Поделиться через

Вопросы и ответы по безопасности Power Platform

  • Статья

Часто задаваемые вопросы о безопасности Power Platform делятся на две категории:

  • Как Power Platform был разработан, чтобы помочь снизить 10 основных рисков Open Web Application Security Project® (OWASP)

  • Вопросы, которые задают наши клиенты

Чтобы вам было проще находить самую свежую информацию, в конце этой статьи добавлены новые вопросы.

10 основных рисков OWASP. Устранение рисков в Power Platform

Open Web Application Security Project® (OWASP) — некоммерческая организация, работающая над повышением безопасности программного обеспечения. Благодаря проектам программного обеспечения с открытым исходным кодом под руководством сообщества, сотням отделений по всему миру, десяткам тысяч членов и ведущим образовательным и обучающим конференциям, OWASP Foundation является источником для разработчиков и технологов для обеспечения безопасности Интернета.

10 основных рисков OWASP — это стандартный информационный документ для разработчиков и специалистов по безопасности веб-приложений. Он представляет собой широкий консенсус в отношении наиболее серьезных угроз безопасности для веб-приложений. В этом разделе мы обсудим, как Power Platform помогает снизить эти риски.

A01:2021 Неисправный контроль доступа

  • Модель безопасности Power Platform построена на минимальном привилегированном доступе (LPA). LPA позволяет клиентам создавать приложения с более точным контролем доступа.
  • Power Platform использует Microsoft Entra идентификаторы (Microsoft Entra ID) Microsoft Identity Platform для авторизации всех вызовов API с использованием стандартного в отрасли протокола OAuth 2.0.
  • Dataverse, который предоставляет базовые данные для Power Platform, имеет богатую модель безопасности, которая включает безопасность на уровне среды, на основе ролей, а также на уровне записей и полей.

A02:2021 Криптографические сбои

Передаваемые данные:

  • Power Platform использует TLS для шифрования всего сетевого трафика на основе HTTP. Он использует другие механизмы для шифрования сетевого трафика, отличного от HTTP, который содержит клиентские или конфиденциальные данные.
  • Power Platform использует усиленную конфигурацию TLS, которая включает HTTP Strict Transport Security (HSTS):
    • TLS 1.2 или выше
    • Наборы шифров на основе ECDHE и кривые NIST
    • Сильные ключи

Неактивные данные:

  • Все данные клиентов шифруются перед записью на энергонезависимый носитель.

A03:2021 Инъекция

Power Platform использует лучшие отраслевые методики для предотвращения инъекционных атак, включая:

  • Использование безопасных API с параметризованными интерфейсами
  • Использование постоянно развивающихся возможностей внешних интерфейсных платформ для очистки ввода
  • Проверка вывода с проверкой на стороне сервера
  • Использование инструментов статического анализа во время сборки
  • Проверка модели угроз для каждой службы каждые шесть месяцев независимо от того, обновлялись код, структура, инфраструктура или нет

A04:2021 Небезопасный дизайн

  • Power Platform построен на культуре и методологии безопасного проектирования. И культура, и методология постоянно совершенствуются с помощью ведущих в отрасли практик Microsoftжизненного цикла разработки безопасности (SDL) и моделирования угроз .
  • Процесс проверки моделирования угроз гарантирует, что выявляет угрозы на этапе проектирования, отслеживает их, устраняет их и проверяет, чтобы убедиться, что угрозы были устранены.
  • Моделирование угроз также учитывает все изменения в службах, которые уже работают, посредством непрерывных регулярных проверок. Опираясь на модель STRIDE, можно решить наиболее распространенные проблемы с небезопасной структурой.
  • MicrosoftSDL эквивалентна модели зрелости обеспечения программного обеспечения OWASP (SAMM). Оба основаны на предположении, что безопасная структура является неотъемлемой частью безопасности веб-приложений.

A05:2021 Неправильная конфигурация безопасности

  • "Запрет по умолчанию" — одна из основ принципов разработки Power Platform. При использовании "Запрет по умолчанию" клиентам необходимо просматривать и соглашаться на новые функции и конфигурации.
  • Любые неправильные настройки во время сборки будут обнаружены с помощью встроенного анализа безопасности с использованием безопасных инструментов разработки.
  • Кроме того, Power Platform использует Dynamic Analysis Security Testing (DAST) с помощью внутренней службы, созданной на основе 10 основных рисков OWASP.

A06:2021 Уязвимые и устаревшие компоненты

  • Power Platform следует практикам SDL Microsoft для управления компонентами с открытым исходным кодом и сторонними компонентами. Рекомендации включают ведение полной инвентаризации, выполнение анализа безопасности, поддержание компонентов в актуальном состоянии и согласование компонентов с проверенным и испытанным процессом реагирования на инциденты безопасности.
  • В редких случаях некоторые приложения могут содержать копии устаревших компонентов из-за внешних зависимостей. Однако после устранения этих зависимостей в соответствии с изложенными ранее методами компоненты отслеживаются и обновляются.

A07:2021 Ошибки идентификации и аутентификации

  • Power Platform основана на идентификации и аутентификации в Microsoft Entra ID и зависит от них.
  • Microsoft Entra помогает Power Platform включить безопасные функции. Эти функцию помогают включить как единый вход, многофакторную аутентификацию и единую платформу для более безопасного взаимодействия как с внутренними, так и с внешними пользователями.
  • С предстоящей реализацией непрерывной оценки доступа (CAE) Microsoft Entra ID в Power Platform идентификация и аутентификация пользователей станут еще более безопасными и надежными.

A08:2021 Сбои программного обеспечения и целостности данных

  • Процесс управления компонентами Power Platform гарантирует безопасную конфигурацию файлов исходных пакетов для поддержания целостности программного обеспечения.
  • Этот процесс гарантирует, что для реагирования на атаки замещения обслуживаются только пакеты из внутренних источников. Атака замещения, также известная как путаница зависимостей, — это метод, который можно использовать для отравления процесса создания приложений в защищенных корпоративных средах.
  • Ко всем зашифрованным данным перед передачей применяется защита целостности. Все метаданные защиты целостности, имеющиеся для входящих зашифрованных данных, проверяются.

Топ-10 рисков OWASP с низким кодом/без кода: меры по смягчению последствий в Power Platform

Рекомендации по снижению 10 основных рисков безопасности с низким кодом и без кода, опубликованных OWASP, см. в этом документе:

Power Platform - OWASP Low Code No Code 10 основных рисков (апрель 2024 г.)

Общие вопросы по безопасности от клиентов

Ниже приведены некоторые вопросы безопасности, которые задают наши клиенты.

Как Power Platform помогает защититься от кликджекинга?

Кликджекинг использует встроенные фреймы, среди прочих компонентов, для перехвата взаимодействия пользователя с веб-страницей. В частности, это серьезная угроза для страниц входа. Power Platform предотвращает использование iFrame на страницах входа, что значительно снижает риск кликджекинга.

Кроме того, организации могут использовать политики безопасности содержимого (CSP) для ограничения встраивания до доверенных доменов.

Поддерживает ли Power Platform политику безопасности содержимого?

Power Platform поддерживает Политику безопасности содержимого (CSP) для приложений на основе модели. Мы не поддерживаем следующие заголовки, которые заменены CSP:

  • X-XSS-Protection
  • X-Frame-Options

Как безопасно подключиться к SQL Server?

См. Безопасное использование Microsoft SQL Server с Power Apps.

Какие шифры поддерживаются в Power Platform? Какова дорожная карта постоянного развития в направлении более надежных шифров?

Все Microsoft услуги и продукты настроены на использование утвержденных наборов шифров в точном порядке, указанном Microsoft Криптосоветом. Полный список и точный порядок см. в документации Power Platform.

Обо всех изменениях, связанных с прекращением поддержки наборов шифров, будет сообщено в документации Важные изменения Power Platform.

Почему Power Platform по-прежнему поддерживают шифры RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) и TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)), которые считаются более слабыми?

Microsoft взвешивает относительный риск и сбои в работе клиентов при выборе поддерживаемых наборов шифров. Наборы шифров RSA-CBC еще не взломаны. Мы позволили им обеспечить согласованность наших услуг и продуктов, а также поддержку всех пользовательских конфигураций. Однако они находятся в конце списка приоритетов.

Мы отменим поддержку этих шифров в подходящее время, основываясь на постоянной оценке Crypto Board. Microsoft

Почему Power Automate предоставляет хэши содержимого MD5 на входы и выходы триггера/действия?

Power Automate передает необязательное хэш-значение content-MD5, возвращенное службой хранилища Azure, своим клиентам как есть. Этот хэш используется службой хранилища Azure для проверки целостности страницы во время транспортировки в качестве алгоритма контрольной суммы и не используется в качестве криптографической хеш-функции в целях безопасности в Power Automate. Дополнительные сведения об этом можно найти в документации по хранилищу Azure о том, как получить свойства BLOB-объекта и как работать с заголовками запросов.

Как Power Platform защищает от распределенных атак типа "отказ в обслуживании" (DDoS)?

Power Platform построен на Microsoft Azure и использует Защиту от атак DDoS Azure для защиты от атак DDoS.

Обнаруживает ли Power Platform взломанные устройства iOS и устройства Android с корневым доступом, чтобы помочь в обеспечении защиты данных организации?

Мы рекомендуем вам использовать Microsoft Intune. Intune — это решение для управления мобильными устройствами. Это может помочь защитить данные организации, требуя от пользователей и устройств соответствия определенным требованиям. Дополнительные сведения см. в разделе Параметры политики соответствия Intune.

Почему файлы cookie сеанса привязаны к родительскому домену?

Power Platform ограничивает область файлов cookie родительским доменом, чтобы разрешить аутентификацию в разных организациях. Поддомены не используются в качестве границ безопасности. Они также не размещают контент клиентов.

Как установить время истечения срока действия сеанса приложения, скажем, 15 минут?

Power Platform использует Microsoft Entra ID для управления идентификацией и доступом. Он следует рекомендуемой конфигурации для управления сеансами Microsoft Entra ID для оптимального взаимодействия с пользователем.

Однако вы можете настроить среды так, чтобы у них было явное истечение срока действия сеансов и/или действий. Дополнительные сведения см. в разделе Сеанс пользователя и управление доступом.

С предстоящей реализацией непрерывной оценки доступа Microsoft Entra ID в Power Platform идентификация и аутентификация пользователей станут еще более безопасными и надежными.

Приложение позволяет одному и тому же пользователю получать доступ с более чем одного компьютера или браузера одновременно. Как можно это предотвратить?

Доступ к приложению с более чем одного устройства или браузера одновременно — это удобно для пользователей. Предстоящая реализация непрерывной оценки доступа Microsoft Entra ID в Power Platform поможет гарантировать, что доступ осуществляется с авторизованных устройств и браузеров и по-прежнему действителен.

Почему некоторые службы Power Platform открывают заголовки сервера с подробной информацией?

Службы Power Platform работают, чтобы удалять ненужную информацию в заголовке сервера. Цель состоит в том, чтобы сбалансировать уровень детализации с риском раскрытия информации, это может ослабить общую систему безопасности.

Как влияют уязвимости Log4j на Power Platform? Что делать клиентам в связи с этим?

Microsoft оценил, что уязвимости Log4j не влияют Power Platform. См. запись в нашем блоге о предотвращении, обнаружении и поиске использования уязвимостей Log4j.

Как гарантировать отсутствие несанкционированных транзакций из-за расширений браузера или API клиентского единого интерфейса, позволяющих включать отключенные элементы управления?

Концепция отключенных элементов управления не является частью модели безопасности Power Apps. Отключение элементов управления — это улучшение пользовательского интерфейса. Не следует полагаться на отключенные элементы управления для обеспечения безопасности. Вместо этого используйте элементы управления Dataverse, такие как безопасность на уровне полей, чтобы предотвратить несанкционированные транзакции.

Какие заголовки безопасности HTTP используются для защиты данных ответа?

Полное имя Details
Строгая транспортная безопасность Для этого параметра установлено значение max-age=31536000; includeSubDomains для всех ответов.
X-Frame-опции Это не рекомендуется, в пользу CSP.
X-Content-Type-Options Для этого параметра установлено на nosniff для всех ответов.
Политика безопасности контента Устанавливается, если пользователь включает CSP.
X-XSS-Защита Это не рекомендуется, в пользу CSP.

Где можно найти тесты на проникновение для Power Platform или Dynamics 365?

Последние тесты на проникновение и оценки безопасности можно найти на Microsoft портале доверия услуг.

Заметка

Чтобы получить доступ к некоторым ресурсам на портале Service Trust Portal, вам необходимо войти в систему как аутентифицированный пользователь с помощью своей Microsoft учетной записи облачных служб (Microsoft Entra учетной записи организации), а также ознакомиться и принять Microsoft соглашение о неразглашении материалов о соответствии.

Безопасность в Microsoft Power Platform
Аутентификация в Power Platform сервисах
Подключение и аутентификация к источникам данных
Хранение данных в Power Platform

См. также