FAQs de segurança do Power Platform
As perguntas mais frequentes sobre a segurança do Power Platform enquadram-se em duas categorias:
Como o Power Platform foi concebido para ajudar a mitigar os 10 principais riscos da Open Web Application Security Project® (OWASP)
Perguntas que os nossos clientes fazem
Para facilitar a descoberta das últimas informações, foram adicionadas novas perguntas no final deste artigo.
10 principais riscos da OWASP: Mitigações no Power Platform
A Open Web Application Security Project® (OWASP) é uma fundação sem fins lucrativos que trabalha para melhorar a segurança do software. Através de projetos de software open-source liderados pela comunidade, centenas de grupos em todo o mundo, dezenas de milhares de membros e conferências de educação e formação líderes, a Fundação OWASP é a origem para os programadores e tecnólogos protegerem a Web.
O 10 principais da OWASP é um documento de sensibilização padrão para programadores e outros interessados em segurança de aplicações Web. Representa um amplo consenso sobre os riscos de segurança mais críticos para aplicações Web. Nesta secção, iremos falar de como o Power Platform ajuda a mitigar estes riscos.
A01:2021 Controlo de Acesso Quebrado
- O modelo de segurança do Power Platform é criado no Acesso Menos Privilegiado (LPA). O LPA permite que os clientes criem aplicações com controlo de acesso mais granular.
- O Power Platform utiliza a Plataforma de Identidade da Microsoft do ID do Microsoft Entra (ID do Microsoft Entra) para autorização de todas as chamadas à API com o protocolo OAuth 2.0 padrão do setor.
- Dataverse, que fornece os dados subjacentes para o Power Platform, tem um modelo de segurança rico que inclui segurança ao nível do ambiente, baseado em funções e ao nível do registo e de campo.
A02:2021 Falhas Criptográficas
Dados em trânsito:
- O Power Platform utiliza TLS para encriptar todo o tráfego de rede baseado em HTTP. Utiliza outros mecanismos para encriptar o tráfego de rede não HTTP que contém dados de clientes ou confidenciais.
- O Power Platform emprega uma configuração TLS endurecida que permite a HTTP Strict Transport Security (HSTS):
- TLS 1.2 ou superior
- Conjuntos de cifras baseados em ECDHE e curvas NIST
- Chaves fortes
Dados inativos:
- Todos os dados de cliente são encriptados antes de serem escritos para suportes de dados de armazenamento não voláteis.
O Power Platform utiliza as melhores práticas padrão do setor para prevenir ataques de injeção, incluindo:
- Utilização de APIs seguras com interfaces parametrizadas
- Aplicar as capacidades em constante evolução das estruturas de front-end para limpar entradas
- Limpar a saída com validação do lado do servidor
- Utilizar ferramentas de análise estática durante o tempo de compilação
- Rever o Modelo de Ameaça de cada serviço a cada seis meses se o código, conceção ou infraestrutura foi atualizado ou não
- O Power Platform foi criado sobre uma cultura e metodologia de conceção segura. A cultura e a metodologia são constantemente reforçadas através das principais práticas do Ciclo de Vida de Desenvolvimento de Segurança (SDL) e de Modelação de Ameaças.
- O robusto processo de revisão da Modelação de Ameaças garante que as ameaças são identificadas durante a fase de conceção, mitigadas e validadas para garantir que foram mitigadas.
- A Modelação de Ameaças também é responsável por todas as alterações aos serviços que já estão em direto através de revisões regulares contínuas. Confiar no modelo STRIDE ajuda a abordar os problemas mais comuns com um conceção insegura.
- O SDL da Microsoft é equivalente ao Modelo de Maturidade de Garantia de Software OWASP (SAMM). Ambos são construídos no pressuposto de que o design seguro é parte integrante da segurança da aplicação web.
A05:2021 Configuração Incorreta da Segurança
- "Negar Predefinido" é uma das bases dos princípios da conceção do Power Platform. Com "Negar Predefinido", os clientes precisam de rever e optar ativamente por novas funcionalidades e configurações.
- Quaisquer configurações erradas durante o tempo de compilação são apanhadas pela análise de segurança integrada utilizando Ferramentas de Programação Seguras.
- Além disso, o Power Platform passa por Testes de Segurança de Análise Dinâmicos (DAST) utilizando um serviço interno que é criado com base nos 10 Principais riscos da OWASP.
A06:2021 Componentes Vulneráveis e Desatualizados
- O Power Platform segue as principais de SDL da Microsoft para gerir componentes open-source e de terceiros. Estas práticas incluem manter o inventário completo, realizar análises de segurança, manter os componentes atualizados e alinhar os componentes com um processo de resposta a incidentes de segurança testado e experimentado.
- Em casos raros, algumas aplicações podem conter cópias de componentes desatualizados devido a dependências externas. No entanto, após estas dependências terem sido abordadas de acordo com as práticas descritas anteriormente, os componentes são monitorizados e atualizados.
A07:2021 Falhas de Identificação e de Autenticação
- O Power Platform foi criado com base no e depende do ID do Microsoft Entra para identificação e autenticação.
- O Microsoft Entra ajuda o Power Platform a ativar funcionalidades seguras. Estas funcionalidades incluem o início de sessão único, a autenticação multifator e uma plataforma única para interagir com utilizadores internos e externos de forma mais segura.
- Com a próxima implementação do Power Platform da Avaliação Contínua de Acesso (CAE) do ID do Microsoft Entra, a identificação e a autenticação de utilizadores serão ainda mais seguras e fiáveis.
A08:2021 Falhas de Software e de Integridade de Dados
- O processo de Governação de Componentes do Power Platform impõe a configuração segura de ficheiros de origem do pacote para manter a integridade do software.
- O processo garante que apenas os pacotes de origem interna são servidos para abordar o ataque de substituição. O ataque de substituição, também conhecido como confusão de dependência, é uma técnica que pode ser utilizada para envenenar o processo de criação de aplicações dentro de ambientes empresariais seguros.
- Todos os dados encriptados têm proteção de integridade aplicada antes de serem transmitidos. Todos os metadados de proteção de integridade presentes para a entrada de dados encriptados são validados.
Os 10 principais riscos de Baixo Código/Sem Código da OWASP: Mitigações no Power Platform
Para obter orientações sobre como mitigar os 10 principais riscos de segurança de Baixo Código/Sem Código publicados pela OWASP, consulte este documento:
Power Platform - Os 10 Principais Riscos de Baixo Código/Sem Código da OWASP (abril de 2024)
Perguntas comuns de segurança dos clientes
Seguem-se algumas das perguntas de segurança que os nossos clientes fazem.
Como é que o Power Platform ajuda a proteger contra clickjacking?
Clickjacking utiliza iframes incorporados, entre outros componentes, para sequestrar as interações de um utilizador com uma página Web. É uma ameaça significativa às páginas de início de sessão em particular. O Power Platform impede a utilização de iframes em páginas de início de sessão, reduzindo significativamente o risco de clickjacking.
Além disso, as organizações podem utilizar Política de Segurança de Conteúdo (CSP) para restringir a incorporação a domínios fidedignos.
O Power Platform suporta a Política de Segurança de Conteúdo?
O Power Platform suporta a Política de Segurança de Conteúdo (CSP) para aplicações condicionadas por modelo. Não suportamos os seguintes cabeçalhos substituídos pelo CSP:
X-XSS-ProtectionX-Frame-Options
Como podemos ligar-nos ao SQL Server de forma segura?
Consulte Utilizar o Microsoft SQL Server em segurança com o Power Apps.
Que cifras são suportadas pelo Power Platform? Qual é o mapa de objetivos de avançar continuamente para cifras mais fortes?
Todos os serviços e produtos da Microsoft estão configurados para utilizar os conjuntos de cifras aprovados, na ordem exata indicada pela Microsoft Crypto Board. Para obter a lista completa e a ordem exata, consulte a Documentação do Power Platform.
As informações relacionadas com preterimentos de conjuntos de cifras são comunicadas através da documentação Alterações Importantes do Power Platform.
Por que razão o Power Platform ainda suporta cifras RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) e TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)) que são consideradas mais fracas?
A Microsoft pondera o risco relativo e a perturbação às operações do cliente na escolha dos conjuntos de cifras a suportar. Os conjuntos de cifras RSA-CBC ainda não foram quebrados. Ativámo-los para garantir consistência em todos os nossos serviços e produtos, e para suportar todas as configurações do cliente. No entanto, estão na parte inferior da lista de prioridades.
Iremos preterir estas cifras no momento certo, com base na avaliação contínua do Crypto Board da Microsoft.
Porque é que o Power Automate expõe hashes de conteúdo MD5 em entradas e saídas de acionador/ação?
O Power Automate passa o valor de hash MD5 de conteúdo opcional obtido pelo Armazenamento do Azure tal como está para os seus clientes. Este hash é utilizado pelo Armazenamento do Azure para verificar a integridade da página durante o transporte como um algoritmo de soma de verificação e não é utilizado como função de hash criptográfica para efeitos de segurança no Power Automate. Poderá obter mais detalhes sobre isto na documentação do Armazenamento do Azure sobre como Obter Propriedades de Blob e como trabalhar com Pedir Cabeçalhos.
Como é que o Power Platform protege contra ataques DDoS, Denial of Service Distribuído (DDoS)?
O Power Platform foi criado no Microsoft Azure e utiliza o Azure DDoS Protection para proteger contra ataques DDoS.
O Power Platform deteta dispositivos iOS desbloqueados por jailbreak e dispositivos Android desbloqueados por rooting para ajudar a proteger dados organizacionais?
Recomendamos que utilize o Microsoft Intune. O Intune é uma solução de gestão de dispositivos móveis. Pode ajudar a proteger dados organizacionais, requerendo que os utilizadores e dispositivos satisfaçam determinados requisitos. Para obter mais informações, consulte Definições da política de conformidade do Intune.
Porque é que os cookies de sessão têm o âmbito definido para o domínio principal?
O Power Platform atribui o âmbito dos cookies de sessão para o domínio principal para permitir a autenticação entre organizações. Os subdomínios não são utilizados como limites de segurança. Também não hospedam conteúdo do cliente.
Como podemos definir a sessão da aplicação para o tempo limite depois de, digamos, 15 minutos?
O Power Platform utiliza o ID do Microsoft Entra para a gestão de identidade e acesso. Segue a configuração de gestão de sessão recomendada do ID do Microsoft Entra para uma experiência de utilizador ótima.
No entanto, pode personalizar ambientes para que tenham tempos limites de inatividade de sessão e/ou atividade. Para obter mais informações, consulte Melhoramentos de segurança: gestão de acesso e sessões de utilizador.
Com a próxima implementação do Power Platform da Avaliação Contínua de Acesso do ID do Microsoft Entra, a identificação e a autenticação de utilizadores serão ainda mais seguras e fiáveis.
A aplicação permite ao mesmo utilizador aceder a mais do que um computador ou browser ao mesmo tempo. Como podemos evitar isso?
Aceder à aplicação através de mais do que um dispositivo ou browser ao mesmo tempo é uma conveniência para os utilizadores. A próxima implementação do Power Platform da Avaliação Contínua de Acesso do ID do Microsoft Entra ajudará a garantir que o acesso é de dispositivos e browsers autorizados e ainda é válido.
Porque é que alguns serviços do Power Platform expõem cabeçalhos de servidores com informações verbosas?
Os serviços do Power Platform têm trabalhado para remover informações desnecessárias do cabeçalho do servidor. O objetivo é equilibrar o nível de detalhe com o risco de expor informações que possam enfraquecer a postura geral de segurança.
Como é que as vulnerabilidades do Log4j afetam o Power Platform? O que os clientes devem fazer a este respeito?
A Microsoft avaliou que nenhuma vulnerabilidade Log4j afeta o Power Platform. Consulte a nossa publicação de blogue sobre prevenção, deteção e procura por exploração de vulnerabilidades Log4j.
Como podemos garantir que não existem transações não autorizadas devido a extensões de browser ou APIs de Cliente da Interface Unificada permitindo a ativação de controlos desativados?
O modelo de segurança do Power Apps não inclui o conceito de controlos desativados. A desativação dos controlos é um melhoramento da IU. Não deve depender de controlos desativados para fornecer segurança. Em vez disso, utilize controlos do Dataverse, tal como segurança ao nível do campo para evitar transações não autorizadas.
Quais são os cabeçalhos de segurança HTTP que são utilizados para proteger dados de resposta?
| Name | Details |
|---|---|
| Strict-Transport-Security | Está definido como max-age=31536000; includeSubDomains em todas as respostas. |
| X-Frame-Options | Foi preterido a favor da CSP. |
| X-Content-Type-Options | Está definido como nosniff em todas as respostas de recursos. |
| Content-Security-Policy | Isto é definido se o utilizador ativar a CSP. |
| X-XSS-Protection | Foi preterido a favor da CSP. |
Onde posso encontrar testes de penetração do Power Platform ou do Dynamics 365?
Os testes de penetração e avaliações de segurança mais recentes podem ser encontrados no Portal de Confiança do Serviço da Microsoft.
Nota
Para aceder a alguns dos recursos no Portal de Confiança do Serviço, tem de iniciar sessão como um utilizador autenticado com a sua conta do Microsoft Cloud Services (conta da organização do Microsoft Entra) e reveja e aceite o acordo de não divulgação da Microsoft para materiais de conformidade.
Artigos relacionados
Segurança no Microsoft Power Platform
Autenticar para serviços do Power Platform
Ligar a e autenticar origens de dados
Armazenamento de dados no Power Platform