Share via

Tanya Jawab Keamanan Power Platform

  • Artikel

Pertanyaan yang umum tentang keamanan Power Platform termasuk dalam dua kategori:

  • Cara Power Platform dirancang untuk membantu mengurangi risiko 10 teratas Open Web Application Security Project® (OWASP)

  • Pertanyaan yang diajukan pelanggan kami

Untuk memudahkan Anda menemukan informasi terbaru, pertanyaan baru akan ditambahkan di akhir artikel ini.

OWASP 10 risiko teratas: Mitigasi di Power Platform

Open Web Application Security Project® (OWASP) adalah landasan nirlaba yang berfungsi untuk meningkatkan keamanan perangkat lunak. Melalui proyek perangkat lunak sumber terbuka yang ditunjang komunitas, ratusan bab di seluruh dunia, puluhan ribuan anggota, dan konferensi pelatihan dan kesehatan terkemuka, OWASP Foundation adalah sumber bagi pengembang dan pakar teknologi untuk amankan web.

OWASP top 10 adalah dokumen kesadaran standar untuk pengembang dan orang lain yang tertarik dengan keamanan aplikasi web. Hal ini menunjukkan konsensus luas tentang risiko keamanan paling penting bagi aplikasi web. Di bagian ini, kami akan membahas cara Power Platform membantu mengurangi risiko tersebut.

Kontrol Akses Rusak A01:2021

  • Model keamanan Power Platform dibangun di LPA (Least Privileged Access). LPA memungkinkan pelanggan membangun aplikasi dengan kontrol akses yang lebih rinci.
  • Power Platform menggunakan Microsoft Entra Platform IdentitasMicrosoft Entra Microsoft ID ( ID) untuk otorisasi semua panggilan API dengan protokol OAuth 2.0 standar industri.
  • Dataverse, yang memberikan data dasar untuk Power Platform, memiliki model keamanan kaya yang mencakup keamanan tingkat lingkungan, berbasis peran, dan rekaman, dan tingkat lapangan.

Kegagalan Kriptografis A02:2021

Data dalam perjalanan:

  • Power Platform menggunakan TLS untuk mengenkripsi semua lalu lintas jaringan berbasis HTTP. Mekanisme ini menggunakan mekanisme lain untuk mengenkripsi lalu lintas jaringan non-HTTP yang berisi data pelanggan atau rahasia.
  • Power Platform mengerahkan konfigurasi TLS yang mengaktifkan HTTP Strict Transport Security (HSTS):
    • TLS 1.2 atau di atasnya
    • Suite kode berbasis ECDHE dan kurva NIST
    • Tombol kuat

Data tidak aktif:

  • Semua data pelanggan dienkripsi sebelum ditulis ke media penyimpanan non-volatilnya.

Injeksi A03:2021

Power Platform menggunakan praktik terbaik standar industri untuk mencegah serangan injeksi, termasuk:

  • Menggunakan API aman dengan antarmuka parameterisasi
  • Menerapkan kemampuan kerangka kerja front-end yang terus berkembang untuk sanitisasi input
  • Sanitisasi output dengan validasi sisi server
  • Menggunakan alat analisis statis selama waktu build
  • Meninjau Model Ancaman setiap layanan setiap enam bulan sekali, apakah kode, desain, maupun infrastruktur telah diperbarui atau tidak

A04:2021 Desain Tidak Aman

  • Power Platform dibangun pada budaya dan konsep desain yang aman. Budaya dan kepraktisan secara terus-menerus dikuatkan melalui praktik Siklus Pengembangan Keamanan (SDL) dan Model Ancaman Microsoft yang terkemuka di industri ini.
  • Proses pemeriksaan Model Ancaman memastikan bahwa ancaman diidentifikasi selama fase desain, dikurangi, dan divalidasi untuk memastikan ancaman telah dikurangi.
  • Model Ancaman juga menjelaskan semua perubahan pada layanan yang sudah berjalan melalui tinjauan rutin terus-menerus. Mengandalkan model STRIDE akan membantu mengatasi masalah umum pada desain yang tidak aman.
  • SDL Microsoft setara dengan Model Kematangan Jaminan Perangkat Lunak OWASP (SAMM). Keduanya dibangun atas dasar desain aman yang terintegrasi dengan keamanan aplikasi web.

Kesalahan konfigurasi keamanan A05:2021

  • "Default Deny" adalah salah satu landasan prinsip desain Power Platform. Dengan "Default Deny," pelanggan harus memeriksa dan memilih fitur dan konfigurasi baru.
  • Setiap kesalahan konfigurasi selama waktu build tertangkap oleh analisis keamanan terintegrasi menggunakan Alat Pengembangan Aman.
  • Selain itu, Power Platform menjalani Dynamic Analysis Security Testing (DAST) menggunakan layanan internal yang dibangun pada risiko OWASP Top 10.

A06:2021 Komponen Rentan dan Usang

  • Power Platform mengikuti praktik SDL Microsoft untuk mengelola komponen sumber terbuka dan pihak ketiga. Praktik ini mencakup memelihara inventaris lengkap, melakukan analisis keamanan, menjaga komponen selalu terbaru, dan menyejajarkan komponen dengan proses respons insiden keamanan yang telah dicoba dan diuji.
  • Dalam kasus yang jarang terjadi, beberapa aplikasi mungkin berisi salinan komponen usang karena dependensi eksternal. Namun, setelah dependensi tersebut ditangani sesuai dengan praktik yang diuraikan sebelumnya, komponen akan dilacak dan diperbarui.

A07:2021 Identifikasi dan Kegagalan autentikasi

  • Power Platform dibangun di atas dan tergantung pada Microsoft Entra identifikasi dan otentikasi ID.
  • Microsoft Entra membantu Power Platform mengaktifkan fitur aman. Fitur ini mencakup akses terusan, autentikasi multi-faktor, dan satu platform untuk berinteraksi dengan pengguna internal dan eksternal secara lebih aman.
  • Dengan Power Platform implementasi Microsoft Entra ID Continuous Access Evaluation (CAE) yang akan datang, identifikasi dan otentikasi pengguna akan menjadi lebih aman dan andal.

Kegagalan Perangkat Lunak dan Integritas Data A08:2021

  • Proses Tata Kelola Komponen Power Platform menerapkan konfigurasi aman file sumber paket untuk memelihara integritas perangkat lunak.
  • Proses ini memastikan hanya paket yang bersumber internal yang disajikan untuk menangani serangan substitusi. Serangan substitusi, yang juga dikenal sebagai dependensi rahasia, adalah teknik yang dapat digunakan untuk merotasi proses pembangunan aplikasi di dalam lingkungan perusahaan yang aman.
  • Semua data dienkripsi memiliki perlindungan integritas yang diterapkan sebelum dikirim. Semua metadata perlindungan integritas yang ada untuk data dienkripsi masuk akan divalidasi.

10 risiko Kode Rendah / Tanpa Kode teratas OWASP: Mitigasi dalam Power Platform

Untuk panduan tentang mitigasi 10 risiko keamanan Kode Rendah/Tanpa Kode teratas yang diterbitkan oleh OWASP, lihat dokumen ini:

Power Platform - OWASP Low Code No Code Top 10 Risiko (April 2024)

Pertanyaan keamanan umum dari pelanggan

Berikut adalah beberapa pertanyaan keamanan yang diajukan pelanggan kami.

Bagaimana cara Power Platform membantu melindungi terhadap clickjacking?

Clickjacking menggunakan iframe tersematkan, di antara komponen lain, untuk menerka interaksi pengguna dengan halaman web. Ini merupakan ancaman berarti untuk halaman masuk pada khususnya. Power Platform mencegah penggunaan iframe pada halaman masuk, secara signifikan mengurangi risiko clickjacking.

Selain itu, organisasi dapat menggunakan Kebijakan Keamanan Konten (CSP) untuk membatasi penanaman ke domain terpercaya.

Apakah Power Platform mendukung Kebijakan Keamanan Konten?

Power Platform mendukung kebijakan keamanan konten (CSP) untuk aplikasi berdasarkan model. Kami tidak mendukung header berikut yang menggantikan CSP:

  • X-XSS-Protection
  • X-Frame-Options

Bagaimana cara menyambung ke SQL Server dengan aman?

Lihat Menggunakan Microsoft SQL Server secara aman dengan Power Apps

Apa sandi yang didukung oleh Power Platform? Apa peta jalan untuk terus bergerak menuju sandi yang lebih kuat?

Semua layanan dan produk Microsoft dikonfigurasi untuk menggunakan suite sandi yang disetujui, sesuai urutan yang diarahkan oleh Papan Crypto Microsoft. Untuk daftar lengkap dan urutan yang sama persis, lihat dokumentasi Power Platform.

Informasi tentang deprekasi suite sandi dikomunikasikan melalui dokumentasi Perubahan Penting Power Platform.

Mengapa Power Platform masih mendukung sandi RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) dan TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)), yang dianggap lebih lebih lemah?

Microsoft menimbang risiko relatif dan gangguan terhadap operasi pelanggan dalam memilih suite sandi untuk dukungan. Suite sandi RSA-CBC belum rusak. Kami memungkinkan mereka memastikan konsistensi di seluruh layanan dan produk, dan mendukung semua konfigurasi pelanggan. Namun, daftar prioritasnya berada di bagian bawah.

Kami tidak akan menggunakan lagi sandi ini pada waktu yang tepat, berdasarkan penilaian kontinu Microsoft Crypto Board.

Mengapa Power Automate mengekspos konten MD5 di input dan output memicu/bertindak?

Power Automate memberikan nilai hash MD5 konten opsional yang dikembalikan oleh Azure Storage kepada kliennya. Hash ini digunakan oleh Azure Storage untuk memverifikasi integritas halaman selama transportasi sebagai algoritme checksum dan tidak digunakan sebagai fungsi hash kriptografis untuk tujuan keamanan di Power Automate. Anda dapat menemukan detail selengkapnya tentang ini di dokumentasi Azure Storage tentang cara Mendapatkan Properti Blob dan cara bekerja dengan Header Permintaan.

Bagaimana cara Power Platform melindungi terhadap serangan DDoS (Distributed Denial of Service)?

Power Platform dikembangkan di Microsoft Azure dan menggunakan Azure DDoS Protection untuk melindungi terhadap serangan DDoS.

Apakah Power Platform mendeteksi perangkat yang di-jailbreak dan perangkat yang di-root iOS Android untuk membantu melindungi data organisasi?

Sebaiknya Anda menggunakan Microsoft Intune. Intune adalah solusi manajemen perangkat bergerak. Layanan ini dapat membantu melindungi data organisasional dengan mengharuskan pengguna dan perangkat memenuhi persyaratan tertentu. Untuk informasi lebih lanjut, lihat pengaturan kebijakan kesesuaian Intune.

Mengapa cookie sesi dicakupkan ke domain induk?

Power Platform mencakup cookie sesi ke domain induk untuk memungkinkan otentikasi di seluruh organisasi. Subdomain tidak digunakan sebagai batas keamanan. Mereka juga tidak meng-host konten pelanggan.

Bagaimana kita dapat mengatur sesi aplikasi ke waktu habis setelah, katakan, 15 menit?

Power Platform menggunakan Microsoft Entra identitas ID dan manajemen akses. Ini mengikuti Microsoft Entra konfigurasi manajemen sesi ID yang direkomendasikan untuk pengalaman pengguna yang optimal.

Namun, Anda dapat menyesuaikan lingkungan untuk memiliki waktu sesi dan/atau aktivitas eksplisit. Untuk informasi lebih lanjut, lihat manajemen sesi dan akses pengguna.

Dengan Power Platform implementasi Microsoft Entra ID Continuous Access Evaluation yang akan datang, identifikasi dan otentikasi pengguna akan menjadi lebih aman dan andal.

Aplikasi ini memungkinkan pengguna yang sama untuk mengakses dari lebih dari satu mesin atau browser pada waktu yang sama. Bagaimana cara mencegahnya?

Mengakses aplikasi dari lebih dari satu perangkat atau browser pada waktu bersamaan akan memberikan kenyamanan bagi pengguna. Power PlatformImplementasi Microsoft Entra Evaluasi Akses Berkelanjutan ID yang akan datang akan membantu memastikan bahwa akses berasal dari perangkat dan browser resmi dan masih valid.

Mengapa beberapa layanan Power Platform memaparkan header server dengan informasi bertele-tele?

Layanan Power Platform telah bekerja untuk menghilangkan informasi yang tidak perlu di header server. Tujuannya adalah menyeimbangkan tingkat rincian dengan risiko paparan informasi yang dapat memperlemah postur keamanan secara keseluruhan.

Bagaimana dampak kerentanan Log4j terhadap Power Platform? Apa yang harus dilakukan pelanggan dalam hal ini?

Microsoft telah menilai tidak ada dampak kerentanan Log4j terhadap Power Platform. Lihat posting blog kami tentang pencegahan , deteksi, dan perburuan untuk eksploitasi kerentanan Log4j.

Bagaimana kami dapat memastikan tidak ada transaksi yang tidak sah karena ekstensi browser Antarmuka Terpadu API Klien yang memungkinkan kontrol dinonaktifkan diaktifkan?

Model keamanan Power Apps tidak mencakup konsep kontrol yang dinonaktifkan. Menonaktifkan kontrol adalah peningkatan UI. Anda tidak harus mengandalkan kontrol yang dinonaktifkan untuk memberikan keamanan. Melainkan, gunakan kontrol Dataverse seperti keamanan tingkat bidang untuk mencegah transaksi yang tidak sah.

Header keamanan HTTP mana yang digunakan untuk melindungi data respons?

Nama Detail
Ketat-transportasi-keamanan Ini diatur ke max-age=31536000; includeSubDomains pada semua respons.
Opsi X-Frame Ini tidak digunakan lagi demi CSP.
X-Content-Type-Options Ini diatur ke nosniff pada semua respons aset.
Kebijakan Keamanan Konten Ini diatur jika pengguna mengaktifkan CSP.
Perlindungan X-XSS Ini tidak digunakan lagi demi CSP.

Di mana saya dapat menemukan Power Platform atau pengujian penetrasi Dynamics 365?

Pengujian penetrasi dan penilaian keamanan terakhir dapat ditemukan di Portal Kepercayaan Layanan Microsoft.

Catatan

Untuk mengakses beberapa sumber daya di Service Trust Portal, Anda harus masuk sebagai pengguna terautentikasi dengan akun layanan cloud Microsoft (Microsoft Entra akun organisasi) serta meninjau dan menerima perjanjian kerahasiaan Microsoft untuk materi kepatuhan.

Keamanan dalam Microsoft Power Platform
Mengautentikasi ke layanan Power Platform
Menyambungkan dan mengautentikasi ke sumber data
Penyimpanan data di Power Platform

Baca juga