Dela via

Vanliga frågor och svar om Power Platform säkerhet

  • Artikel

Vanliga frågor och svar om Power Platform säkerhet finns i två kategorier:

  • Hur Power Platform har utformats för att hjälpa till att undvika 10 Open Web Application Security Project® (OWASP) risker

  • Frågor som våra kunder ställer

I slutet av artikeln läggs det till nya frågor så att det blir enklare att hitta den senaste informationen.

OWASP topp 10 risker: åtgärder i Power Platform

Open Web Application Security Project® (OWASP) är en ideell förening som arbetar för att förbättra säkerheten för programvara. Genom community-ledda programprojekt med öppen källkod, hundratals kapitel över hela världen, i tiotals tusentals medlemmar samt ledande utbildnings- och utbildningskonferenser, är OWASP Foundation källan för utvecklare och tekniker att säkra webben.

OWASP topp 10 är ett standarddokument för att öka medvetenheten om utvecklare och säkerhet i webbprogram. Den ger vid vida angående den viktigaste säkerheten för webbprogram. I det här avsnittet ska vi diskutera hur Power Platform hjälper till att undvika problem av den här frågan.

A01:2021 Trasig åtkomstkontroll

  • Säkerhetsmodellen Power Platform är uppbyggt av LPA (Least Privileged Access). LPA kan kunderna skapa program med mer detaljerad åtkomstkontroll.
  • Power Platform använder Microsoft Entra ID:ns (Microsoft Entra ID) Microsoft Identity Platform för auktorisering av alla API-anrop med branschstandarden OAuth 2.0-protokollet.
  • Dataverse, som tillhandahåller underliggande data för Power Platform, har en omfattande säkerhetsmodell som omfattar säkerhet på miljönivå, rollbaserad nivå och post- och fältnivå.

A02:2021 Kryptografiska fel

Data under överföring:

  • Power Platform använder TLS för att kryptera all HTTP-baserad nätverkstrafiken. Den använder andra metoder för att kryptera icke-HTTP-nätverkstrafiken som innehåller kunddata eller konfidentiella data.
  • Power Platform använder en härdad TLS-konfiguration som gör det möjligt att använda HTTP Strict Transport Security (HSTS):
    • TLS 1.2 eller senare
    • ECDHE-baserade chiffersviter och NIST-kurvor
    • Starka tangenter

Vilande data:

  • Alla kunddata krypteras innan de skrivs till ett lagringsmedier som inte är försent.

A03:2021 Injektion

Power Platform använder branschstandarder för att förhindra angrepp på rekommendationer, inklusive:

  • Använda säkra API:er med parametriserade gränssnitt
  • Dra nytta av de ständigt föränderliga funktionerna i klientdelsramverk för att sanera indata
  • Sanera utdata med servervalidering
  • Använda statiska analysverktyg under byggtiden
  • Granska hotmodellen för varje tjänst var 6:e månad oavsett om koden/utformningen/infrastrukturen har uppdaterats eller inte

A04:2021 Osäker design

  • Power Platform bygger på en metodologi och en metod för säker design. Både kultur och metodik förstärks ständigt genom branschledande Microsoftmetoder för Security Development Lifecycle (SDL) och Threat Modeling .
  • Den robusta granskningsprocessen av hotmodeller säkerställer att hot identifieras under designfasen, mildras och valideras för att säkerställa att de har mildrats.
  • Hotmodellering står också för alla ändringar av tjänster som redan sker kontinuerligt genom regelbundna granskningar. Om du använder STRIDE-modellen kan du lösa de vanligaste problemen med en osäker design.
  • Microsofts SDL motsvarar OWASP Software Assurance Maturity Model (SAMM). Båda bygger på att säker design ingår i webbprogrammets säkerhet.

A05:2021 Felkonfiguration av säkerhet

  • "Standardneka" är en av de grundläggande Power Platform designprinciperna. Med "Standardneka" måste kunderna granska och välja nya funktioner och konfigurationer.
  • Eventuella felkonfigurering under byggtiden får en integrerad säkerhetsanalys med hjälp av Säkra utvecklingsverktyg.
  • Dessutom går Power Platform igenom Dynamisk analyssäkerhetstestning (DAST) genom att använda en intern tjänst som bygger på OWASP topp 10 risker.

A06:2021 Sårbara och föråldrade komponenter

  • Power Platform följer Microsoft SDL:s metoder för att hantera komponenter med öppen källkod och komponenter från tredje part. Dessa rutiner inkluderar att upprätthålla kompletta inventarier, utföra säkerhetsanalyser, hålla komponenterna uppdaterade och anpassa komponenterna till en beprövad process för säkerhetsincidentsvar.
  • I undantagsfall kan vissa program innehålla kopior av inaktuella komponenter på grund av externa beroenden. När dessa beroenden har åtgärdats i enlighet med praxis som beskrivs ovan spåras och uppdateras komponenterna.

A07:2021 Identifierings- och autentiseringsfel

  • Power Platform bygger på och är beroende av Microsoft Entra ID för både identifiering och autentisering.
  • Microsoft Entra bidrar till Power Platform att aktivera säkra funktioner. Dessa funktioner omfattar enkel inloggning, multifaktorautentisering och en plattform för att hantera både interna och externa användare på ett säkrare sätt.
  • Med Power Platform kommande implementeringen av Microsoft Entra ID Kontinuerlig tillgänglighetskontroll (CAE) blir användaridentifiering och autentisering ännu säkrare och tillförlitligare.

A08:2021 Fel i programvaru- och dataintegritet

  • Power Platform komponentstyrningsprocess säkerställer säker konfiguration av paketkällfilerna för att upprätthålla programvaruintegriteten.
  • Processen säkerställer att endast internt anskaffade paket serveras för att adressera substitutionsattack. Substitutionsattack, även känd som beroendeförvirring, är en teknik som kan användas för att förgifta appbyggnadsprocessen i säkra företagsmiljöer.
  • Alla krypterade data har integritetsskydd som tillämpas innan de överförs. Alla metadata för integritetsskydd som finns för inkommande krypterade data verifieras.

OWASP topp 10 risker med låg kod/ingen kod: Begränsningar i Power Platform

För vägledning om hur du minskar topp 10 säkerhetsrisker med låg kod/ingen kod publicerad av OWASP, se detta dokument:

Power Platform - OWASP Low Code No Code Top 10 risker (april 2024)

Vanliga säkerhetsfrågor från kunder

Här följer några av de säkerhetsfrågor som våra kunder ställer.

Hur skyddar Power Platform mot klickkapning?

Clickjacking använder bland annat inbäddade iframes för att kapa en användares interaktioner med en webbsida. Det är ett omfattande hot mot särskilt inloggningssidor. Power Platform förhindrar att iFrames används på inloggningssidor, vilket minskar risken för klickning.

Dessutom kan organisationer använda säkerhetspolicy för innehåll (CSP) för att begränsa inbäddning till betrodda domäner.

Har Power Platform stöd för säkerhetspolicy för innehåll?

Power Platform stöder säkerhetspolicy för innehåll för modellbaserade program. Vi stöder inte följande rubriker som ersätts av säkerhetspolicy för innehåll:

  • X-XSS-Protection
  • X-Frame-Options

Hur ansluter vi till SQL Server på ett säkert sätt?

Se Använda Microsoft SQL Server säkert med Power Apps.

Vilka chiffer stöds av Power Platform? Vad är färdplanen för att ständigt gå mot starkare chiffer?

Alla Microsoft tjänster och produkter är konfigurerade för att använda de godkända chiffersviterna, i den exakta ordning som anges av Microsoft Crypto Board. Den fullständiga listan och den exakta ordningen finns i Power Platform dokumentationen.

Information utfasningar av chiffersviter kommer att kommuniceras via Power Platform Viktiga ändringar dokumentation.

Varför stöder Power Platform fortfarande RSA-CBC chiffer (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) och TLS_ECDHE_RSA_med_AES_256_CBC_SHA384 (0xC028)), vilka anses vara svagare?

Microsoft Väger den relativa risken och störningen för kundverksamheten vid valet av chiffersviter att stödja. RSA-CBC-chiffersvit har inte gått att bryta än. Vi har gjort det möjligt för dem att säkerställa enhetlighet i våra tjänster och produkter och att stödja alla kundkonfigurationer. Dessa finns dock längst ned i prioritetslistan.

Vi kommer att fasa ut dessa chiffer vid rätt tidpunkt, baserat på Microsoft Crypto Boards kontinuerliga bedömning.

Varför visar Power Automate MD5-innehållshashar i indata och utdata från utlösare/åtgärd?

Power Automate skickar det valfria innehålls-MD5 hashvärdet som returneras av Azure Storage som det är till klienterna. Den här hashen används av Azure Storage för att verifiera sidans integritet under transport som en kontrollsummaalgoritm och den används inte som en kryptografisk hashfunktion av säkerhetsskäl i Power Automate. Mer information om detta finns i Azure Storage dokumentationen om hur du hämtar blobbegenskaper och hur du arbetar med begäranshuvuden.

Hur skyddar Power Platform mot distribuerade överbelastningsattacker (DDoS)?

Power Platform är skapat på och Microsoft Azure och använder Azure DDoS Protection att förhindra DDoS-angrepp.

Identifierar Power Platform upptäcka jailbrokad iOS-enheter och rotade Android-enheter för att hjälpa till med att skydda organisationsdata?

Vi rekommenderar att du använder Microsoft Intune. Intune är en lösning för hantering av mobila enheter. Den kan skydda organisationsdata genom att kräva att användare och enheter uppfyller vissa krav. Mer information finns i Inställningar för Intune efterlevnadspolicy.

Varför är sessions-cookies begränsade till den överordnade domänen?

Power Platform begränsar sessions-cookies till den överordnade domänen för att tillåta autentisering i olika organisationer. Underdomäner används inte som säkerhetsgränserna. De är inte heller värd för kundinnehåll.

Hur ställer vi in tidsgräns för programsessionen efter 15 minuter?

Power Platform använder Microsoft Entra ID för identitets- och åtkomsthantering. Det följer Microsoft Entra ID:s rekommenderade konfiguration av sessionshantering för en optimal användarupplevelse.

Du kan dock anpassa miljöer så att de har explicita tidsgränser för sessioner och/eller aktiviteter. Mer information finns i Användarsession och åtkomsthantering.

Med Power Platforms kommande implementering av Microsoft Entra ID:s Kontinuerlig tillgänglighetskontroll blir användaridentifiering och autentisering ännu säkrare och tillförlitligare.

Programmet ger samma användare åtkomst från mer än en dator/webbläsare samtidigt. Hur kan vi förhindra det?

Att komma åt programmet från mer än en enhet eller webbläsare samtidigt är en bekvämlighet för användare. Power Platform kommande implementering av Microsoft Entra ID Kontinuerlig tillgänglighetskontroll hjälper till att säkerställa att åtkomsten kommer från behöriga enheter och webbläsare och fortfarande är giltig.

Varför visar vissa Power Platform-tjänster serverhuvuden med utförlig information?

Power Platform-tjänster har arbetat med att ta bort onödig information i serverhuvudet. Målet är att jämna ut detaljnivån med risk för att information avslöjas, vilket skulle kunna leda till att säkerheten blir för hög.

Hur påverkar log4j-säkerhetsproblem Power Platform? Vad ska kunderna göra i detta avseende?

Microsoft har bedömt att inga Log4j-sårbarheter påverkar Power Platform. Se vårt blogginlägg om att förhindra, upptäcka och förhindra säkerhetsproblem i Log4j.

Hur kan vi säkerställa att det inte finns några obehöriga transaktioner på grund av webbläsartillägg eller klient-API:er enhetligt gränssnitt som gör att inaktiverade kontroller kan aktiveras?

Power Apps säkerhetsmodellen inkluderar inte konceptet med inaktiverade kontroller. Att inaktivera kontroller är en förbättring av användargränssnittet. Inaktiverade kontroller bör inte användas för att tillhandahålla säkerhet. Använd istället Dataverse säkerhetskontroller som säkerhet på fältnivå i stället för att förhindra obehöriga transaktioner.

Vilka HTTP-säkerhetsrubriker används för att skydda svarsdata?

Name Details
Strikt-Transport-Säkerhet Detta är inställt på max-age=31536000; includeSubDomains för alla svar.
x-ram- alternativ Detta CSP har fasats ut i version.
x-innehåll-typ-alternativ Detta är inställt på nosniff för alla tillgångssvar.
Innehåll-Säkerhet-Policy Det här alternativet anges om användaren aktiverar CSP.
X-XSS-Skydd Detta CSP har fasats ut i version.

Var hittar jag Power Platform eller Dynamics 365 genomslagstester?

De senaste penetrationstesterna och säkerhetsbedömningarna finns på Microsoft Service Trust Portal.

Obs

För att få åtkomst till vissa av resurserna på Service Trust Portal måste du logga in som en autentiserad användare med ditt Microsoft molntjänstkonto (Microsoft Entra organisationskonto) och granska och godkänna Microsoft sekretessavtalet för efterlevnadsmaterial.

Säkerhet i Microsoft Power Platform
Autentisera till Power Platform tjänster
Ansluta och autentisera till datakällor
Lagring av uppgifter i Power Platform

Se även