Verificações do auditor

  • Versão de lançamento: Zurich
  • Atualizado 31 de jul. de 2025
  • 6 min. de leitura

    • Use o pacote Auditor para SecureCheck para detectar erros de configuração que podem afetar a postura de segurança da sua instância.

    Verifique as informações

    Tabela 1. Verificações do auditor de controles de acesso
    Verificar nome Descrição Tipo de descoberta de verificação
    Identificar apps da loja desatualizados

    Identifica apps ativados em sua instância que têm versões atualizadas disponíveis.

    Verifique se você está executando as versões mais atualizadas dos aplicativos da loja, que podem incluir correções para possíveis problemas de segurança.

    		 Resolução recomendada
    Chamadas GlideRecord inseguras

    Identifica scripts que podem ser invocados diretamente pelos usuários finais (como Inclusões de script chamável pelo cliente, Widgets, Processadores, endpoints REST)

    Esses scripts devem respeitar as ACLs e usar GlideRecordSecure ou GlideRecord com canRead, canWrite, canCreate, canDelete.

    		 Resolução recomendada
    Revise as bibliotecas JavaScript permitidas

    Identifica scripts em que o Controle de acesso ao conteúdo JavaScript é usado para permitir ou negar bibliotecas JavaScript específicas de terceiros.

    Revise as personalizações da instância para verificar se as bibliotecas não estão em uso antes de bloquear o acesso. A tabela Acompanhamento de acesso do provedor de conteúdo JavaScript [sys_js_content_provider_access_tracking] pode ser revisada para ver a última data em que a biblioteca foi acessada.

    Nota:
    Esta verificação pode ser ignorada em instâncias provisionadas inicialmente em Tóquio ou posteriormente. Os registros na tabela associada têm regras de negação definidas por padrão. Em instâncias provisionadas inicialmente antes de Tóquio, pode haver regras de permissão nas tabelas de Controle de acesso JavaScript.
    		 Resolução recomendada
    Revise as inclusões de script chamável do cliente sem ACL correspondente

    Identifica inclusões de script chamável do cliente que não têm uma ACL correspondente. Esses scripts usam a ACL de inclusão de script chamável do cliente padrão ("*").

    Para esses scripts, crie ACLs que definam os critérios apropriados de acesso para verificar se somente os usuários esperados podem interagir com a funcionalidade fornecida.

    		 Resolução recomendada
    Revise tabelas personalizadas com produtores de registro e nenhuma regra de negócio

    Identifica produtores de registro que não têm validação adicional do lado do servidor. Esta verificação identifica tabelas personalizadas com um Produtor de registro, mas sem uma regra de negócios associada.

    Isso pode permitir que os usuários enviem dados inesperados para a tabela associada.

    		 Resolução recomendada
    Revise ACLs vazias

    Identifica registros de ACL que não têm script, condição, atributo de segurança ou função ou ACLs com público função.

    Deixando ACLs em branco ou usando público A função fornece acesso aberto a qualquer conteúdo protegido por esta ACL.

    		 Resolução recomendada
    Revise os campos com a Limpeza de HTML desabilitada

    Identifica campos HTML em que Limpeza de HTML está inativo.

    A limpeza de HTML remove ou substitui elementos e atributos potencialmente prejudiciais no código HTML. Revise os campos HTML em que a limpeza está inativa para confirmar se esta configuração é necessária.

    		 Resolução recomendada
    Revise os plug-ins de recursos de segurança inativos

    Identifica plug-ins que não estão ativados que fornecem controles de segurança adicionais configuráveis. As descobertas produzidas por esta verificação são fornecidas para fins informativos.

    Antes de habilitar um dos plug-ins identificados, verifique se o plug-in atende aos seus casos de uso ou requisitos. Você pode silenciar essas descobertas se não tiver um caso de uso para o identificado.

    		Informar
    Revise grandes intervalos de endereços IP permitidos

    Identifica intervalos de controle de acesso de endereço IP que contêm um grande número de endereços IP.

    Nota:

    Se você estiver vendo um grande número de falsos positivos, considere ajustar a variável largestExpectedCIDRBlock para suas necessidades de negócios específicas.

    Os blocos CIDR (Classless Inter-Domain Routing, roteamento entre domínios sem classe) contêm uma quantidade maior de endereços IP conforme o número diminui. Por exemplo, o tamanho do bloco CIDR 8 é maior (contém mais endereços IP) do que o tamanho do bloco CIDR 16.

    Revise e confirme se a configuração atual está alinhada com suas necessidades de negócios.

    		 Revise e decida
    Revise esquemas públicos do GraphQL

    Identifica esquemas GraphQL públicos na tabela API GraphQL [sys_graphql_schema].

    Esses esquemas podem ser configurados para estar disponíveis sem autenticação. Dependendo da funcionalidade do endpoint, isso pode permitir que usuários não autenticados executem ações inesperadas ou interajam com dados inesperados.

    		 Revise e decida
    Revise artigos da base de conhecimento pública

    Identifica bases de conhecimento e artigos da base de conhecimento configurados para habilitar o acesso a usuários não autenticados.

    Revise e confirme se a configuração atual está alinhada com suas necessidades de negócios.

    		 Revise e decida
    Revise endpoints públicos da REST API

    Identifica endpoints da REST API na tabela Recurso REST com script [sys_ws_operation] que estão configurados para estarem disponíveis sem autenticação.

    Dependendo da funcionalidade do endpoint, isso pode permitir que usuários não autenticados executem ações inesperadas ou interajam com dados inesperados.

    		 Revise e decida
    Revise as páginas públicas do Portal de serviços

    Identifica as páginas do Portal de serviços que são tornadas públicas. As páginas do Portal de serviços são disponibilizadas para usuários não autenticados definindo o campo "público" como "verdadeiro".

    Revise e confirme se a configuração atual está alinhada com suas necessidades de negócios.

    		 Revise e decida
    Revise páginas de IU públicas

    Identifica páginas de IU que se tornam públicas. É possível disponibilizar Páginas de IU para usuários não autenticados usando a página [sys_public].

    Revise e confirme se a configuração atual está alinhada com suas necessidades de negócios.

    		 Revise e decida
    Revise as funções que contêm a função "administrador"

    Identifica todas as funções (tabela Roles [sys_user_role]) que contém administrador função.

    . administrador a função concede aos usuários privilégios administrativos e deve ser usada somente quando necessário. Revise e confirme se a configuração atual está alinhada com suas necessidades de negócios. Se esta for uma configuração intencional, esta verificação poderá ser silenciada.

    		 Revise e decida
    Revise as páginas de IU sem ACLs correspondentes

    Identifica páginas de IU que não têm uma ACL para essa página de IU.

    Páginas de IU que não têm um ACL específico padrão para uma ACL de Página de IU genérica, que pode conceder acesso a usuários não intencionais.

    		 Resolução recomendada
    Revise usuários com senhas locais válidas

    Identifica usuários com senhas definidas localmente.

    Usuários com senhas locais podem interagir com a instância por meio de APIs usando as credenciais locais, mesmo se logins locais não forem permitidos. Esta configuração de senha é necessária para que as contas de usuário de integração funcionem corretamente.

    Revise essas contas de usuário para verificar se somente os usuários pretendidos (como contas de integração) podem autenticar com autenticação local.

    		 Revise e decida
    Gire senhas armazenadas com algoritmos de hash desatualizados

    Identifica contas de usuário com senhas criadas em versões anteriores do ServiceNow AI Platform, que pode ter usado o que agora é considerado um algoritmo de hash legado ou desatualizado.

    As contas criadas em versões antigas da plataforma que não mudaram suas senhas ainda podem ter senhas armazenadas com um algoritmo de hash legado. Analise as contas identificadas criadas e considere redefinições de senha.

    		 Resolução recomendada
    Protegendo produtores de registro

    Identifica produtores de registro inseguros.

    Se não forem atribuídos às funções apropriadas, usuários não autorizados poderão acessá-los, potencialmente revelando informações confidenciais. Atribua funções apropriadas aos produtores de registro para verificar se elas estão acessíveis somente aos usuários que precisam delas.

    		 Resolução recomendada
    Visibilidade da ação de IU

    Identifica ações de IU que podem ser acessadas por um usuário sem funções que não tenha acesso de leitura à tabela.

    Esses usuários podem alterar dados em uma tabela à qual não têm acesso por meio dessas ações de IU. Verifique se as ações de IU estão disponíveis somente para usuários com acesso à tabela que afetam.

    		 Resolução recomendada