Изменения документа G03.02. Политика безопасности контента

Сводка

• Свойства страницы (1 изменено, 0 добавлено, 0 удалено)

Подробности

Свойства страницы

Содержимое

...	...	@@ -2,44 +2,42 @@
2	2
3	3	{{toc/}}
4	4
5		-= Назначение политики безопасности контента =
	5	+== Назначение политики безопасности контента ==
6	6
7	7	----
8	8
9		-== Возможности политики ==
	9	+**Политика безопасности контента** — это дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
10	10
11		-**Политика безопасности контента** — дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
	11	+Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, будет выполнять только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
12	12
13		-Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, выполняет только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
	13	+Политика описывается с помощью ряда директив, каждая из которых описывает политику для определенного типа ресурса или области политики. Описание директив доступно по ссылке.
14	14
15		-== Переменные для настройки политики ==
	15	+Важно коррректно настроить политику безопасности контента при развертывании Cloud BI, чтобы предотвратить многие типы атак. Cloud BI предоставляет две переменные в config.py для развертывания:
16	16
17		-Корректно настройте политику безопасности контента при развертывании Cloud BI, чтобы предотвратить атаки Cloud BI предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания:
	17	+* {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True//
	18	+* {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики
18	18
19		-* {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True.//
20		-* {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики.
	20	+При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если она не будет найдена, то система выдаст предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
21	21
22		-== Проверка настроек политики ==
	22	+== Требования к политике ==
23	23
24		-При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если настройка не найдена, то система выдает предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
25		-
26		-= Требования к политике =
27		-
28	28	----
29	29
30		-Для настройки укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}:
	26	+Требования следующие:
31	31
	28	+* Укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}:
	29	+
32	32	{{code language="none"}}
33	33	default-src 'self' 'unsafe-eval' 'unsafe-inline'
34	34	{{/code}}
35	35
36		-Некоторые дашборды загружают изображения с использованием URI данных.
	34	+* Некоторые дашборды загружают изображения с использованием URI данных:
37	37
38	38	{{code language="none"}}
39	39	img-src 'self' data:
40	40	{{/code}}
41	41
42		-Диаграммы MapBox используют воркеры и подключаются к серверам MapBox:
	40	+* Диаграммы MapBox используют воркеры и должны подключаться к серверам MapBox:
43	43
44	44	{{code language="none"}}
45	45	worker-src 'self' blob:
...	...	@@ -46,12 +46,8 @@
46	46	connect-src 'self' https://api.mapbox.com https://events.mapbox.com
47	47	{{/code}}
48	48
49		-= Пример с учтенными требованиями требованиями к политике =
	47	+Ниже пример {{code language="none"}}TALISMAN_CONFIG{{/code}}, который реализует вышеуказанные требования, использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Также он запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
50	50
51		-----
52		-
53		-Пример {{code language="none"}}TALISMAN_CONFIG{{/code}} реализует [[требования к политике>>https://wiki.dfcloud.ru/bin/view/%D0%A1%D0%B5%D1%80%D0%B2%D0%B8%D1%81%20Cloud%20BI/2.%20%D0%98%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F/02.%20%D0%A0%D1%83%D0%BA%D0%BE%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE%20%D0%B0%D0%B4%D0%BC%D0%B8%D0%BD%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0/D.%20%D0%A0%D0%BE%D0%BB%D0%B8%20%D0%B8%20%D0%BF%D1%80%D0%B0%D0%B2%D0%B0%20%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0/D1.%20%D0%9F%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B0%20%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8%20%D0%BA%D0%BE%D0%BD%D1%82%D0%B5%D0%BD%D1%82%D0%B0/#H42244043543143E43243043D43844F43A43F43E43B43844243843A435]] и использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Пример запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
54		-
55	55	{{code language="none"}}
56	56	TALISMAN_CONFIG = {
57	57	"content_security_policy": {
...	...	@@ -64,14 +64,14 @@
64	64	}
65	65	{{/code}}
66	66
67		-= Сообщение об уязвимостях =
	61	+== Сообщение об уязвимостях ==
68	68
69	69	----
70	70
71		-Если у вас есть опасения относительно безопасности Cloud BI или вы обнаружили уязвимость или потенциальную угрозу, свяжитесь с технической поддержкой Cloud BI.
	65	+Если у вас есть опасения относительно безопасности Cloud BI или вы обнаружите уязвимость или потенциальную угрозу, свяжитесь с технической поддержкой Cloud BI.
72	72
73	73	{{warning}}
74		-Укажите в письме для технической поддержки пример и способ воспроизведения проблемы.
	68	+В письме настоятельно рекомендуется указать способ воспроизведения проблемы и показать пример.
75	75	{{/warning}}
76	76
77	77	Техническая поддержка обязательно с вами свяжется после оценки и анализа результатов возникшей уязвимости.