Power Platform 보안 FAQ
Power Platform 보안에 대해 자주 묻는 질문은 두 가지 범주로 나뉩니다.
Power Platform가 상위 10개 OWASP(Open Web Application Security Project®) 위험을 완화하는 데 도움이 되도록 설계된 방식
고객이 묻는 질문
최신 정보를 더 쉽게 찾을 수 있도록 이 문서의 끝에 새로운 질문이 추가되었습니다.
OWASP 상위 10가지 위험: Power Platform의 완화
Open Web Application Security Project®(OWASP)는 소프트웨어 보안을 개선하기 위해 노력하는 비영리 재단입니다. 커뮤니티 주도의 오픈 소스 소프트웨어 프로젝트, 전 세계 수백 개의 지부, 수만 명의 회원, 주요 교육 및 훈련 컨퍼런스를 통해 OWASP 재단은 개발자와 기술자가 웹을 보호할 수 있는 소스입니다.
OWASP 상위 10위는 개발자 및 웹 애플리케이션 보안에 관심 있는 사람들을 위한 표준 인식 문서입니다. 이는 웹 애플리케이션에 대한 가장 중요한 보안 위험에 대한 광범위한 합의를 나타냅니다. 이 섹션에서는 Power Platform에서 어떻게 이러한 위험을 완화하는 데 도움이 되는지 논의합니다.
- Power Platform 보안 모델은 LPA(최소 권한 액세스)를 기반으로 합니다. LPA를 이용하여 고객은 보다 세분화된 액세스 제어를 통해 애플리케이션을 구축할 수 있습니다.
- Power Platform은 업계 표준 OAuth 2.0 프로토콜을 사용하는 모든 API 호출에 대한 권한 부여를 위해 Microsoft Entra ID의 (Microsoft Entra ID) Microsoft ID 플랫폼을 사용합니다.
- Power Platform에 대한 기본 데이터를 제공하는 Dataverse에는 환경 수준, 역할 기반, 레코드 및 필드 수준 보안을 포함하는 풍부한 보안 모델이 있습니다.
전송 중인 데이터:
- Power Platform는 TLS를 사용하여 모든 HTTP 기반 네트워크 트래픽을 암호화합니다. 다른 메커니즘을 사용하여 고객 또는 기밀 데이터가 포함된 비 HTTP 네트워크 트래픽을 암호화합니다.
- Power Platform는 HSTS(HTTP Strict Transport Security)를 사용하는 강화된 TLS 구성을 사용합니다.
- TLS 1.2 이상
- ECDHE 기반 암호 제품군 및 NIST 커브
- 강력한 키
미사용 데이터:
- 모든 고객 데이터는 비휘발성 저장 매체에 쓰기 전에 암호화됩니다.
Power Platform은 다음과 같은 주입 공격을 방지하기 위해 산업 표준 모범 사례를 사용합니다.
- 매개 변수화된 인터페이스를 통해 안전한 API 사용
- 프런트 엔드 프레임워크의 끊임없이 진화하는 기능을 적용하여 입력 삭제
- 서버 측 유효성 검사로 출력 삭제
- 빌드 시간 동안 정적 분석 도구 사용
- 코드, 디자인 또는 인프라 업데이트 여부에 관계없이 6개월마다 각 서비스별 위협 모델 검토
- Power Platform은 보안 설계의 문화와 방법론을 기반으로 빌드됩니다. Microsoft의 업계 최고 보안 개발 수명 주기(SDL) 및 위협 모델링 방식을 통해 문화와 방법론이 지속적으로 강화됩니다.
- 위협 모델링 검토 프로세스는 설계 단계에서 위협을 식별하고, 완화하고, 위협이 완화되었는지 확인하도록 확인합니다.
- 위협 모델링은 또한 지속적인 정기 검토를 통해 이미 실행 중인 서비스에 대한 모든 변경 사항을 설명합니다. STRIDE 모델에 의존하여 안전하지 않은 설계와 관련된 가장 일반적인 문제를 해결하는 데 도움이 됩니다.
- Microsoft의 SDL은 OWASP SAMM(Software Assurance Maturity Model)과 동일합니다. 둘 다 보안 설계가 웹 애플리케이션 보안에 필수적이라는 전제에 구축되었습니다.
- "기본 거부"는 Power Platform 설계 원칙의 기초 중 하나입니다. "기본 거부"를 사용하면 고객은 새로운 기능과 구성을 검토하고 선택해야 합니다.
- 빌드 시 설정 오류는 보안 개발 도구를 통한 통합 보안 분석을 통해 잡아냅니다.
- 또한 Power Platform은 OWASP 상위 10가지 위험을 기반으로 구축된 내부 서비스를 이용하여 DAST(Dynamic Analysis Security Testing)을 거칩니다.
- Power Platform은 Microsoft의 SDL 방식을 따라 오픈 소스 및 타사 구성 요소를 관리합니다. 이러한 방식에는 전체 인벤토리 유지 관리, 보안 분석 수행, 구성 요소를 최신 상태로 유지, 시도 및 테스트된 보안 인시던트 대응 프로세스와 정렬하는 작업이 포함됩니다.
- 드문 경우지만 일부 응용 프로그램에는 외부 종속성으로 인해 오래된 구성 요소의 복사본이 포함될 수 있습니다. 그러나 앞서 설명한 방식에 따라 이러한 종속성을 해결한 후 구성 요소를 추적하고 업데이트합니다.
- Power Platform은 Microsoft Entra ID 식별 및 인증을 기반으로 구축되었으며 이에 의존합니다.
- Microsoft Entra는 Power Platform이 보안 기능을 사용하는 데 도움이 됩니다. 이러한 기능은 이 Single Sign-On(SSO), 다단계 인증 및 단일 플랫폼을 포함하여 여러 보안 기능을 활성화하여 내부 및 외부 사용자 모두와 더 안전하게 참여할 수 있도록 지원합니다.
- Power Platform의 예정된 Microsoft Entra ID 지속적인 액세스 평가(CAE)와 함께, 사용자 식별 및 인증은 훨씬 더 안전하고 신뢰할 수 있습니다.
- Power Platform의 구성 요소 거버넌스 프로세스는 패키지 소스 파일의 보안 구성을 이 안전하게 구성되도록 적용하여 소프트웨어 무결성이 유지되도록 합니다.
- 이 프로세스는 내부 소싱 패키지만 대체 공격 해결에 제공되도록 합니다. 종속성 혼동이라고도 하는 대체 공격은 안전한 기업 환경 내에서 앱 구축 프로세스를 감염시키는 데 사용할 수 있는 기술입니다.
- 모든 암호화된 데이터는 전송되기 전에 무결성 보호가 적용됩니다. 수신되는 암호화된 데이터에 대해 존재하는 모든 무결성 보호 메타데이터가 검증됩니다.
OWASP 상위 10개 로우코드/노코드 위험: Power Platform에서 완화
OWASP에서 게시한 상위 10가지 로우코드/노코드 보안 위험을 완화하는 방법에 대한 지침은 다음 문서를 참조하세요.
Power Platform - OWASP 로우코드/노코드 상위 10개 위험(2024년 4월)
고객의 일반적인 보안 질문
다음은 고객이 묻는 몇 가지 보안 질문입니다.
Power Platform은 클릭재킹 위험을 방지하는 데 어떻게 도움을 줍니까?
클릭재킹은 웹 페이지와 사용자의 상호 작용을 가로채기 위해 다른 구성 요소 중에서 포함된 iframe을 사용합니다. 특히 로그인 페이지에 심각한 위협이 됩니다. Power Platform은 로그인 페이지에서 iframe 사용을 방지하여 클릭재킹의 위험을 크게 줄입니다.
또한 조직은 콘텐츠 보안 정책(CSP)을 사용하여 조직 설정이 있는 신뢰할 수 있는 도메인으로 포함을 제한할 수 있습니다.
Power Platform은 콘텐츠 보안 정책을 지원합니까?
Power Platform은 모델 기반 앱에 대한 콘텐츠 보안 정책(CSP)을 지원합니다. CSP로 대체된 다음 헤더는 지원하지 않습니다.
X-XSS-ProtectionX-Frame-Options
SQL Server에 안전하게 연결할 수 있는 방법은 무엇입니까?
Power Apps로 안전하게 Microsoft SQL Server를 사용하기를 확인하세요.
Power Platform은 어떤 암호화를 지원합니까? 더 강력한 암호화를 향한 지속적인 이동의 로드맵은 무엇입니까?
모든 Microsoft 서비스 및 제품은 Microsoft Crypto Board에서 알려준 정확한 순서대로 승인된 암호화 제품군을 사용하도록 구성됩니다. 전체 목록과 정확한 순서는 Power Platform 설명서를 참조하세요.
암호화 제품군 사용 중단에 대한 정보는 Power Platform의 중요 변경 사항 설명서를 통해 전달됩니다.
Power Platform이 더 약한 것으로 간주되는 RSA-CBC 암호화(TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) 및 TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028))를 지원하는 이유는 무엇입니까?
Microsoft는 암호화 제품군 지원을 선택할 때 상대적인 위험과 고객 중단을 고려했습니다. RSA-CBC 암호화 제품군은 아직 손상되지 않았습니다. Microsoft는 자사 서비스와 제품 전반에 걸쳐 일관성을 보장하고 모든 고객 구성을 지원할 수 있도록 했습니다. 그러나 이는 우선 순위 목록의 맨 아래에 있습니다.
Microsoft Crypto Board는 지속적인 평가를 바탕으로 이러한 암호화 제품군이 적절한 시기에 더 이상 사용되지 않을 것입니다.
Power Automate가 트리거/작업 입력 및 출력에서 MD5 콘텐츠 해시를 노출하는 이유는 무엇입니까?
Power Automate는 Azure Storage에서 반환된 선택적 콘텐츠 MD5 해시 값을 있는 그대로 클라이언트에 전달합니다. 이 해시는 Azure Storage에서 체크섬 알고리즘으로 전송하는 동안 페이지의 무결성을 확인하는 데 사용되며 Power Automate에서 보안을 위해 암호화 해시 함수로 사용되지 않습니다. 이에 대한 자세한 내용은 Blob 속성 가져오기 및 헤더 요청 작업 방법에 대한 Azure Storage 설명서에서 확인할 수 있습니다.
Power Platform은 분산형 서비스 거부(DDoS) 공격을 어떻게 방어합니까?
Power Platform은 Microsoft Azure에 빌드되며 Azure DDoS Protection를 사용하여 DDoS 공격으로부터 보호합니다.
Power Platform은 탈옥된 iOS 장치와 루팅된 Android 장치를 감지하여 조직 데이터를 보호합니까?
Microsoft Intune을 사용하는 것이 좋습니다. Intune은 모바일 장치 관리 솔루션입니다. 사용자와 장치가 특정 요구 사항을 충족하도록 요구하여 조직 데이터를 보호하는 데 도움이 될 수 있습니다. 자세한 내용은 Intune의 규정 준수 정책 설정을 참조하세요.
세션 쿠키가 상위 도메인으로 범위가 지정된 이유는 무엇입니까?
Power Platform은 조직 전체에서 인증을 허용하기 위해 세션 쿠키의 범위를 부모 도메인으로 지정합니다. 하위 도메인은 보안 경계로 사용되지 않습니다. 또한 고객 콘텐츠를 호스팅하지 않습니다.
예를 들어 15분 후에 애플리케이션 세션이 시간 초과되도록 설정하려면 어떻게 해야 합니까?
Power Platform은 Microsoft Entra ID ID 및 액세스 관리를 사용합니다. 이는 최적의 사용자 환경을 위한 세션 관리를 위해 Microsoft Entra ID의 권장 세션 관리 구성을 따릅니다.
그러나 명시적인 세션 및/또는 활동 시간 초과를 갖도록 환경을 사용자 지정할 수 있습니다. 자세한 내용은 사용자 세션 및 액세스 관리를 참조하세요.
Power Platform의 예정된 Microsoft Entra ID 지속적인 액세스 평가와 함께, 사용자 식별 및 인증은 훨씬 더 안전하고 신뢰할 수 있습니다.
이 애플리케이션을 사용하면 동일한 사용자가 동시에 둘 이상의 컴퓨터 또는 브라우저에서 액세스할 수 있습니다. 어떻게 예방할 수 있습니까?
동시에 둘 이상의 디바이스 또는 브라우저에서 애플리케이션에 액세스하는 것이 사용자에게 편리합니다. Power Platform의 예정된 Microsoft Entra ID 지속적인 액세스 평가 구현은 승인된 디바이스 및 브라우저에서 액세스가 유효한지 확인하는 데 도움이 됩니다.
일부 Power Platform 서비스가 자세한 정보가 포함된 서버 헤더를 노출하는 이유는 무엇입니까?
Power Platform 서비스는 서버 헤더에서 불필요한 정보를 제거하는 데 노력하고 있습니다. 목표는 전반적인 보안 태세를 약화시킬 수 있는 정보 노출의 위험과 세부 수준의 균형을 맞추는 것입니다.
Log4j 취약점은 Power Platform에 어떤 영향을 줍니까? 이와 관련하여 고객은 어떻게 해야 합니까?
Microsoft는 Log4j 취약점이 Power Platform에 영향을 미치지 않는다고 평가했습니다. Log4j 취약점의 악용 방지, 탐지 및 헌팅에 대한 블로그 게시물을 참조하세요.
사용 중지된 컨트롤을 사용할 수 있도록 하는 브라우저 확장 또는 통합 인터페이스 클라이언트 API로 인한 무단 트랜잭션이 없도록 하려면 어떻게 해야 합니까?
Power Apps 보안 모델은 사용 중지된 컨트롤의 개념을 포함하지 않습니다. 컨트롤 사용 중지는 UI 개선 사항입니다. 보안을 제공하는 데 사용 중지된 컨트롤에 의존해서는 안 됩니다. 대신 무단 트랜잭션을 방지하기 위해 필드 수준 보안과 같은 Dataverse 보안 컨트롤을 사용하세요.
응답 데이터를 보호하는 데 사용되는 HTTP 보안 헤더는 무엇입니까?
| 입력 | 세부 사항 |
|---|---|
| Strict-Transport-Security | 이는 모든 응답에 대해 max-age=31536000; includeSubDomains로 설정됩니다. |
| X-Frame-Options | 이는 CSP를 위해 더 이상 사용되지 않습니다. |
| X-Content-Type-Options | 이는 모든 자산 응답에 대해 nosniff로 설정됩니다. |
| Content-Security-Policy | 이는 사용자가 CSP를 활성화하면 설정됩니다. |
| X-XSS-Protection | 이는 CSP를 위해 더 이상 사용되지 않습니다. |
Power Platform 또는 Dynamics 365 침투 테스트는 어디에서 찾을 수 있습니까?
최신 침투 테스트 및 보안 평가는 Microsoft 서비스 신뢰 포털에서 확인할 수 있습니다.
노트
서비스 신뢰 포털의 일부 리소스에 액세스하려면 Microsoft 클라우드 서비스 계정(Microsoft Entra 조직 계정)을 사용하여 인증된 사용자로 로그인하고 규정 준수 자료에 대한 Microsoft 비공개 계약을 검토하고 동의해야 합니다.
관련 문서
Microsoft Power Platform의 보안
Power Platform 서비스에 인증
데이터 원본에 연결 및 인증
Power Platform의 데이터 스토리지