Обзор агента безопасности (предварительная версия)

[Эта статья является предварительной документацией и может быть изменена.]

Агент безопасности — это помощник с поддержкой искусственного интеллекта, встроенный в рабочую область Power Pages Security, которая помогает разработчикам просматривать, настраивать и укреплять безопасность своих Power Pages сайтов с помощью естественного языка.

Агент поддерживает основные сценарии безопасности, участвующие в защите сайта Power Pages, включая проверку состояния безопасности, настройку проверки подлинности и авторизации, управление параметрами безопасности приложения и устранение распространенных проблем безопасности. Рекомендации основаны на конфигурации сайта, поэтому вы можете принимать обоснованные решения на основе вашей среды, а не универсальных рекомендаций.

Important

• Это предварительная версия функции.
• Предварительные версии функций не предназначены для использования в производственной среде и могут иметь ограниченную функциональность. Для этих функций действуют дополнительные условия использования и они доступны перед официальным выпуском, чтобы клиенты могли досрочно получить доступ и предоставить отзывы.

Для любых изменений конфигурации агент всегда запрашивает утверждение перед внесением обновлений, поэтому вы остаетесь под контролем безопасности вашего сайта.

Сценарии безопасности

Агент безопасности поддерживает четыре основных сценария безопасности, охватывающие основные области защиты сайта Power Pages.

Проверка состояния безопасности сайта

Просмотрите общую безопасность сайта в одной беседе. Агент анализирует параметры проверки подлинности, конфигурацию авторизации, параметры безопасности, результаты проверки уязвимостей и конфигурацию сайта для выявления таких проблем, как чрезмерный доступ, анонимный доступ, неправильно настроенная проверка подлинности и отсутствие защиты безопасности. Агент определяет приоритеты результатов, объясняет их на простом языке и предоставляет рекомендуемые действия по исправлению.

Примеры запросов:

• Просмотрите безопасность моего сайта и сообщите мне о самых приоритетных проблемах.
• Показать мне все анонимные пользователи в настоящее время могут получить доступ.
• Сводные сведения о последних результатах проверки безопасности.
• Проверьте, соответствуют ли параметры проверки подлинности, авторизации и безопасности.
• Определите все веб-роли или разрешения, предоставляющие более широкий доступ, чем это возможно.
• Просмотрите разрешения страницы и таблицы и выделите все несоответствия.
• Проверьте, предоставляются ли конфиденциальные таблицы Dataverse с помощью чрезмерно разрешенных разрешений.
• Создайте отчет о состоянии безопасности, который я могу поделиться с моей командой.

Настройка авторизации

Настройка доступа пользователей к страницам сайта и данным Dataverse. Агент помогает создавать и обновлять веб-роли, разрешения страницы и разрешения таблицы. В нем описываются существующие параметры авторизации и рекомендуется доступ по крайней мере привилегий на основе конфигурации сайта.

Примеры запросов:

• Отображение всех веб-ролей и страниц, к которые они могут получить доступ.
• Создайте веб-роль с именем CaseReviewer для прошедших проверку подлинности пользователей.
• Ограничьте страницу SupportCases, чтобы доступ к ней могли получить только пользователи с ролью CaseReviewer.
• Создайте разрешение таблицы, позволяющее роли CaseReviewer читать и создавать инциденты.
• Измените это разрешение таблицы с глобальной области на область контактов.
• Удалите анонимный доступ из этого разрешения таблицы.
• Перечислить все разрешения таблицы, которым не назначены какие-либо веб-роли.
• Может ли пользователь с roleB и RoleC получить доступ к TestC и отправить TestForm?

Настройка проверки подлинности и устранение неполадок

Настройте поставщиков проверки подлинности, проверьте параметры проверки подлинности и диагностировать распространенные проблемы входа. Агент поддерживает Microsoft Entra ID, OpenID Connect и SAML 2.0 и рекомендует обновления конфигурации для устранения проблем с проверкой подлинности.

Примеры запросов:

• Просмотрите настройку проверки подлинности сайта и сообщите мне, что неправильно настроено.
• Проверьте параметры входа в Microsoft Entra ID и рекомендуете исправления.
• Проверьте конфигурацию OpenID Connect.
• Пользователи нажимают кнопку "Войти", но возвращаются на страницу входа. Помогите мне определить проблему.
• Пользователи успешно проходят проверку подлинности, но получают доступ отказано после входа.
• Настройте этот сайт для поддержки локальных учетных записей и Microsoft Entra ID.
• Задайте Microsoft Entra ID в качестве параметра входа по умолчанию.
• Помогите мне изучить, почему вход выполняется успешно для некоторых пользователей, но завершается сбоем для других пользователей.

Параметры безопасности приложений

Просмотрите и настройте параметры безопасности на уровне приложения, включая политику безопасности содержимого (CSP), заголовки безопасности HTTP, CORS, параметры cookie, управление сеансами и конфигурации, связанные с WAF.

Примеры запросов:

• Просмотрите текущую политику безопасности содержимого и рекомендуемые улучшения.
• Диагностика ошибок политики безопасности содержимого блокирует JavaScript или CSS.
• Просмотрите и укрепите заголовки безопасности HTTP.
• Рекомендуется использовать более безопасные параметры CORS.
• Просмотрите конфигурацию файла cookie проверки подлинности.
• Обновите время ожидания сеанса для неактивных пользователей.
• Проверьте, включен ли WAF для моего сайта и объясните текущее состояние защиты.
• Просмотрите параметры безопасности приложения и рекомендуете улучшения.

Как работает агент

Агент безопасности можно найти в рабочей области безопасности Power Pages Design Studio. После запуска панели чата агента безопасности опишите, что нужно сделать с помощью естественного языка. Примеры запросов:

• Проверьте безопасность моего сайта.
• Настройте проверку подлинности Microsoft Entra ID.
• Создайте разрешения для роли «Продажи».
• Почему пользователи не могут войти в систему?
• Настройка политики безопасности содержимого.

Агент анализирует конфигурацию сайта, объясняет свои результаты и предлагает изменения конфигурации, если это необходимо. Перед применением любых изменений он запрашивает ваше подтверждение, а после завершения точно сообщает, что именно было обновлено.

Лучшие практики

Для оптимального взаимодействия:

• Используйте агент безопасности в средах разработки или тестирования, прежде чем продвигать изменения в рабочей среде.
• Просмотрите все предложенные изменения конфигурации перед утверждением действий записи.
• Используйте диалоговый интерфейс для понимания концепций безопасности, а также настройки сайта.
• Проверьте и разверните утвержденные изменения с помощью стандартного процесса ALM вашей организации.

Так как рекомендации основаны на конфигурации вашего сайта, руководство предназначено для вашей среды, а не с универсальными рекомендациями по безопасности.

Связанные возможности безопасности

Помимо агента безопасности, рабочая область "Безопасность" включает автоматизированные возможности безопасности, которые помогают непрерывно отслеживать ваш сайт.

Проверка безопасности (предварительная версия) позволяет запланировать повторяющиеся проверки уязвимостей, которые оценивают сайт по правилам безопасности на основе OWASP.

Мониторинг трафика сайта (предварительная версия) постоянно анализирует шаблоны трафика для обнаружения подозрительных действий и потенциальных атак.

Результаты обоих возможностей отображаются в виде оповещений на странице обзора рабочей области "Безопасность". Здесь можно просмотреть сведения об оповещении, напрямую выполнить рекомендуемые действия или открыть агент безопасности, чтобы понять причину проблемы и получить пошаговые рекомендации по ее устранению.

См. также

Запустить проверку безопасностиРасширенные параметры (предварительная версия)