Исходный код вики C01. Политика безопасности контента
Версия 24.1 от Ирина Сафонова на 08.08.2023, 16:28
Скрыть последних авторов
| author | version | line-number | content |
|---|---|---|---|
 |
1.1 | 1 | **Содержание** |
| 2 | |||
| 3 | {{toc/}} | ||
| 4 | |||
| |
22.1 | 5 | = Назначение политики безопасности контента = |
| |
2.1 | 6 | |
| 7 | ---- | ||
| 8 | |||
| |
22.1 | 9 | == Возможности политики == |
| |
18.1 | 10 | |
| |
1.1 | 11 | **Политика безопасности контента** — это дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных. |
| 12 | |||
| |
17.1 | 13 | Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, будет выполнять только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий). |
| |
1.1 | 14 | |
| |
22.1 | 15 | == Переменные для настройки политики == |
| |
1.1 | 16 | |
| |
18.1 | 17 | Необходимо коррректно настроить политику безопасности контента при развертывании Cloud BI, чтобы предотвратить многие типы атак. Cloud BI предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания: |
| |
1.1 | 18 | |
| 19 | * {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True// | ||
| 20 | * {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики | ||
| 21 | |||
| |
22.1 | 22 | == Проверка настроек политики == |
| |
18.1 | 23 | |
| |
1.1 | 24 | При работе в продуктивном режиме Cloud BI при запуске проверяет наличие настройки политики. Если она не будет найдена, то система выдаст предупреждение, что есть угроза безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы могут отключить это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}. |
| 25 | |||
| |
22.1 | 26 | = Требования к политике = |
| |
1.1 | 27 | |
| |
2.1 | 28 | ---- |
| 29 | |||
| |
1.1 | 30 | * Укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}: |
| 31 | |||
| 32 | {{code language="none"}} | ||
| 33 | default-src 'self' 'unsafe-eval' 'unsafe-inline' | ||
| 34 | {{/code}} | ||
| 35 | |||
| 36 | * Некоторые дашборды загружают изображения с использованием URI данных: | ||
| 37 | |||
| 38 | {{code language="none"}} | ||
| 39 | img-src 'self' data: | ||
| 40 | {{/code}} | ||
| 41 | |||
| 42 | * Диаграммы MapBox используют воркеры и должны подключаться к серверам MapBox: | ||
| 43 | |||
| 44 | {{code language="none"}} | ||
| 45 | worker-src 'self' blob: | ||
| 46 | connect-src 'self' https://api.mapbox.com https://events.mapbox.com | ||
| 47 | {{/code}} | ||
| 48 | |||
| |
22.1 | 49 | = Пример с учтенными требованиями требованиями к политике = |
| |
21.1 | 50 | |
| |
22.1 | 51 | ---- |
| 52 | |||
| |
15.1 | 53 | Ниже пример {{code language="none"}}TALISMAN_CONFIG{{/code}}, который реализует вышеуказанные требования, использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Также он запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}. |
| |
1.1 | 54 | |
| 55 | {{code language="none"}} | ||
| 56 | TALISMAN_CONFIG = { | ||
| 57 | "content_security_policy": { | ||
| 58 | "default-src": ["'self'", "'unsafe-inline'", "'unsafe-eval'"], | ||
| 59 | "img-src": ["'self'", "data:"], | ||
| 60 | "worker-src": ["'self'", "blob:"], | ||
| 61 | "connect-src": ["'self'", "https://api.mapbox.com", "https://events.mapbox.com"], | ||
| 62 | "object-src": "'none'", | ||
| 63 | } | ||
| 64 | } | ||
| 65 | {{/code}} | ||
| 66 | |||
| |
22.1 | 67 | = Сообщение об уязвимостях = |
| |
1.1 | 68 | |
| |
2.1 | 69 | ---- |
| 70 | |||
| |
16.1 | 71 | Если у вас есть опасения относительно безопасности Cloud BI или вы обнаружите уязвимость или потенциальную угрозу, свяжитесь с технической поддержкой Cloud BI. |
| |
7.1 | 72 | |
| |
16.1 | 73 | {{warning}} |
| |
23.1 | 74 | Мы настоятельно рекомендуем в письме указать способ воспроизведения проблемы и показать пример. |
| |
16.1 | 75 | {{/warning}} |
| 76 | |||
| 77 | Техническая поддержка обязательно с вами свяжется после оценки и анализа результатов возникшей уязвимости. | ||
| 78 | |||
| |
13.1 | 79 | **[[В начало>>doc:Сервис Cloud BI.WebHome]] **🡱 |
| |
9.1 | 80 | **[[К следующему разделу>>doc:Сервис Cloud BI.2\. Инструкция.02\. Руководство администратора.D\. Роли и права доступа.Общее описание безопасности.WebHome]] **🡲 |
| 81 | **[[К предыдущему разделу>>doc:]] 🡰** |