Редактировал(а) Ирина Сафонова 22.03.2024, 15:17
От версии 22.1
отредактировано Ирина Сафонова
на 14.07.2023, 23:41
Изменить комментарий: К данной версии нет комментариев
К версии 18.1
отредактировано Ирина Сафонова
на 13.07.2023, 01:19
Изменить комментарий: К данной версии нет комментариев

Сводка

Подробности

Свойства страницы
Название
... ... @@ -1,1 +1,1 @@
1 -C01. Политика безопасности
1 +C01. Политика безопасности контента
Содержимое
... ... @@ -2,17 +2,17 @@
2 2  
3 3  {{toc/}}
4 4  
5 -= Назначение политики безопасности контента =
5 +== Назначение политики безопасности контента ==
6 6  
7 7  ----
8 8  
9 -== Возможности политики ==
9 +=== Возможности политики ===
10 10  
11 11  **Политика безопасности контента** — это дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
12 12  
13 13  Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, будет выполнять только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
14 14  
15 -== Переменные для настройки политики ==
15 +=== Переменные для настройки политики ===
16 16  
17 17  Необходимо коррректно настроить политику безопасности контента при развертывании Cloud BI, чтобы предотвратить многие типы атак. Cloud BI предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания:
18 18  
... ... @@ -19,14 +19,16 @@
19 19  * {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True//
20 20  * {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики
21 21  
22 -== Проверка настроек политики ==
22 +=== Проверка настроек политики ===
23 23  
24 24  При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если она не будет найдена, то система выдаст предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
25 25  
26 -= Требования к политике =
26 +== Требования к политике ==
27 27  
28 28  ----
29 29  
30 +Требования следующие:
31 +
30 30  * Укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}:
31 31  
32 32  {{code language="none"}}
... ... @@ -46,10 +46,6 @@
46 46  connect-src 'self' https://api.mapbox.com https://events.mapbox.com
47 47  {{/code}}
48 48  
49 -= Пример с учтенными требованиями требованиями к политике =
50 -
51 -----
52 -
53 53  Ниже пример {{code language="none"}}TALISMAN_CONFIG{{/code}}, который реализует вышеуказанные требования, использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Также он запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
54 54  
55 55  {{code language="none"}}
... ... @@ -64,7 +64,7 @@
64 64  }
65 65  {{/code}}
66 66  
67 -= Сообщение об уязвимостях =
65 +== Сообщение об уязвимостях ==
68 68  
69 69  ----
70 70