Compartir por

Preguntas máis frecuentes sobre seguranza de Power Platform

  • Artigo

As preguntas máis frecuentes sobre seguranza de Power Platform divídense en dúas categorías:

  • Como se deseñou Power Platform para axudar a mitigar os 10 principais riscos do Open Web Application Security Project® (OWASP)

  • Preguntas que fan os nosos clientes

Para facilitarlle atopar a información máis recente, engádense novas preguntas ao final deste artigo.

Os 10 principais riscos de OWASP: mitigacións en Power Platform

O Open Web Application Security Project® (OWASP) é unha fundación sen ánimo de lucro que traballa para mellorar a seguridade do software. A través de proxectos de software de código aberto dirixidos pola comunidade, centos de capítulos en todo o mundo, decenas de miles de membros e conferencias educativas e de formación líderes, a Fundación OWASP é a fonte para que os desenvolvedores e tecnólogos poidan protexer a web.

O OWASP top 10 é un documento de concienciación estándar para desenvolvedores e outras persoas que estean interesadas na seguridade das aplicacións web. Representa un amplo consenso sobre os riscos de seguridade máis críticos para as aplicacións web. Nesta sección, analizaremos como axuda a Power Platform a mitigar estes riscos.

A01:2021 Control de accesos roto

  • O modelo de seguridade da Power Platform está construído sobre o acceso menos privilexiado (LPA). LPA permite aos clientes crear aplicacións cun control de acceso máis granular.
  • Power Platform usa Microsoft Entra ID (Microsoft Entra ID) Microsoft Identity Platform para a autorización de todas as chamadas de API co protocolo OAuth 2.0 estándar do sector.
  • Dataverse, que proporciona os datos subxacentes para Power Platform, ten un modelo de seguranza rico que inclúe seguridade a nivel de ambiente, de funcións, de rexistro e de campo.

A02:2021 Fallos criptográficos

Datos en tránsito:

  • Power Platform usa TLS para cifrar todo o tráfico de rede baseado en HTTP. Usa outros mecanismos para cifrar o tráfico de rede que non é de HTTP que contén datos confidenciais ou de clientes.
  • Power Platform emprega unha configuración TLS reforzada que permite HTTP Strict Transport Security (HSTS):
    • TLS 1.2 ou superior
    • Conxuntos de cifrados baseados en ECDHE e curvas NIST
    • Claves seguras

Datos en repouso:

  • Todos os datos do cliente están cifrados antes de ser escritos en medios de almacenamento non volátiles.

A03:2021 Inxección

Power Platform utiliza as prácticas recomendadas estándar do sector para evitar ataques por inxección, incluíndo:

  • Uso de API seguras con interfaces parametrizadas
  • Aplicación de capacidades en constante evolución dos frameworks front-end para desinfectar a entrada
  • Limpeza da saída coa validación do servidor
  • Uso de ferramentas de análise estática durante o tempo de construción
  • Revisión do modelo de ameazas de cada servizo cada seis meses se o código, o deseño ou a infraestrutura se actualizou ou non.

A04:2021 Deseño inseguro

  • Power Platform baséase nunha cultura e metodoloxía de deseño seguro. Tanto a cultura como a metodoloxía refórzanse constantemente a través das prácticas líderes do sector de Ciclo de vida de desenvolvemento de seguridade (SDL) e de modelado de ameazas de Microsoft.
  • O proceso de revisión do modelado de ameazas garante que as ameazas se identifiquen durante a fase de deseño, se mitiguen e se validen para asegurarse de que se mitigaron.
  • O modelado de ameazas tamén ten en conta todos os cambios nos servizos que xa están activos mediante revisións periódicas continuas. Confiar no modelo STRIDE axúdalle a solucionar os problemas máis comúns cun deseño inseguro.
  • O SDL de Microsoft é equivalente ao OWASP Software Assurance Maturity Model (SAMM). Os dous están construídos sobre a premisa de que o deseño seguro é parte integrante da seguridade das aplicacións web.

A05:2021 Configuración incorrecta da seguridade

  • "Denegación predeterminada" é unha das bases dos principios de deseño de Power Platform. Con "Denegación predeterminada", os clientes deben revisar e activar novas funcións e configuracións.
  • Calquera configuración incorrecta durante o tempo de compilación é detectada pola análise de seguranza integrada mediante Ferramentas de desenvolvemento seguro.
  • Ademais, Power Platform sométese a Probas de seguridade de análise dinámica (DAST) mediante un servizo interno que se basea nos 10 principais riscos de OWASP.

A06:2021 Compoñentes vulnerables e desactualizados

  • Power Platform segue as prácticas SDL de Microsoft para xestionar compoñentes de código aberto e de terceiros. Estas prácticas inclúen manter un inventario completo, realizar análises de seguridade, manter os compoñentes actualizados e aliñar os compoñentes cun proceso de resposta a incidentes de seguridade probado.
  • En casos raros, algunhas aplicacións poden conter copias de compoñentes obsoletos debido a dependencias externas. Non obstante, despois de que se aborden esas dependencias de acordo coas prácticas descritas anteriormente, os compoñentes realízanse e actualízanse.

A07:2021 Fallos de identificación e autenticación

  • Power Platform baséase e depende da Microsoft Entra identificación e autenticación de ID.
  • Microsoft Entra axuda a Power Platform activar funcións seguras. Estas funcións inclúen o inicio de sesión único, a autenticación de varios factores e unha única plataforma para interactuar con usuarios internos e externos de forma máis segura.
  • Coa próxima implementación de Power Platform Microsoft Entra ID avaliación continua de acceso (CAE), a identificación e autenticación do usuario será aínda máis seguro e fiable.

A08:2021 Fallos na integridade do software e dos datos

  • O proceso de goberno de compoñentes de Power Platform aplica a configuración segura dos ficheiros fonte do paquete para manter a integridade do software.
  • O proceso garante que só se serven paquetes de orixe interna para abordar o ataque de substitución. O ataque de substitución, tamén coñecido como confusión de dependencia, é unha técnica que se pode usar para envelenar o proceso de creación de aplicacións dentro de contornos empresariais seguros.
  • Todos os datos cifrados teñen unha protección de integridade aplicada antes de ser transmitidos. Valídanse todos os metadatos de protección da integridade presentes para os datos cifrados entrantes.

Os 10 principais riscos de código baixo/sen código de OWASP: mitigacións en Power Platform

Para obter orientación sobre como mitigar os 10 principais riscos de seguridade de código baixo/sen código publicados por OWASP, consulte este documento:

Power Platform - OWASP baixo código sen código 10 principais riscos (abril de 2024)

Preguntas de seguridade comúns dos clientes

A continuación móstranse algunhas das preguntas de seguridade que fan os nosos clientes.

Como axuda a Power Platform a protexerse contra o clickjacking?

Clickjacking utiliza iframes incorporados, entre outros compoñentes, para secuestrar as interaccións dun usuario cunha páxina web. É unha ameaza importante para as páxinas de inicio de sesión en particular. Power Platform impide o uso de iframes nas páxinas de inicio de sesión, reducindo significativamente o risco de clickjacking.

Ademais, as organizacións poden utilizar a Política de seguranza de contido (CSP) para restrinxir a inserción en dominios de confianza.

Admite Power Platform a política de seguranza do contido?

A Power Platform admite Política de seguranza de contido (CSP) para aplicacións baseadas en modelos. Non admitimos as seguintes cabeceiras que son substituídas por CSP:

  • X-XSS-Protection
  • X-Frame-Options

Como podemos conectarnos a SQL Server de forma segura?

Consulte Usar Microsoft SQL Server de xeito seguro con Power Apps.

Que cifrados son compatibles coa Power Platform? Cal é a folla de ruta para avanzar continuamente cara a cifrados máis fortes?

Todos os servizos e produtos de Microsoft están configurados para usar os paquetes de cifrado aprobados, na orde exacta indicada polo Microsoft Crypto Board. Para obter a lista completa e a orde exacta, consulte a documentación Power Platform.

A información sobre as obsolescencias dos conxuntos de cifrado comunícase a través da documentación de Power Platform Cambios importantes.

Por que Power Platform aínda admite os cifrados RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) e TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)), que se consideran máis débiles?

Microsoft sopesa o risco relativo e a interrupción das operacións dos clientes ao elixir os conxuntos de cifrado para admitir. Os paquetes de cifrado RSA-CBC aínda non se romperon. Permitimos que garantan a coherencia entre os nosos servizos e produtos e admitan todas as configuracións dos clientes. Non obstante, están na parte inferior da lista de prioridades.

Renunciaremos a estes cifrados no momento adecuado, segundo a avaliación continua do Microsoft Crypto Board.

Por que Power Automate expón os hash de contido MD5 nas entradas e saídas de activación/acción?

Power Automate pasa o valor hash de contido opcional MD5 devolto por Azure Storage tal e como está aos seus clientes. Este hash utilízao Azure Storage para verificar a integridade da páxina durante o transporte como un algoritmo de suma de comprobación e non se usa como función de hash criptográfico por motivos de seguridade en Power Automate. Podes atopar máis detalles disto na documentación de Azure Storage sobre como Obter propiedades do blob e como traballar con Encabezados de solicitude.

Como se protexe Power Platform de ataques de denegación de servizo distribuídos (DDoS)?

Power Platform está construído en Microsoft Azure e utiliza Azure DDoS Protection para protexerse contra ataques DDoS.

Power Platform Detecta dispositivos con jailbreak iOS e dispositivos con root Android para axudar a protexer os datos da organización?

Recomendámoslle que use Microsoft Intune. Intune é unha solución de xestión de dispositivos móbiles. Pode axudar a protexer os datos da organización ao esixir que os usuarios e os dispositivos cumpran determinados requisitos. Para obter máis información, consulte Configuración da política de cumprimento de Intune.

Por que as cookies de sesión se limitan ao dominio principal?

Power Platform aplica as cookies de sesión ao dominio principal para permitir a autenticación entre organizacións. Os subdominios non se usan como límites de seguridade. Tampouco aloxan contido do cliente.

Como podemos configurar a sesión da aplicación para que se esgote despois de, por exemplo, 15 minutos?

Power Platform usa Microsoft Entra ID de xestión de acceso e identidade. Segue a Microsoft Entra configuración de xestión de sesións recomendada por ID para unha experiencia de usuario óptima.

Non obstante, pode personalizar os ambientes para que teñan tempo de espera explícito de sesión e/ou actividade. Para obter máis información, consulte Xestión de sesión de usuario e de acceso.

Coa próxima implementación de Power Platform Microsoft Entra ID Avaliación de acceso continuo, a identificación e autenticación dos usuarios serán aínda máis seguras e fiables.

A aplicación permite que un mesmo usuario acceda desde máis dunha máquina ou navegador ao mesmo tempo. Como podemos evitar iso?

Acceder á aplicación desde máis dun dispositivo ou navegador ao mesmo tempo é unha comodidade para os usuarios. Power PlatformA próxima implementación de Microsoft Entra ID Avaliación continua de acceso axudará a garantir que o acceso se realiza desde dispositivos e navegadores autorizados e segue sendo válido.

Por que algúns servizos Power Platform expoñen as cabeceiras do servidor con información detallada?

Os servizos da Power Platform traballaron para eliminar información innecesaria da cabeceira do servidor. O obxectivo é equilibrar o nivel de detalle co risco de expoñer información que pode debilitar a postura xeral de seguridade.

Como afectan as vulnerabilidades de Log4j á Power Platform? Que deben facer os clientes neste sentido?

Microsoft avaliou que ningunha vulnerabilidade Log4j afecta á Power Platform. Consulte a nosa publicación de blog sobre a prevención, detección e caza da explotación das vulnerabilidades de Log4j.

Como podemos garantir que non haxa transaccións non autorizadas debido ás extensións do navegador ou á Interface unificada API de cliente que permiten activar os controis desactivados?

O modelo de seguridade de Power Apps non inclúe o concepto de controis desactivados. A desactivación dos controis é unha mellora da IU. Non debe confiar nos controis desactivados para proporcionar seguridade. No seu lugar, utilice controis de Dataverse como a seguridade a nivel de campo para evitar transaccións non autorizadas.

Que cabeceiras de seguranza HTTP se usan para protexer os datos de resposta?

Nome Detalles
Estricto-Transporte-Seguridade Establécese como max-age=31536000; includeSubDomains en todas as respostas.
X-Frame-Opcións Isto está en desuso en favor de CSP.
X-Opcións de tipo de contido Establécese como nosniff en todas as respostas de recursos.
Contido-Seguridade-Política Establécese se o usuario habilita CSP.
X-XSS-Protección Isto está en desuso en favor de CSP.

Onde podo atopar probas de penetración de Power Platform ou Dynamics 365?

As últimas probas de penetración e avaliacións da seguranza pódense atopar no Portal de confianza do servizo de Microsoft.

Nota

Para acceder a algúns dos recursos do Service Trust Portal, debes iniciar sesión como usuario autenticado coa túa conta de servizos na nube de Microsoft (Microsoft Entra conta da organización) e revisar e aceptar o acordo de non divulgación de Microsoft para os materiais de conformidade. .

Seguranza en Microsoft Power Platform
Autenticación para servizos de Power Platform
Conexión e autenticación con orixes de datos
Almacenamento de datos en Power Platform

Consulte tamén