Práticas recomendadas
Saiba detalhes sobre as Práticas recomendadas no Console de postura de segurança.
| Prática recomendada | Descrição |
|---|---|
| Ative o. ServiceNow Plug-in Controle de acesso |
Use ServiceNow Plug-in Controle de acesso para controlar quais funcionários podem acessar sua instância e quando. Impor uma postura de negação padrão para todos os usuários, exceto os usuários especificados. Isso pode incluir ServiceNow funcionários. Usar este plug-in ajuda a impedir o acesso indesejado à sua instância. Nota:
Após ServiceNow O Controle de acesso está ativado, a equipe deve solicitar explicitamente o acesso de você em uma base ad-hoc e temporária. Para obter detalhes sobre este plug-in, consulte ServiceNow controle de acesso. |
| Nomear e adicionar um contato de segurança na sua instância |
Selecione um contato de segurança da informação em sua organização que receba informações relacionadas à segurança da Equipe de segurança. Este contato é adicional ao seu administrador, que também recebe essas atualizações. Essas informações podem ser problemas de segurança, alertas de segurança ou detalhes sobre atualizações de software importantes. Para obter detalhes sobre como adicionar um contato de segurança, consulte KB0621516 . |
| Mudar credenciais de login padrão |
Altere as senhas nas contas de usuário integradas da sua instância, como admin, ITIL e employee. Essas contas são provisionadas com senhas padrão, exclusivas para sua instância, mas devem ser alteradas assim que possível. Para obter detalhes sobre como alterar as senhas de contas de usuário em sua instância, consulte Configure a senha de um usuário. |
| Configure navegadores da Web para usar somente TLS 1.2 ou superior ao se conectar à sua instância |
Verifique se os navegadores que se conectam à sua instância estão usando o TLS (Transport Layer Security, segurança de camada de transporte) mais seguro 1,2. Esta mudança pode ser feita no navegador ou imposta pelo proxy da web ou outro gateway. Consulte a documentação do navegador, proxy da web ou gateway para obter etapas sobre como configurar esses produtos para usar somente TLS 1,2. |
| Configure seus sistemas de e-mail para aceitar e-mails de sua instância usando SPF |
Se sua organização usa o Sender Policy Framework (SPF) para controlar e-mails de entrada com tecnologia antispam, você deverá configurá-lo para aceitar e-mails originados da sua instância. Configure o SPF para consultar os registros SPF dinamicamente. Se o SPF não for uma opção, outra abordagem será adicionar os endereços IP do servidor de e-mail à sua lista de permissões. Esta configuração deve ser monitorada, pois os endereços podem estar sujeitos a mudanças. Para obter etapas e detalhes adicionais sobre essas soluções, consulte KB0535456 |
| Limite anexos, carregamentos e downloads de arquivos |
Restrinja os carregamentos de anexos por função, extensão de arquivo, tipo de MIME ou tamanho para ajudar a impedir que arquivos potencialmente maliciosos sejam armazenados e entregues da sua instância. Você também pode controlar quais tipos de arquivo podem ser baixados, incluindo por tipo MIME, e impedir o acesso à imagem por usuários não autenticados. Essas restrições de anexo são controladas pelas propriedades do sistema em sua instância. Para obter detalhes sobre sua configuração, consulte Configure attachment system properties. |
| Desabilitar mensagens SQL do navegador |
Impedir que mensagens de erro SQL sejam apresentadas no navegador da Web. Embora úteis para usuários e desenvolvedores, essas mensagens podem ser usadas por invasores para aprender informações sobre seu sistema ou para ajudar a orientar suas tentativas de acessar seus dados. Essas mensagens podem ser desativadas usando uma propriedade do sistema. Para obter detalhes sobre esta propriedade do sistema, consulte Desabilitar mensagens de erro SQL [Atualizado na Central de segurança 1,3 e 1,5]. |
| Desativar autenticação sem senha |
Ajude a garantir a autenticação forte desabilitando a autenticação sem senha quando possível. Sem desabilitar a autenticação sem senha, os possíveis invasores podem obter acesso à sua instância adivinhando corretamente um nome de usuário (como firstname.lastname ou um título de função). Você pode desabilitar a autenticação sem senha em sua instância usando uma propriedade do sistema. Para obter detalhes sobre esta propriedade, consulte Desabilitar autenticação sem senha. |
| Habilitar auditoria de tabela para dados importantes ou confidenciais |
Rastreie mudanças em seus dados usando auditoria de tabela. A auditoria rastreia a criação, atualização e exclusão de todos os registros na tabela em que está habilitada, permitindo que os administradores rastreiem mudanças em dados importantes ou confidenciais. Os administradores também podem optar por selecionar campos específicos em uma tabela para auditoria para ver resultados mais direcionados ou reduzir o impacto no desempenho. Para obter detalhes sobre auditoria em instâncias, consulte Auditoria. Para obter instruções específicas sobre como habilitar auditoria em uma tabela, consulte Configurar auditoria para uma tabela. |
| Criptografar dados em repouso na instância |
Criptografe seus dados para manter sua confidencialidade e integridade. Os dados em sua instância podem estar no banco de dados. Você também pode optar por assinar a funcionalidade para criptografar o volume de dados de forma transparente no back-end. Os discos físicos nos quais a instância é executada também podem ser criptografados integralmente para proteger os dados em caso de perda ou roubo. Você pode usar diferentes métodos de criptografia simultaneamente para dados armazenados em sua instância, dependendo do seu caso de uso e dos riscos que deseja mitigar. Por exemplo, você pode optar por criptografar seus dados em repouso de forma transparente usando criptografia de banco de dados na maioria das tabelas, criptografia de nuvem em todo o volume de dados. Você também pode usar criptografia de hardware de disco completo, que também requer um ambiente dedicado para proteger contra roubo de unidade ou servidor. Revise as opções de criptografia disponíveis com em Estrutura de gestão de chaves. |
| Impor o uso de senhas fortes |
Usar políticas de senha para impor comprimento, complexidade, expiração, exclusividade, bloqueio, e muito mais para contas nativas e locais em sua instância. Use essas políticas para maximizar a segurança, incentivar a adoção de senhas longas e ajudar a eliminar o uso de senhas simples. Você pode manter suas políticas existentes para todos os serviços de autenticação externa que você tenha integrado, como LDAP ou SAML. Para obter detalhes sobre a configuração da política de senha, consulte Configure sua política de senha. |
| Garantir a criação automática de conta |
Use este recurso para criar contas de usuário por e-mail dinamicamente. Ative este recurso somente se necessário para suas necessidades de negócios, somente depois de definir uma lista de domínios confiáveis a partir dos quais as contas podem ser criadas. Você também pode controlar como as senhas são atribuídas a novas contas criadas dessa maneira. Para obter detalhes sobre a criação automática de usuário, consulte Enable automatic user creation. |
| Garanta o acesso seguro às bases de conhecimento |
Gerencie o acesso a bases de conhecimento e artigos para ajudar a garantir o compartilhamento de informações seguro e eficiente. Você pode determinar se determinados usuários ou categorias de usuários podem acessar bases de conhecimento e artigos de conhecimento controlando o acesso de contribuição e leitura. A configuração específica depende de suas necessidades de negócios. Saiba mais sobre suas opções para configurar o acesso ao conhecimento em Managing access to knowledge bases and knowledge articles. |
| Certifique-se de que o plug-in de alta segurança esteja instalado e ativado |
Use o plug-in High Security (HSP) para aprimorar o gerenciamento de segurança e aplicar as configurações apropriadas. As Configurações de alta segurança fornecem um local central para configurações de segurança, criam uma função de administrador de segurança distinta, uma propriedade de negação padrão e outros recursos de segurança importantes. O HSP é instalado e habilitado por padrão em todas as novas instâncias. Você pode solicitar a ativação do HSP para instâncias mais antigas, incluindo instâncias que tiveram upgrades de uma versão mais antiga. A habilitação do HSP deve ser feita somente após testes cuidadosos em um ambiente de não produção, pois a ativação muda algumas propriedades e comportamentos fundamentais. Para obter mais detalhes sobre o plug-in Alta segurança, consulte Habilitar plug-in de alta segurança [Atualizado na Central de segurança 1,3]. |
| Familiarizar-se com os recursos de segurança do NOW |
As informações de segurança evoluem constantemente, por isso é crucial manter-se atualizado com os recursos de segurança para manter sua segurança da informação forte. Use os seguintes recursos para se manter informado sobre os recursos de segurança: |
| Proteger sua instância |
Use a ferramenta Proteção da Central de segurança para reduzir o risco limitando os pontos fracos que podem ser explorados e implemente as configurações recomendadas para proteger ainda mais sua instância. Saiba mais sobre a Central de segurança em Central de segurança. Revise as configurações de proteção disponíveis em Configurações de proteção. |
| Instalar patches assim que possível |
Instalar patches e atualizações de plataforma assim que possível ajudam a garantir os mais altos níveis de segurança para sua instância e para os de outros clientes. Manter-se atualizado com as atualizações também permite que você mantenha o suporte contínuo, em conformidade com a política de EOL. Use a Central de upgrades para ajudar a gerenciar o processo. Correções de segurança são lançadas rotineiramente para a Now Platform por meio de patches e hotfixes que acompanham as atualizações de recursos do produto. Atualizar quando novos patches e hotfixes estão disponíveis ajuda a reduzir o risco de possíveis vulnerabilidades. As informações sobre versões, patches e hotfixes da Now Platform podem ser encontradas na seção Notas da versão da documentação do produto. Para obter mais informações, consulte Phase 1 - . |
| Integrar com MFA |
Integre a autenticação multifator (MFA) de terceiros ao IdP SAML existente para fornecer segurança de login adicional. A MFA fornece um alto nível de segurança porque a autenticação requer vários fatores de autenticação. Algo que o usuário sabe (a senha), bem como algo que ele possui (um código único, telefone celular ou atributos biométricos, como uma impressão digital). Saiba mais sobre a integração de MFA em Autenticação multifator. |
| Limitar domínios de remetente de e-mail aceitos |
Controle com quais domínios e usuários sua instância pode se comunicar por e-mail usando filtros de endereço do sistema. Esses filtros podem ser personalizados de acordo com suas necessidades. Saiba como configurar domínios confiáveis em Designar domínios de e-mail como não confiáveis ou confiáveis. |
| Monitore logs importantes para ajudar a identificar qualquer atividade suspeita ou mal-intencionada |
O módulo de logs do sistema fornece uma variedade de logs que você pode usar para solucionar problemas e depurar transações e eventos que ocorrem na instância.
Nota: Os logs de evento e do sistema também podem ser usados para fornecer uma trilha de auditoria de qualquer atividade da equipe.
Saiba mais sobre logs do sistema em Logs do sistema. |
| Monitorar taxas de falha de login e criar alertas |
Monitore atividades incomuns, como altos números de logins com falha, especialmente em períodos curtos. Você pode criar alertas para enviar e-mails quando um limite definido for excedido. Saiba como configurar esses limites em Indicator thresholds. |
| Monitorar eventos de segurança |
Revise Meu painel de métricas de segurança para ver as métricas de segurança disponíveis para sua instância e definir limites para gerar notificações por e-mail para atividades notáveis. Exemplos de atividade notável podem incluir:
|
| Monitorar o nível de conformidade de proteção da sua instância |
Certifique-se de que suas instâncias estejam em conformidade com as métricas de proteção de segurança mais recentes usando a ferramenta Proteção na Central de segurança. Acesse esta ferramenta em uma instância de não produção Avalie o impacto em seu ambiente. O ideal é que a pontuação esteja o mais próximo possível de 100%, com uma pontuação mínima de 83%, sem afetar a funcionalidade do produto. Saiba mais sobre a ferramenta de configurações de proteção da Central de segurança em Configurações de proteção. |
| Encaminhe seus desenvolvedores para o Guia de codificação segura |
Ajude a garantir que sua instância seja segura e resistente ao acesso não autorizado possível usando práticas de codificação seguras. O Guia de codificação segura da ServiceNow para desenvolvedores de instância fornece uma visão geral das classes e métodos GlideScriptable relacionados à segurança da aplicação oferecidos pela ServiceNow. Este guia foi projetado para ajudar e educar os desenvolvedores ao criar e modificar o código na instância de destino. Revise o guia em Guia de codificação segura da ServiceNow para desenvolvedores de instância . |
| Remova a caixa de seleção "Lembrar-me" |
Ajude a impedir o acesso indesejado à sua instância desativando o. Lembrar de mim recurso. Este recurso armazena um cookie no computador do usuário, que autentica automaticamente o usuário nas visitas subsequentes. Isso pode apresentar problemas de segurança se os usuários acessarem sua instância de um endpoint inseguro, como um computador compartilhado. Saiba mais sobre esse recurso e como desativá-lo em Lembrar minhas informações. |
| Restringir o acesso à sua instância de endereços IP desconhecidos |
Evite o acesso não autorizado à sua instância restringindo o acesso de endereços IP não relacionados à sua organização. Qualquer pessoa que tente acessar a instância de um endereço IP não autorizado será negada. Se estiver usando essa abordagem, considere permitir somente seus endereços externos de gateway ou proxy da web, bem como endereços dos quais os usuários acessam a instância, incluindo usuários remotos. Você pode restringir o acesso de saída e de entrada por endereço IP. Saiba como restringir o acesso à sua instância por endereço IP em Plug-in Restringir acesso a intervalos de IP específicos [Atualizado na Central de segurança 1,3]. |
| Revisão ServiceNow orientação de sobre ataques de spray de senha |
Proteja sua instância contra ataques de spray de senha. Esses ataques tentam obter acesso testando uma senha comumente usada em várias contas consecutivas. Saiba mais sobre ataques de pulverização e como proteger suas instâncias deles em Estratégias de mitigação de ataques de spray de senha . |
| Revise o Modelo de segurança compartilhada |
Entenda sua função compartilhada como cliente na manutenção da segurança de suas instâncias revisando o Modelo de responsabilidade compartilhada. O Modelo de responsabilidade compartilhada define a parceria entre e o cliente, ambos com responsabilidades específicas. Saiba mais em Modelo de responsabilidade compartilhada da ServiceNow . |
| Transferir dados de log da instância para arquivamento e referência |
Arquive seus dados de log para mantê-los além do período de rotação de log padrão de 21 dias. Esse arquivamento pode ser obtido usando solicitações de serviços da web, o recurso de exportação de dados, o MID Server ou o serviço de exportação de log do pacote do Vault. Use os seguintes recursos para saber mais sobre esses métodos: |
| Use módulos de criptografia com RBAC para aprimorar ainda mais o controle de acesso a dados |
Saiba como usar o Key Management Framework (KMF) para proteger os dados em sua instância usando o controle de acesso baseado em função (RBAC). O KMF usa módulos criptográficos, que permitem definir quais dados em sua instância são criptografados e qual método de criptografia usar. Usando vários módulos, você pode criptografar diferentes áreas da sua instância com especificações diferentes. Saiba como o KMF e seus componentes são usados para criptografar seus dados em Explorar a Estrutura de Gestão de Chaves. Saiba mais sobre módulos criptográficos em Visão geral do módulo criptográfico. |
| Uso de autenticação baseada em certificados com provedores de integração |
Configure o tráfego para seus provedores de integração usando conexões REST/SOAP para usar autenticação baseada em certificado. A autenticação de certificado SSL (Secure Socket Layer) criptografa os dados em trânsito, ajudando a impedir que eles sejam lidos conforme são enviados. Saiba mais sobre esta configuração em Configurar autenticação mútua. |
| Usar autenticação SAML |
Integre a autenticação multifator (MFA) de terceiros ao IdP SAML existente para fornecer segurança de login adicional. A MFA fornece um alto nível de segurança porque a autenticação requer vários fatores de autenticação. Algo que o usuário sabe (a senha), bem como algo que ele possui (um código único produzido por um token de MFA ou telefone celular, ou atributos biométricos, como uma impressão digital). ServiceNow Compatível com integração direta de MFA com contas locais, LDAP, SSO com SAML, OIDC ou Digest. A autenticação adaptável é um pré-requisito para SSO com MFA. A MFA pode ser habilitada para usuários e funções especificadas e configurada para facilitar o uso. Por exemplo, você pode isentar dispositivos reconhecidos por um número de horas. Você pode exibir métricas para uso de MFA na Central de segurança. Saiba mais sobre a autenticação SAML usando estes recursos: |
| Use o conjunto de recursos de filtros de e-mail para lidar com mensagens de entrada suspeitas |
Crie filtros de e-mail para filtrar mensagens marcadas como suspeitas por ServiceNow Proteção antivírus. A Proteção antivírus analisa o e-mail em busca de malware e SPAM, pontuando e os resultados adicionando essas informações à mensagem em cabeçalhos X. Você pode usar esses cabeçalhos como critérios para o plug-in Filtros de e-mail agir, se desejar. Saiba mais sobre ServiceNow recurso antivírus de em Varredura antivírus. Saiba como configurar filtros de e-mail em sua instância em Email filters. |
| Use o Syslog Probe para enviar logs para o seu SIEM |
Use ServiceNow Syslog Probe para enviar mensagens de log da sua instância para um SIEM (Security Information and Event Manager, gerenciador de eventos e informações de segurança). Um SIEM é um software ou serviço de terceiros que pode ser usado para monitoramento de atividades e identificação de eventos de segurança. Saiba mais sobre ServiceNow configuração da probe do syslog em Syslog probe. |
| Use seu próprio ambiente de segurança de e-mail desenvolvido |
Considere usar sua própria infraestrutura (ou de terceiros) para enviar e receber e-mails relacionados à instância e se beneficiar de um controle de e-mail de perímetro mais preciso. Usando seus próprios servidores SMTP, POP3 ou IMAP, você pode controlar como os e-mails são filtrados e recebidos antes de serem enviados para sua instância.
Nota: A configuração da sua própria infraestrutura de e-mail é considerada uma configuração de e-mail avançada e, opcionalmente, pode usar uma infraestrutura de e-mail de terceiros por meio da autenticação de e-mail OAuth 2,0. Consulte a documentação e as instruções do fornecedor de e-mail para obter detalhes. |
| Validar o acesso usando a Análise de acessos |
Use ServiceNow Ferramenta Analisador de acesso para ajudar você a comparar e analisar permissões de usuários, funções ou grupos selecionados. Você pode usar essas informações para solucionar problemas de acesso, identificar quem tem acesso aos seus dados confidenciais e determinar o nível correto de acesso dos usuários em sua instância. Saiba mais sobre os benefícios do Access Analyzer em Explorando o analisador de acesso. |