Версия 28.1 от Ирина Сафонова на 02.10.2023, 13:40
Последние авторы
1 **Содержание**
2
3 {{toc/}}
4
5 = Назначение политики безопасности контента =
6
7 ----
8
9 == Возможности политики ==
10
11 **Политика безопасности контента** — дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
12
13 Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, выполняет только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
14
15 == Переменные для настройки политики ==
16
17 Корректно настройте политику безопасности контента при развертывании Cloud BI, чтобы предотвратить атаки Cloud BI предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания:
18
19 * {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True.//
20 * {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики.
21
22 == Проверка настроек политики ==
23
24 При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если настройка не найдена, то система выдает предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
25
26 = Требования к политике =
27
28 ----
29
30 Для настройки укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}:
31
32 {{code language="none"}}
33 default-src 'self' 'unsafe-eval' 'unsafe-inline'
34 {{/code}}
35
36 Некоторые дашборды загружают изображения с использованием URI данных.
37
38 {{code language="none"}}
39 img-src 'self' data:
40 {{/code}}
41
42 * Диаграммы MapBox используют воркеры и должны подключаться к серверам MapBox:
43
44 Диаграммы MapBox используют воркеры и подключа.ncz к серверам MapBox^
45
46 {{code language="none"}}
47 worker-src 'self' blob:
48 connect-src 'self' https://api.mapbox.com https://events.mapbox.com
49 {{/code}}
50
51 = Пример с учтенными требованиями требованиями к политике =
52
53 ----
54
55 Ниже пример {{code language="none"}}TALISMAN_CONFIG{{/code}}, который реализует вышеуказанные требования, использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Также он запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
56
57 {{code language="none"}}
58 TALISMAN_CONFIG = {
59 "content_security_policy": {
60 "default-src": ["'self'", "'unsafe-inline'", "'unsafe-eval'"],
61 "img-src": ["'self'", "data:"],
62 "worker-src": ["'self'", "blob:"],
63 "connect-src": ["'self'", "https://api.mapbox.com", "https://events.mapbox.com"],
64 "object-src": "'none'",
65 }
66 }
67 {{/code}}
68
69 = Сообщение об уязвимостях =
70
71 ----
72
73 Если у вас есть опасения относительно безопасности Cloud BI или вы обнаружите уязвимость или потенциальную угрозу, свяжитесь с технической поддержкой Cloud BI.
74
75 {{warning}}
76 Мы настоятельно рекомендуем в письме указать способ воспроизведения проблемы и показать пример.
77 {{/warning}}
78
79 Техническая поддержка обязательно с вами свяжется после оценки и анализа результатов возникшей уязвимости.
80
81 **[[В начало>>doc:Сервис Cloud BI.WebHome]] **🡱
82 **[[К следующему разделу>>doc:Сервис Cloud BI.2\. Инструкция.02\. Руководство администратора.D\. Роли и права доступа.Общее описание безопасности.WebHome]] **🡲
83 **[[К предыдущему разделу>>doc:]] 🡰**