Редактировал(а) Ирина Сафонова 22.03.2024, 15:17
От версии 17.1
отредактировано Ирина Сафонова
на 13.07.2023, 01:16
Изменить комментарий: К данной версии нет комментариев
К версии 27.1
отредактировано Ирина Сафонова
на 02.10.2023, 13:22
Изменить комментарий: К данной версии нет комментариев

Сводка

Подробности

Свойства страницы
Содержимое
... ... @@ -2,36 +2,38 @@
2 2  
3 3  {{toc/}}
4 4  
5 -== Назначение политики безопасности контента ==
5 += Назначение политики безопасности контента =
6 6  
7 7  ----
8 8  
9 -**Политика безопасности контента** — это дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
9 +== Возможности политики ==
10 10  
11 -Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, будет выполнять только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
11 +**Политика безопасности контента** — дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
12 12  
13 -Политика описывается с помощью ряда директив, каждая из которых описывает политику для определенного типа ресурса или области политики. Описание директив доступно по ссылке.
13 +Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, выполняет только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
14 14  
15 -Важно коррректно настроить политику безопасности контента при развертывании Cloud BI, чтобы предотвратить многие типы атак. Cloud BI предоставляет две переменные в config.py для развертывания:
15 +== Переменные для настройки политики ==
16 16  
17 -* {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True//
18 -* {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики
17 +Корректно настройте политику безопасности контента при развертывании Cloud BI, чтобы предотвратить атаки Cloud BI предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания:
19 19  
20 -При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если она не будет найдена, то система выдаст предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
19 +* {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True.//
20 +* {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики.
21 21  
22 -== Требования к политике ==
22 +== Проверка настроек политики ==
23 23  
24 -----
24 +При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если настройка не найдена, то система выдает предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
25 25  
26 -Требования следующие:
26 += Требования к политике =
27 27  
28 -* Укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}:
28 +----
29 29  
30 +Для настройки укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}:
31 +
30 30  {{code language="none"}}
31 31  default-src 'self' 'unsafe-eval' 'unsafe-inline'
32 32  {{/code}}
33 33  
34 -* Некоторые дашборды загружают изображения с использованием URI данных:
36 +Некоторые дашборды загружают изображения с использованием URI данных.
35 35  
36 36  {{code language="none"}}
37 37  img-src 'self' data:
... ... @@ -44,6 +44,10 @@
44 44  connect-src 'self' https://api.mapbox.com https://events.mapbox.com
45 45  {{/code}}
46 46  
49 += Пример с учтенными требованиями требованиями к политике =
50 +
51 +----
52 +
47 47  Ниже пример {{code language="none"}}TALISMAN_CONFIG{{/code}}, который реализует вышеуказанные требования, использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Также он запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
48 48  
49 49  {{code language="none"}}
... ... @@ -58,7 +58,7 @@
58 58  }
59 59  {{/code}}
60 60  
61 -== Сообщение об уязвимостях ==
67 += Сообщение об уязвимостях =
62 62  
63 63  ----
64 64  
... ... @@ -65,7 +65,7 @@
65 65  Если у вас есть опасения относительно безопасности Cloud BI или вы обнаружите уязвимость или потенциальную угрозу, свяжитесь с технической поддержкой Cloud BI.
66 66  
67 67  {{warning}}
68 -В письме настоятельно рекомендуется указать способ воспроизведения проблемы и показать пример.
74 +Мы настоятельно рекомендуем в письме указать способ воспроизведения проблемы и показать пример.
69 69  {{/warning}}
70 70  
71 71  Техническая поддержка обязательно с вами свяжется после оценки и анализа результатов возникшей уязвимости.