como garantir que suas instâncias atendam aos requisitos de proteção, consulte Proteção de segurança.

Outros recursos

Para referência do usuário, a ServiceNow AI Platform mantém informações abrangentes sobre os recursos de configuração na documentação do produto. Você pode acessar a maior parte do conteúdo de segurança usando os links encontrados em Proteja sua instância. Além disso, consulte o seguinte:

• Propriedades do sistema disponíveis
• Propriedades de configurações de segurança gerais
• Configurações de alta segurança

• Versões de linha de base das configurações de proteção
  Explore como as versões de linha de base para configurações de proteção se alinham com as versões da família e da loja.
• Controle de acesso
  A categoria de controle de acesso audita o processo de proteção de recursos contra acesso não autorizado por meio de solicitações de concessão e negação com base em um modelo de permissão. Isso inclui garantir que uma entidade que acesse um recurso tenha credenciais válidas para isso, criando e protegendo um conjunto bem definido de funções ou permissões e garantindo que os controles de função ou permissão sejam protegidos contra reprodução e adulteração.
• API e serviço Web
  A categoria API e serviço Web garante que as aplicações tenham autenticação, autorização e gestão de sessão apropriadas, validem todas as entradas que ultrapassam um limite de confiança e incluam controles de segurança para todos os tipos de API.
• Arquitetura, design e modelagem de ameaças
  Este controle amplo aborda considerações de design de alto nível e elementos-chave para implementar uma aplicação segura. Ele cobre os locatários de disponibilidade, integridade de processamento de confidencialidade, não repúdio e privacidade. Além disso, elementos de um ciclo de vida de desenvolvimento de software seguro estão incluídos.
• Autenticação
  A categoria de autenticação cobre os principais elementos da autenticação moderna para confirmar que uma entidade e suas declarações são autênticas e corretas, resistentes à representação e impedem a interceptação de senhas.
• Lógica de Negócios
  Esta categoria analisa a lógica e o fluxo exclusivos de cada aplicação com princípios gerais de segurança. Garanta especificamente que a sequência pretendida do fluxo de lógica de negócios não possa ser ignorada, que existam limites para detectar e impedir ataques automatizados e que existam proteções contra falsificação, adulteração, divulgação de informações e ataques de elevação de privilégio.
• Comunicação
  Este controle garante a criptografia apropriada usando algoritmos e cifras fortes. Isso inclui garantir que a versão recomendada do TLS seja usada para conectividade do cliente, uso de pacotes de criptografia robustos, uso de certificados confiáveis e assinados, garantia de que as conexões sejam criptografadas entre os componentes e o registro em log de falhas de conexão.
• Configuração
  A categoria Configuração garante que as aplicações tenham um ambiente de build seguro e componentes de biblioteca de terceiros protegidos. Especificamente, garante que um pipeline de build e implantação seja repetível e inclua testes automatizados e evite que problemas de segurança conhecidos sejam implantados. Isso inclui manter as dependências atualizadas e livres de vulnerabilidades conhecidas.
• Proteção de dados
  A categoria de proteção de dados aborda os elementos de CIA (Confidentiality, Integrity and Availability, Confidencialidade, integridade e disponibilidade) de dados.
• Manipulação de erros e registro em log
  A categoria de manipulação de erros e registro em log trata da qualidade e do detalhamento das informações registradas em log para as partes interessadas.
• Arquivo e recursos
  A categoria de arquivos e recursos garante que as aplicações manipulem dados de arquivos não confiáveis com segurança e armazenem dados não confiáveis de fontes não confiáveis com permissões limitadas em um local apropriado.
• Código mal-intencionado
  A categoria Código mal-intencionado garante que sejam feitos os melhores esforços para confirmar que seu código está livre de vulnerabilidades e funcionalidades indesejadas.
• Gestão de sessões
  Esta categoria analisa a segurança do estado da aplicação para um usuário. As sessões devem ser exclusivas para cada indivíduo, não podendo ser adivinhadas ou compartilhadas e devem ser invalidadas após períodos de inatividade ou quando não forem necessárias. Isso inclui fatores como atributos de cookie para sessões baseadas em cookie, geração de token de sessão e armazenamento e requisitos para reautenticação federada.
• Criptografia armazenada
  Esta categoria enfoca a criptografia de dados armazenados. Ela engloba vários aspectos importantes, como empregar algoritmos e módulos criptográficos estabelecidos, garantir a geração apropriada de valores pseudoaleatórios, implementar criptografia com base na classificação de dados e armazenar e isolar com segurança o material da chave.
• Validação, limpeza e codificação
  Validação, limpeza e codificação de entrada de endereços para evitar vulnerabilidades como Script entre sites (XSS), injeção de SQL e outros ataques.