Validação, limpeza e codificação

Validação, limpeza e codificação de entrada de endereços para evitar vulnerabilidades como Script entre sites (XSS), injeção de SQL e outros ataques.

Este controle garante que a validação de entrada e a codificação de saída estejam em vigor e configuradas corretamente, como codificação ou escape de dados de saída. Esta categoria também inclui verificações de itens como desserialização de objetos e validação positiva por meio de listas de permissão.

• Permitir links HTML para domínios confiáveis nos campos de descrição do módulo Espaço de impacto [Novo na Central de segurança 7,0]
  Use uma propriedade do sistema para ajudar a limpar o HTML permitido nos campos de descrições. Esta propriedade limita os links permitidos somente aos dos domínios confiáveis listados na propriedade.
• Restringir acesso à API programável GlideSystemUserSession [Atualizado na Central de segurança 1,3 e 2,0]
  A API programável GlideSystemUserSessionSandbox chamável do cliente expõe os métodos addErrorMessageNoSanitization e addInfoMessageNoSanitization do GlideSystemUserSession à área restrita JavaScript. Isso permite que todos os usuários chamem este método por meio de script.
• Desabilitar marcadores JavaScript no HTML incorporado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.security.codetag.allow_script para desabilitar o suporte para incorporação de código HTML JavaScript criado usando o marcador [code].
• Habilitar o gerenciador de segurança Java protegido [Novo na Central de segurança 1.3]
  A propriedade glide.security.manager contém o nome da classe Java do gerenciador de segurança Java atual.
• Impor a limpeza de HTML [Atualizado na Central de segurança 1.3]
  Use a propriedade com.glide.security.check_unsanitized_html para impor o comportamento de limpeza dos campos translated_html globalmente para atribuições de campo.
• Certifique-se de que a Pesquisa contextual não contenha um redirecionamento não validado [Novo na Central de segurança 7,0]
  Impedir que os resultados da Pesquisa contextual contenham links de referência fora do domínio atual com uma propriedade do sistema.
• Desabilitar AJAXEvaluate
  Use glide.script.allow.ajaxevaluate para proteger a API do sistema contra vulnerabilidades de execução de script do cliente por meio de chamadas AJAX.
• Como desativar a expansão de entidade no Analisador de fluxo de XMLDocument2 [Atualizado na Central de segurança 1.5]
  Se as personalizações não exigirem expansão de entidade, use a propriedade glide.stax.allow_entity_resolution para desabilitar completamente a expansão de entidade externa. O XML conclui a análise, mas não inclui entidades internas ou externas.
• Desabilitar url de conteúdo externo [Atualizado na Central de segurança 2,0]
  Gerencie como os metadados de link externo são usados em sua instância com o Bate-papo do Connect.
• Restringir tipos MIME para download [Atualizado na Central de segurança 1,3 e 2,0]
  A propriedade glide.ui.attachment.download_mime_types forçará a lista especificada de tipos de arquivos perigosos a ser baixada para o cliente e não exibida em linha no navegador.
• Como desabilitar o código HTML integrado [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.security.allow_codetag para desabilitar o suporte para incorporação de código HTML criado usando o marcador [code].
• Habilitar limpeza de HTML no Virtual Agent [Atualizado na Central de segurança 1,3 e 1,5]
  Use a propriedade com.glide.cs.html.sanitizer.enabled para habilitar o HTMLSanitizerService.
• Habilitar proteção de interpolação do JS Jelly
  Use a propriedade glide.ui.jelly.js_interpolation.protect para garantir que qualquer JavaScript prestes a ser executado em uma página do Jelly esteja protegido contra injeção com a ajuda da interpolação do Jelly.
• Habilitar proteção de interpolação JS Jelly para expressões aninhadas [Atualizado na Central de segurança 2,0]
  Gerencie a proteção de interpolação na sua instância.
• Impor links relativos [Atualizado na Central de segurança 1,3 e 1,5]
  Use a propriedade glide.cms.catalog_uri_relative para impor links relativos do parâmetro URI em em/ess/catalog.do.
• Impor verificação de lista de permissões de URL [Atualizado na Central de segurança 1,3, 1,5 e 2,0]
  Use glide.security.url.whitelistPropriedade do sistema para adicionar camada extra de validação para garantir se qualquer URL externa introduzida deve fazer parte dos URLs listados na inclusão.
• Escapar fórmulas do Excel [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.export.escape_formulas para impedir a injeção do Excel, também conhecida como injeção de fórmula.
• Escapar HTML nas exibições de lista [Atualizado na Central de segurança 1,3 e 1,5]
  Use a propriedade glide.ui.escape_html_list_field para forçar escapes de HTML para campos HTML em uma exibição de lista.
• Escapar JavaScript [Atualizado na Central de segurança 1,3]
  Use a propriedade glide.html.escape_script para forçar o escape de marcadores JavaScript (<script></script>) em campos HTML nas exibições de lista.
• Escapar script Jelly [Atualizado na Central de segurança 1,3 e 1,5]
  Use a propriedade glide.ui.escape_all_script para forçar o escape de todos os scripts injetados no Jelly.
• Scripts de escape no bloco de anotações [Atualizado na Central de segurança 1.3]
  Saiba como o bloco de anotações afeta a postura de segurança da sua instância e como gerenciá-lo para que scripts mal-intencionados não possam ser executados nele.
• Como fazer escapes de marcação XML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.escape_text para forçar o escape de valores XML no nível do analisador antes de transmiti-los ao navegador do cliente.
• Escapar resposta XML
  Gerencie como os escapes XML são tratados em sua instância.
• Como habilitar o Sanitizer de HTML [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.html.sanitize_all_fields para habilitar a inclusão de script HTMLSanitizer, que limpa a entrada de HTML, de acordo com os atributos das listas de exclusões e de inclusões configuradas em um script.
• Restrição de pacotes Java permitidos [Atualizado na Central de segurança 1.3]
  Configurar essas propriedades protege contra APIs perigosas expostas ao mecanismo de script.
• Nome diferenciado inicial LDAP não definido [Atualizado na Central de segurança 1,3 e removido em 2,0]
  Use esta propriedade para gerenciar o nome distinto de um registro do servidor LDAP.
• Como impor a segurança estrita de cookies de sessão [Atualizado na Central de segurança 1.3]
  Use a propriedade glide.ui.secure_cookies para exigir cookies formatados corretamente
• Minimizar limite de expansão de entidade para GlideXMLUtil programável [Atualizado na Central de segurança 1,3, 1,5 e 2,0]
  Use a propriedade glide.xmlutil.max_entity_expansion para alterar o limite máximo de expansão da entidade para um número menor.
• Impedir criação de ACL vazia [Novo na Central de segurança 2,0]
  Defina glide.security.empty_acl.popup_window.enabled Propriedade para o valor seguro de verdadeiro para bloquear tentativas de criar, atualizar ou salvar uma ACL inválida. Esta configuração também fornecerá um modelo do lado do cliente para configurar uma função ou atributo de segurança para a ACL.
• Definir tipos MIME restritos para download [Atualizado na Central de segurança 1,3, 1,5 e 2,0]
  Use glide.ui.attachment.force_download_all_mime_typesPropriedade para baixar tipos MIME e não renderizar em linha no navegador.
• Restringir tipos MIME carregados [Atualizado na Central de segurança 1,3 e 2,0]
  Use a propriedade glide.security.file.mime_type.validation para ativar a verificação de tipo MIME para uploads. Você pode habilitar (definir a propriedade como verdadeira) ou desabilitar (defini-la como falsa) a validação do tipo MIME para anexos de arquivo.
• Restringir entidades externas XML [Atualizado na Central de segurança 1,3 e 2,0]
  Certifique-se de que glide.xml.entity.whiteliste. glide.xml.entity.whitelist.enabledAs propriedades são definidas com os valores recomendados para evitar ataques de entidade externa XML (XXE).
• Exigência de validação da entidade XMLdoc2 com expansão da entidade allowlistDisable [Atualizado na Central de segurança 1.3]
  Se as personalizações não exigirem expansão de entidade, use a propriedade glide.xmlutil.max_entity_expansion para desabilitar completamente a expansão de entidade externa. O XML conclui a análise, mas não inclui entidades internas ou externas.
• Limpar todos os campos HTML traduzidos [Novo na Central de segurança 2,0]
  Saiba como configurar o. glide.translated_html.sanitize_all_fieldspara o valor seguro para garantir que todos translated_htmlOs elementos são limpos com um limpador de HTML.
• Limpar HTML nos campos de descrição do módulo Espaço de impacto [Novo na Central de segurança 7,0]
  Limpe o HTML nos campos de descrição removendo marcadores HTML que são fontes de ataques de injeção de HTML com sn_impact_common.blacklist_tags_HTML_injectionpropriedade.
• Definir uma política de segurança de conteúdo para arquivos SVG [Novo na Central de segurança 1.3]
  A propriedade com.glide.csp.self_script_src_svg adiciona a diretiva script-src none ao cabeçalho Content-Security-Policy HTTP quando Scalable Vetor Graphics (SVGs) são acessados por meio da extensão de arquivo Translation Memory Index (IIX).