Bagikan melalui

Tanya Jawab Keamanan Power Platform

  • Artikel

Pertanyaan yang umum tentang keamanan Power Platform termasuk dalam dua kategori:

  • Cara Power Platform dirancang untuk membantu mengurangi risiko 10 teratas Open Web Application Security Project® (OWASP)

  • Pertanyaan yang diajukan pelanggan kami

Untuk memudahkan Anda menemukan informasi terbaru, pertanyaan baru akan ditambahkan di akhir artikel ini.

OWASP 10 risiko teratas: Mitigasi di Power Platform

Open Web Application Security Project® (OWASP) adalah landasan nirlaba yang berfungsi untuk meningkatkan keamanan perangkat lunak. Melalui proyek perangkat lunak sumber terbuka yang ditunjang komunitas, ratusan bab di seluruh dunia, puluhan ribuan anggota, dan konferensi pelatihan dan kesehatan terkemuka, OWASP Foundation adalah sumber bagi pengembang dan pakar teknologi untuk amankan web.

OWASP top 10 adalah dokumen kesadaran standar untuk pengembang dan orang lain yang tertarik dengan keamanan aplikasi web. Hal ini menunjukkan konsensus luas tentang risiko keamanan paling penting bagi aplikasi web. Di bagian ini, kami akan membahas cara Power Platform membantu mengurangi risiko tersebut.

A01:2021 Kontrol Akses Rusak

  • Model keamanan Power Platform dibangun di LPA (Least Privileged Access). LPA memungkinkan pelanggan membangun aplikasi dengan kontrol akses yang lebih rinci.
  • Power Platform menggunakan Microsoft Entra Platform IdentitasMicrosoft Entra ID ( Microsoft ID) untuk otorisasi semua panggilan API dengan protokol 2.0 standar OAuth industri.
  • Dataverse, yang memberikan data dasar untuk Power Platform, memiliki model keamanan kaya yang mencakup keamanan tingkat lingkungan, berbasis peran, dan rekaman, dan tingkat lapangan.

A02:2021 Kegagalan Kriptografi

Data dalam perjalanan:

  • Power Platform menggunakan TLS untuk mengenkripsi semua lalu lintas jaringan berbasis HTTP. Mekanisme ini menggunakan mekanisme lain untuk mengenkripsi lalu lintas jaringan non-HTTP yang berisi data pelanggan atau rahasia.
  • Power Platform mengerahkan konfigurasi TLS yang mengaktifkan HTTP Strict Transport Security (HSTS):
    • TLS 1.2 atau di atasnya
    • Suite kode berbasis ECDHE dan kurva NIST
    • Tombol kuat

Data tidak aktif:

  • Semua data pelanggan dienkripsi sebelum ditulis ke media penyimpanan non-volatilnya.

A03:2021 Injeksi

Power Platform menggunakan praktik terbaik standar industri untuk mencegah serangan injeksi, termasuk:

  • Menggunakan API aman dengan antarmuka parameterisasi
  • Menerapkan kemampuan kerangka kerja front-end yang terus berkembang untuk sanitisasi input
  • Sanitisasi output dengan validasi sisi server
  • Menggunakan alat analisis statis selama waktu build
  • Meninjau Model Ancaman setiap layanan setiap enam bulan sekali, apakah kode, desain, maupun infrastruktur telah diperbarui atau tidak

A04:2021 Desain Tidak Aman

  • Power Platform dibangun pada budaya dan konsep desain yang aman. Budaya dan metodologi terus diperkuat melalui Microsoft praktik Siklus Hidup Pengembangan Keamanan (SDL) dan Pemodelan Ancaman yang terkemuka di industri.
  • Proses pemeriksaan Model Ancaman memastikan bahwa ancaman diidentifikasi selama fase desain, dikurangi, dan divalidasi untuk memastikan ancaman telah dikurangi.
  • Model Ancaman juga menjelaskan semua perubahan pada layanan yang sudah berjalan melalui tinjauan rutin terus-menerus. Mengandalkan model STRIDE akan membantu mengatasi masalah umum pada desain yang tidak aman.
  • MicrosoftSDL setara dengan Model Kematangan Jaminan Perangkat Lunak OWASP (SAMM). Keduanya dibangun atas dasar desain aman yang terintegrasi dengan keamanan aplikasi web.

A05:2021 Kesalahan Konfigurasi Keamanan

  • "Default Deny" adalah salah satu landasan prinsip desain Power Platform. Dengan "Default Deny," pelanggan harus memeriksa dan memilih fitur dan konfigurasi baru.
  • Setiap kesalahan konfigurasi selama waktu build tertangkap oleh analisis keamanan terintegrasi menggunakan Alat Pengembangan Aman.
  • Selain itu, Power Platform menjalani Dynamic Analysis Security Testing (DAST) menggunakan layanan internal yang dibangun pada risiko OWASP Top 10.

A06:2021 Komponen yang Rentan dan Ketinggalan Zaman

  • Power Platform mengikuti Microsoft praktik SDL untuk mengelola komponen sumber terbuka dan pihak ketiga. Praktik ini mencakup memelihara inventaris lengkap, melakukan analisis keamanan, menjaga komponen selalu terbaru, dan menyejajarkan komponen dengan proses respons insiden keamanan yang telah dicoba dan diuji.
  • Dalam kasus yang jarang terjadi, beberapa aplikasi mungkin berisi salinan komponen usang karena dependensi eksternal. Namun, setelah dependensi tersebut ditangani sesuai dengan praktik yang diuraikan sebelumnya, komponen akan dilacak dan diperbarui.

A07:2021 Kegagalan Identifikasi dan Autentikasi

  • Power Platform dibangun dan bergantung pada Microsoft Entra identifikasi dan otentikasi ID.
  • Microsoft Entra membantu Power Platform mengaktifkan fitur aman. Fitur ini mencakup akses terusan, autentikasi multi-faktor, dan satu platform untuk berinteraksi dengan pengguna internal dan eksternal secara lebih aman.
  • Dengan Power Platform penerapan Microsoft Entra ID Continuous Access Evaluation (CAE) yang akan datang, identifikasi dan otentikasi pengguna akan menjadi lebih aman dan andal.

A08:2021 Kegagalan Perangkat Lunak dan Integritas Data

  • Proses Tata Kelola Komponen Power Platform menerapkan konfigurasi aman file sumber paket untuk memelihara integritas perangkat lunak.
  • Proses ini memastikan hanya paket yang bersumber internal yang disajikan untuk menangani serangan substitusi. Serangan substitusi, yang juga dikenal sebagai dependensi rahasia, adalah teknik yang dapat digunakan untuk merotasi proses pembangunan aplikasi di dalam lingkungan perusahaan yang aman.
  • Semua data dienkripsi memiliki perlindungan integritas yang diterapkan sebelum dikirim. Semua metadata perlindungan integritas yang ada untuk data dienkripsi masuk akan divalidasi.

10 risiko Kode Rendah/Tanpa Kode teratas OWASP: Mitigasi di Power Platform

Untuk panduan tentang mengurangi 10 risiko keamanan Kode Rendah/Tanpa Kode teratas yang diterbitkan oleh OWASP, lihat dokumen ini:

Power Platform - OWASP Kode Rendah Tanpa Kode 10 Risiko Teratas (April 2024)

Pertanyaan keamanan umum dari pelanggan

Berikut adalah beberapa pertanyaan keamanan yang diajukan pelanggan kami.

Bagaimana cara Power Platform membantu melindungi terhadap clickjacking?

Clickjacking menggunakan iframe yang disematkan, di antara komponen lainnya, untuk membajak interaksi pengguna dengan halaman web. Ini merupakan ancaman berarti untuk halaman masuk pada khususnya. Power Platform mencegah penggunaan iframe pada halaman masuk, secara signifikan mengurangi risiko clickjacking.

Selain itu, organisasi dapat menggunakan Kebijakan Keamanan Konten (CSP) untuk membatasi penanaman ke domain terpercaya.

Apakah Power Platform mendukung Kebijakan Keamanan Konten?

Power Platform mendukung kebijakan keamanan konten (CSP) untuk aplikasi berdasarkan model. Kami tidak mendukung header berikut yang menggantikan CSP:

  • X-XSS-Protection
  • X-Frame-Options

Bagaimana cara menyambung ke SQL Server dengan aman?

Lihat Menggunakan Microsoft SQL Server secara aman dengan Power Apps

Apa sandi yang didukung oleh Power Platform? Apa peta jalan untuk terus bergerak menuju sandi yang lebih kuat?

Semua Microsoft layanan dan produk dikonfigurasi untuk menggunakan rangkaian sandi yang disetujui, dalam urutan yang tepat yang diarahkan oleh Microsoft Crypto Board. Untuk daftar lengkap dan urutan yang sama persis, lihat dokumentasi Power Platform.

Informasi tentang deprekasi suite sandi dikomunikasikan melalui dokumentasi Perubahan Penting Power Platform.

Mengapa Power Platform masih mendukung sandi RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) dan TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)), yang dianggap lebih lebih lemah?

Microsoft Menimbang risiko relatif dan gangguan pada operasi pelanggan dalam memilih suite sandi untuk didukung. Suite sandi RSA-CBC belum rusak. Kami memungkinkan mereka memastikan konsistensi di seluruh layanan dan produk, dan mendukung semua konfigurasi pelanggan. Namun, daftar prioritasnya berada di bagian bawah.

Kami akan menghentikan sandi ini pada waktu yang tepat, berdasarkan Microsoft penilaian berkelanjutan Crypto Board.

Mengapa Power Automate mengekspos konten MD5 di input dan output memicu/bertindak?

Power Automate memberikan nilai hash MD5 konten opsional yang dikembalikan oleh Azure Storage kepada kliennya. Hash ini digunakan oleh Azure Storage untuk memverifikasi integritas halaman selama transportasi sebagai algoritme checksum dan tidak digunakan sebagai fungsi hash kriptografis untuk tujuan keamanan di Power Automate. Anda dapat menemukan detail selengkapnya tentang ini di dokumentasi Azure Storage tentang cara Mendapatkan Properti Blob dan cara bekerja dengan Header Permintaan.

Bagaimana cara Power Platform melindungi terhadap serangan DDoS (Distributed Denial of Service)?

Power Platform dikembangkan di Microsoft Azure dan menggunakan Azure DDoS Protection untuk melindungi terhadap serangan DDoS.

Apakah Power Platform mendeteksi perangkat yang di-jailbreak iOS dan perangkat yang di-root Android untuk membantu melindungi data organisasi?

Kami menyarankan Anda menggunakan Microsoft Intune. Intune adalah solusi manajemen perangkat bergerak. Layanan ini dapat membantu melindungi data organisasional dengan mengharuskan pengguna dan perangkat memenuhi persyaratan tertentu. Untuk informasi lebih lanjut, lihat pengaturan kebijakan kesesuaian Intune.

Mengapa cookie sesi dicakupkan ke domain induk?

Power Platform mencakup cookie sesi ke domain induk untuk memungkinkan otentikasi di seluruh organisasi. Subdomain tidak digunakan sebagai batas keamanan. Mereka juga tidak meng-host konten pelanggan.

Bagaimana kita dapat mengatur sesi aplikasi ke waktu habis setelah, katakan, 15 menit?

Power Platform menggunakan Microsoft Entra ID ID dan manajemen akses. Ini mengikuti Microsoft Entra konfigurasi manajemen sesi yang direkomendasikan ID untuk pengalaman pengguna yang optimal.

Namun, Anda dapat menyesuaikan lingkungan untuk memiliki waktu sesi dan/atau aktivitas eksplisit. Untuk informasi lebih lanjut, lihat manajemen sesi dan akses pengguna.

Dengan Power Platform penerapan Microsoft Entra Evaluasi Akses Berkelanjutan IDyang akan datang, identifikasi dan otentikasi pengguna akan menjadi lebih aman dan andal.

Aplikasi ini memungkinkan pengguna yang sama untuk mengakses dari lebih dari satu mesin atau browser pada waktu yang sama. Bagaimana cara mencegahnya?

Mengakses aplikasi dari lebih dari satu perangkat atau browser pada waktu bersamaan akan memberikan kenyamanan bagi pengguna. Power PlatformImplementasi Evaluasi Microsoft Entra Akses Berkelanjutan ID yang akan datang akan membantu memastikan bahwa akses berasal dari perangkat dan browser resmi dan masih valid.

Mengapa beberapa layanan Power Platform memaparkan header server dengan informasi bertele-tele?

Layanan Power Platform telah bekerja untuk menghilangkan informasi yang tidak perlu di header server. Tujuannya adalah menyeimbangkan tingkat rincian dengan risiko paparan informasi yang dapat memperlemah postur keamanan secara keseluruhan.

Bagaimana dampak kerentanan Log4j terhadap Power Platform? Apa yang harus dilakukan pelanggan dalam hal ini?

Microsoft telah menilai bahwa tidak ada dampak kerentanan Power Platform Log4j. Lihat posting blog kami tentang pencegahan , deteksi, dan perburuan untuk eksploitasi kerentanan Log4j.

Bagaimana kami dapat memastikan tidak ada transaksi yang tidak sah karena ekstensi browser Antarmuka Terpadu API Klien yang memungkinkan kontrol dinonaktifkan diaktifkan?

Model keamanan Power Apps tidak mencakup konsep kontrol yang dinonaktifkan. Menonaktifkan kontrol adalah peningkatan UI. Anda tidak harus mengandalkan kontrol yang dinonaktifkan untuk memberikan keamanan. Melainkan, gunakan kontrol Dataverse seperti keamanan tingkat bidang untuk mencegah transaksi yang tidak sah.

Header keamanan HTTP mana yang digunakan untuk lindungi respons data?

Nama Detail
Keamanan Transportasi yang Ketat Ini diatur ke pada max-age=31536000; includeSubDomains semua respons.
Opsi X-Frame Ini tidak digunakan lagi demi CSP.
X-Konten-Jenis-Opsi Ini diatur ke nosniff semua respons aset.
Kebijakan Keamanan Konten Ini diatur jika pengguna mengaktifkan CSP.
Perlindungan X-XSS Ini tidak digunakan lagi demi CSP.

Di mana saya dapat menemukan Power Platform atau pengujian penetrasi Dynamics 365?

Tes penetrasi dan penilaian keamanan terbaru dapat ditemukan di Microsoft Portal Kepercayaan Layanan.

Catatan

Untuk mengakses beberapa sumber daya di Portal Kepercayaan Layanan, Anda harus masuk sebagai pengguna yang diautentikasi dengan akun layanan cloud ( Microsoft akun organisasi) AndaMicrosoft Entra dan meninjau serta menerima Microsoft perjanjian kerahasiaan untuk materi kepatuhan.

Keamanan di Microsoft Power Platform
Mengautentikasi ke Power Platform layanan
Menghubungkan dan mengautentikasi ke sumber data
Penyimpanan data di Power Platform

Baca juga