Версия 42.1 от Ирина Сафонова на 30.10.2023, 17:12
Последние авторы
1 {{box cssClass="floatinginfobox" title="**Содержание**"}}
2 {{toc/}}
3 {{/box}}
4
5 (% data-xwiki-non-generated-content="java.util.List" %)
6 (((
7 = Назначение политики безопасности контента =
8 )))
9
10 ----
11
12 == Возможности политики ==
13
14 **Политика безопасности контента** — дополнительный уровень безопасности, который обнаруживает и смягчает определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
15
16 Политика безопасности контента позволяет администраторам серверов уменьшить или устранить векторы, по которым может происходить XSS, указав домены, которые браузер должен рассматривать как допустимые источники исполняемых скриптов. В этом случае браузер, совместимый с политикой, выполняет только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов, игнорируя все остальные сценарии (включая встроенные сценарии и HTML-атрибуты обработки событий).
17
18 == Переменные для настройки политики ==
19
20 Настройте политику безопасности контента при развертывании **Cloud BI**, чтобы предотвратить атаки. Cloud BI предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания:
21
22 * {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True.//
23 * {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики.
24
25 == Проверка настроек политики ==
26
27 При работе в продуктивном режиме **Cloud BI** при запуске проверяет наличие настройки политики. Если настройка не найдена, то система выдает предупреждение об угрозе безопасности. Для сред, в которых политики безопасности определены вне Cloud BI с помощью другого программного обеспечения, администраторы при необходимости отключают это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в {{code language="none"}}config.py{{/code}}.
28
29 = Требования к политике =
30
31 ----
32
33 Для настройки укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}.
34
35 {{code language="none"}}
36 default-src 'self' 'unsafe-eval' 'unsafe-inline'
37 {{/code}}
38
39 Некоторые дашборды загружают изображения с использованием URI данных.
40
41 {{code language="none"}}
42 img-src 'self' data:
43 {{/code}}
44
45 Диаграммы MapBox используют воркеры и подключаются к серверам MapBox.
46
47 {{code language="none"}}
48 worker-src 'self' blob:
49 connect-src 'self' https://api.mapbox.com https://events.mapbox.com
50 {{/code}}
51
52 = Пример с учтенными требованиями требованиями к политике =
53
54 ----
55
56 Пример {{code language="none"}}TALISMAN_CONFIG{{/code}} реализует [[требования к политике>>https://wiki.dfcloud.ru/bin/view/%D0%A1%D0%B5%D1%80%D0%B2%D0%B8%D1%81%20Cloud%20BI/2.%20%D0%98%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F/02.%20%D0%A0%D1%83%D0%BA%D0%BE%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE%20%D0%B0%D0%B4%D0%BC%D0%B8%D0%BD%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0/D.%20%D0%A0%D0%BE%D0%BB%D0%B8%20%D0%B8%20%D0%BF%D1%80%D0%B0%D0%B2%D0%B0%20%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0/D1.%20%D0%9F%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B0%20%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8%20%D0%BA%D0%BE%D0%BD%D1%82%D0%B5%D0%BD%D1%82%D0%B0/#H42244043543143E43243043D43844F43A43F43E43B43844243843A435]] и использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер Cloud BI. Пример запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
57
58 {{code language="none"}}
59 TALISMAN_CONFIG = {
60 "content_security_policy": {
61 "default-src": ["'self'", "'unsafe-inline'", "'unsafe-eval'"],
62 "img-src": ["'self'", "data:"],
63 "worker-src": ["'self'", "blob:"],
64 "connect-src": ["'self'", "https://api.mapbox.com", "https://events.mapbox.com"],
65 "object-src": "'none'",
66 }
67 }
68 {{/code}}
69
70 = Сообщение об уязвимостях =
71
72 ----
73
74 Если возникли опасения относительно безопасности Cloud BI или обнаружили уязвимость или угрозу, свяжитесь с технической поддержкой Cloud BI.
75
76 {{warning}}
77 Укажите в письме для технической поддержки пример и способ воспроизведения проблемы.
78 {{/warning}}
79
80 Техническая поддержка свяжется с вами после оценки и анализа результатов возникшей уязвимости.
81
82 **[[В начало>>doc:Сервис Cloud BI.WebHome]] **🡱
83 **[[К следующему разделу>>doc:Сервис Cloud BI.2\. Инструкция.02\. Руководство администратора.D\. Роли и права доступа.Общее описание безопасности.WebHome]] **🡲
84 **[[К предыдущему разделу>>doc:]] 🡰**