Sdílet prostřednictvím

Osvědčené postupy pro zabezpečený kód

  • Článek

Ve službě Azure Machine Learning můžete nahrát soubory a obsah z libovolného zdroje do Azure. Obsah v poznámkových blocích Jupyter nebo skriptech, které načítáte, můžou číst data z relací, přistupovat k citlivým datům v rámci vaší organizace v Azure nebo spouštět škodlivé procesy vaším jménem.

Důležité

Spouštět pouze poznámkové bloky nebo skripty z důvěryhodných zdrojů Například tam, kde jste vy nebo váš bezpečnostní tým zkontrolovali poznámkový blok nebo skript.

Potenciální hrozby

Vývoj se službou Azure Machine Learning často zahrnuje webová vývojová prostředí, jako jsou poznámkové bloky nebo studio Azure Machine Learning. Pokud používáte webová vývojová prostředí, potenciální hrozby jsou:

  • Skriptování mezi weby (XSS)

    • Injektáž DOM: Tento typ útoku může upravit uživatelské rozhraní zobrazené v prohlížeči. Například změnou chování tlačítka spustit v poznámkovém bloku Jupyter.
    • Přístupový token nebo soubory cookie: Útoky XSS můžou také přistupovat k místnímu úložišti a souborům cookie prohlížeče. Ověřovací token Microsoft Entra je uložený v místním úložišti. Útok XSS by mohl tento token použít k volání rozhraní API vaším jménem a pak odesílat data do externího systému nebo rozhraní API.

  • Útok mezi weby (CSRF): Tento útok může nahradit adresu URL obrázku nebo odkaz na adresu URL škodlivého skriptu nebo rozhraní API. Po načtení obrázku nebo kliknutí na odkaz se provede volání adresy URL.

poznámkové bloky studio Azure Machine Learning

studio Azure Machine Learning poskytuje hostované prostředí poznámkového bloku v prohlížeči. Buňky v poznámkovém bloku můžou výstupní dokumenty NEBO fragmenty HTML, které obsahují škodlivý kód. Při vykreslení výstupu je možné kód spustit.

Možné hrozby:

  • Skriptování mezi weby (XSS)
  • Padělání žádostí mezi weby (CSRF)

Zmírnění rizik poskytovaná službou Azure Machine Learning:

  • Výstup buňky kódu je v iframe v izolovaném prostoru (sandbox). Prvek iframe brání skriptu v přístupu k nadřazené sadě DOM, souborům cookie nebo úložišti relací.
  • Obsah buněk Markdownu se vyčistí pomocí knihovny dompurify. Tím se zablokují škodlivé skripty v provádění s buňkami Markdownu.
  • Odkazy url obrázku a markdownu se posílají do koncového bodu vlastněného Microsoftem, který kontroluje škodlivé hodnoty. Pokud se zjistí škodlivá hodnota, koncový bod žádost odmítne.

Doporučené akce:

  • Před nahráním do studia ověřte, že důvěřujete obsahu souborů. Musíte potvrdit, že nahráváte důvěryhodné soubory.
  • Když vyberete odkaz pro otevření externí aplikace, zobrazí se výzva, abyste aplikaci důvěřovali.

Výpočetní instance Azure Machine Learningu

Výpočetní instance Azure Machine Learning hostuje Jupyter a JupyterLab. Když použijete kód uvnitř buněk poznámkového bloku, může vypisovat dokumenty HTML nebo fragmenty, které obsahují škodlivý kód. Při vykreslení výstupu je možné kód spustit. Stejné hrozby platí, když používáte RStudio nebo Posit Workbench (dříve RStudio Workbench) hostované ve výpočetní instanci.

Možné hrozby:

  • Skriptování mezi weby (XSS)
  • Padělání žádostí mezi weby (CSRF)

Zmírnění rizik poskytovaná službou Azure Machine Learning:

  • Nezaokrouhlovat. Jupyter a JupyterLab jsou opensourcové aplikace hostované ve výpočetní instanci Služby Azure Machine Learning.

Doporučené akce:

  • Před nahráním ověřte, že důvěřujete obsahu souborů. Musíte potvrdit, že nahráváte důvěryhodné soubory.

Hlášení problémů nebo problémů se zabezpečením

Azure Machine Learning je způsobilý v rámci programu Microsoft Azure Bounty. Další informace najdete na adrese https://www.microsoft.com/msrc/bounty-microsoft-azure.

Související obsah