Версия 46.2 от Ирина Сафонова на 28.02.2024, 23:56
Последние авторы
1 {{box cssClass="floatinginfobox" title="**Содержание**"}}
2 {{toc/}}
3 {{/box}}
4
5 (% data-xwiki-non-generated-content="java.util.List" %)
6 (((
7 = Что такое политика безопасности контента? =
8
9 ----
10
11 **Политика безопасности контента** — дополнительный уровень безопасности, который обнаруживает и смягчает определенные типы атак, включая [[межсайтовые скриптинги>>https://wiki.dfcloud.ru/bin/view/Glossary/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3]] (XSS) и атаки с внедрением данных.
12 )))
13
14 Политика безопасности позволяет администраторам серверов уменьшать или устранять векторы, по которым может происходить XSS. Указываются домены, которые браузер рассматривает как допустимые источники исполняемых скриптов. Браузер, совместимый с политикой, выполняет только сценарии, загруженные в исходные файлы и полученные из этих разрешенных доменов. Браузер игнорирует остальные сценарии, включая встроенные и HTML-атрибуты обработки событий.
15
16 == Переменные для настройки политики ==
17
18 Настройте политику безопасности контента при развертывании **Cloud BI**, чтобы предотвратить атаки. **Cloud BI** предоставляет две переменные в {{code language="none"}}config.py{{/code}} для развертывания:
19
20 * {{code language="none"}}TALISMAN_ENABLED{{/code}} по умолчанию имеет значение //False//. Установите для этого параметра значение //True.//
21 * {{code language="none"}}TALISMAN_CONFIG{{/code}} содержит фактическое определение политики.
22
23 == Проверка настроек политики ==
24
25 При работе в продуктивном режиме **Cloud BI** проверяет наличие настройки политики. Если настройка не найдена, то система выдает предупреждение об угрозе безопасности. Для сред, в которых политики безопасности определены вне **Cloud BI** с помощью другого программного обеспечения, администраторы при необходимости отключают это предупреждение с помощью ключа {{code language="none"}}CONTENT_SECURITY_POLICY_WARNING{{/code}} в файле {{code language="none"}}config.py{{/code}}.
26
27 = Требования к политике =
28
29 ----
30
31 Для настройки укажите ключевые слова {{code language="none"}}'unsafe-eval'{{/code}} и {{code language="none"}}'unsafe-inline'{{/code}}.
32
33 {{code language="none"}}
34 default-src 'self' 'unsafe-eval' 'unsafe-inline'
35 {{/code}}
36
37 Некоторые дашборды загружают изображения с использованием URI данных.
38
39 {{code language="none"}}
40 img-src 'self' data:
41 {{/code}}
42
43 Диаграммы MapBox используют воркеры и подключаются к серверам MapBox.
44
45 {{code language="none"}}
46 worker-src 'self' blob:
47 connect-src 'self' https://api.mapbox.com https://events.mapbox.com
48 {{/code}}
49
50 = Пример с учтенными требованиями требованиями к политике =
51
52 ----
53
54 Пример {{code language="none"}}TALISMAN_CONFIG{{/code}} реализует [[требования к политике>>https://wiki.dfcloud.ru/bin/view/Big%20Data/%D0%A1%D0%B5%D1%80%D0%B2%D0%B8%D1%81%20Cloud%20BI/2.%20%D0%98%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F/02.%20%D0%A0%D1%83%D0%BA%D0%BE%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE%20%D0%B0%D0%B4%D0%BC%D0%B8%D0%BD%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0/D.%20%D0%A0%D0%BE%D0%BB%D0%B8%20%D0%B8%20%D0%BF%D1%80%D0%B0%D0%B2%D0%B0%20%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0/D1.%20%D0%9F%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B0%20%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8%20%D0%BA%D0%BE%D0%BD%D1%82%D0%B5%D0%BD%D1%82%D0%B0/#H42244043543143E43243043D43844F43A43F43E43B43844243843A435]] и использует {{code language="none"}}'self'{{/code}} для ограничения содержимого тем же источником, что и сервер **Cloud BI**. Пример запрещает устаревшие элементы HTML, устанавливая для {{code language="none"}}object-src{{/code}} значение {{code language="none"}}'none'{{/code}}.
55
56 {{code language="none"}}
57 TALISMAN_CONFIG = {
58 "content_security_policy": {
59 "default-src": ["'self'", "'unsafe-inline'", "'unsafe-eval'"],
60 "img-src": ["'self'", "data:"],
61 "worker-src": ["'self'", "blob:"],
62 "connect-src": ["'self'", "https://api.mapbox.com", "https://events.mapbox.com"],
63 "object-src": "'none'",
64 }
65 }
66 {{/code}}
67
68 = Сообщение об уязвимостях =
69
70 ----
71
72 Если возникли опасения насчет безопасности **Cloud BI** или обнаружили уязвимость или угрозу, свяжитесь с технической поддержкой **Cloud BI**.
73
74 {{warning}}
75 Укажите в письме для технической поддержки пример и способ воспроизведения проблемы.
76 {{/warning}}
77
78 Техническая поддержка свяжется с вами после оценки и анализа результатов возникшей уязвимости.
79
80 **[[В начало>>doc:Big Data.Сервис Cloud BI.WebHome]] **🡱
81 **[[К следующему разделу>>doc:Big Data.Сервис Cloud BI.2\. Инструкция.02\. Руководство администратора.D\. Роли и права доступа.Общее описание безопасности.WebHome]] **🡲
82 **[[К предыдущему разделу>>doc:Big Data.Сервис Cloud BI.2\. Инструкция.02\. Руководство администратора.D\. Роли и права доступа.WebHome]] 🡰**