แชร์ผ่าน

คำถามที่ถามบ่อยเกี่ยวกับความปลอดภัยของ Power Platform

  • บทความ

คำถามที่พบบ่อยเกี่ยวกับความปลอดภัยของ Power Platform แบ่งออกเป็นสองประเภท:

  • วิธีที่ Power Platform ได้รับการออกแบบมาเพื่อช่วยลดความเสี่ยง 10 อันดับแรกของ Open Web Application Security Project® (OWASP)

  • คำถามที่ลูกค้าของเราถาม

เพื่อให้ง่ายต่อการค้นหาข้อมูลล่าสุด คำถามใหม่จะถูกเพิ่มไว้ที่ส่วนท้ายของบทความนี้

OWASP ความเสี่ยง 10 อันดับแรก: การบรรเทาผลกระทบใน Power Platform

โครงการ Open Web Application Security® (OWASP) เป็นมูลนิธิไม่แสวงหาผลกำไรที่ทำงานเพื่อปรับปรุงความปลอดภัยของซอฟต์แวร์ ผ่านโครงการซอฟต์แวร์โอเพนซอร์ซที่นำโดยชุมชน บทหลายร้อยบททั่วโลก สมาชิกหลายหมื่นคน และการประชุมด้านการศึกษาและการฝึกอบรมชั้นนำ มูลนิธิ OWASP เป็นแหล่งสำหรับนักพัฒนาและนักเทคโนโลยีในการรักษาความปลอดภัยเว็บ

OWASP 10 อันดับแรก เป็นเอกสารการรับรู้มาตรฐานสำหรับนักพัฒนาและผู้ที่สนใจในความปลอดภัยของเว็บแอปพลิเคชัน ซึ่งแสดงถึงความเห็นพ้องต้องกันในวงกว้างเกี่ยวกับความเสี่ยงด้านความปลอดภัยที่สำคัญที่สุดต่อเว็บแอปพลิเคชัน ในส่วนนี้ เราจะพูดถึงวิธีการ Power Platform ช่วยลดความเสี่ยงเหล่านี้

A01:2021ไม่มีการควบคุมการเข้าถึง

  • โมเดลความปลอดภัย Power Platform สร้างขึ้นจากการเข้าถึงที่มีสิทธิ์น้อยที่สุด (LPA) LPA ช่วยให้ลูกค้าสร้างแอปพลิเคชันด้วยการควบคุมการเข้าถึงที่ละเอียดยิ่งขึ้น
  • Power Platform ใช้ (Microsoft Entra ID) แพลตฟอร์มข้อมูลประจำตัวของ Microsoft ของ Microsoft Entra ID สำหรับการอนุญาตการเรียก API ทั้งหมดด้วยโปรโตคอล OAuth 2.0 มาตรฐานอุตสาหกรรม
  • Dataverse ซึ่งให้ข้อมูลพื้นฐานสำหรับ Power Platform มีรูปแบบการรักษาความปลอดภัยที่สมบูรณ์ ซึ่งรวมถึงการรักษาความปลอดภัยระดับสภาพแวดล้อม ตามบทบาท และเรกคอร์ด และระดับฟิลด์

A02:2021ความล้มเหลวด้านการเข้ารหัสลับ

ข้อมูลระหว่างทาง:

  • Power Platform ใช้ TLS เพื่อเข้ารหัสปริมาณการใช้เครือข่ายที่ใช้ HTTP ทั้งหมด ซึ่งใช้กลไกอื่นในการเข้ารหัสการรับส่งข้อมูลเครือข่ายที่ไม่ใช่ HTTP ที่มีข้อมูลลูกค้าหรือความลับ
  • Power Platform ใช้การกำหนดค่า TLS ที่เสริมความแข็งแกร่งซึ่งเปิดใช้งาน HTTP Strict Transport Security (HSTS):
    • TLS 1.2 หรือสูงกว่า
    • ชุดการเข้ารหัสแบบ ECDHE และเส้นโค้ง NIST
    • คีย์ลัด

ข้อมูลขณะจัดเก็บ:

  • ข้อมูลลูกค้าทั้งหมดจะได้รับการเข้ารหัสก่อนที่จะเขียนลงในสื่อจัดเก็บข้อมูลแบบไม่เปลี่ยนแปลง

A03:2021การฉีด

Power Platform ใช้แนวปฏิบัติที่ดีที่สุดตามมาตรฐานอุตสาหกรรมเพื่อป้องกันการโจมตีแบบแทรก รวมถึง:

  • การใช้ API ที่ปลอดภัยพร้อมอินเทอร์เฟซแบบกำหนดพารามิเตอร์
  • การใช้ความสามารถที่เปลี่ยนแปลงตลอดเวลาของกรอบงานส่วนหน้าเพื่อล้างข้อมูลอินพุต
  • การตรวจแก้ผลลัพธ์ด้วยการตรวจสอบความถูกต้องฝั่งเซิร์ฟเวอร์
  • การใช้เครื่องมือวิเคราะห์แบบคงที่ระหว่างเวลาสร้าง
  • การตรวจสอบรูปแบบความเสี่ยงของแต่ละบริการทุกๆ 6 เดือนว่าโค้ด การออกแบบ หรือโครงสร้างพื้นฐานได้รับการอัปเดตหรือไม่

A04:2021การออกแบบที่ไม่ปลอดภัย

  • Power Platform สร้างขึ้นจากวัฒนธรรมและวิธีการของการออกแบบที่ปลอดภัย ทั้งวัฒนธรรมและวิธีการได้รับการเสริมความแข็งแกร่งอย่างต่อเนื่องผ่านแนวทางปฏิบัติ วัฏจักรการพัฒนาความปลอดภัย (SDL) ชั้นนำในอุตสาหกรรมของ Microsoft และ รูปแบบความเสี่ยง
  • กระบวนการตรวจสอบรูปแบบความเสี่ยงช่วยให้มั่นใจได้ว่ามีการระบุภัยคุกคามในระหว่างขั้นตอนการออกแบบ ลดภัยคุกคาม และตรวจสอบเพื่อให้แน่ใจว่าภัยคุกคามได้รับการบรรเทา
  • รูปแบบความเสี่ยงยังคำนึงถึงการเปลี่ยนแปลงบริการทั้งหมดที่มีอยู่แล้วผ่านการตรวจสอบอย่างสม่ำเสมออย่างต่อเนื่อง การใช้ แบบจำลอง STRIDE ช่วยแก้ไขปัญหาที่พบบ่อยที่สุดเกี่ยวกับการออกแบบที่ไม่ปลอดภัย
  • SDL ของ Microsoft เทียบเท่ากับ OWASP Software Assurance Maturity Model (SAMM) ทั้งสองสร้างขึ้นบนสมมติฐานที่ว่าการออกแบบที่ปลอดภัยเป็นส่วนสำคัญในการรักษาความปลอดภัยของเว็บแอปพลิเคชัน

A05:2021การกำหนดค่าความปลอดภัยที่ไม่ถูกต้อง

  • "การปฏิเสธโดยค่าเริ่มต้น" เป็นหนึ่งในรากฐานของหลักการออกแบบ Power Platform ด้วย "การปฏิเสธโดยค่าเริ่มต้น" ลูกค้าต้องตรวจสอบและเลือกใช้คุณลักษณะและการกำหนดค่าใหม่
  • การกำหนดค่าผิดพลาดใด ๆ ระหว่างเวลาสร้างจะถูกตรวจจับผ่านการวิเคราะห์ความปลอดภัยแบบรวมโดยใช้ เครื่องมือการพัฒนาที่ปลอดภัย
  • นอกจากนี้ Power Platform ผ่านการทดสอบความปลอดภัยการวิเคราะห์แบบไดนามิก การทดสอบความปลอดภัยการวิเคราะห์แบบไดนามิก (DAST) โดยใช้บริการภายในที่สร้างจาก OWASP ความเสี่ยง 10 อันดับแรก

A06:2021ส่วนประกอบที่เสี่ยงและล้าสมัย

  • Power Platform ทำตามแนวทางปฏิบัติของ SDL ของ Microsoft เพื่อจัดการ ส่วนประกอบโอเพนซอร์ซและบริษัทอื่น แนงทางปฏิบัตินี้รวมถึงการรักษาสินค้าคงคลังให้ครบถ้วน ดำเนินการวิเคราะห์ความปลอดภัย ทำให้ส่วนประกอบเป็นปัจจุบัน และปรับให้สอดคล้องกับกระบวนการตอบสนองต่อเหตุการณ์ด้านความปลอดภัยที่ผ่านการทดสอบและทดลองแล้ว
  • ในบางกรณีซึ่งเกิดขึ้นไม่บ่อยนัก บางแอปพลิเคชันอาจมีสำเนาของส่วนประกอบที่ล้าสมัยเนื่องจากการพึ่งพาภายนอก อย่างไรก็ตาม หลังจากที่ได้ระบุถึงการพึ่งพาเหล่านั้นตามแนวทางปฏิบัติที่ร่างไว้ก่อนหน้านี้ ส่วนประกอบจะถูกติดตามและอัปเดต

A07:2021การระบุและการพิสูจน์ตัวตนล้มเหลว

  • Power Platform ถูกสร้างขึ้นและขึ้นอยู่กับ Microsoft Entra ID สำหรับการระบุและรับรองความถูกต้อง
  • Microsoft Entra ช่วย Power Platform เปิดใช้งาน คุณลักษณะความปลอดภัย คุณลักษณะเหล่านี้รวมการลงชื่อเพียงครั้งเดียว การตรวจสอบสิทธิ์แบบหลายปัจจัย และแพลตฟอร์มเดียวเพื่อให้มีส่วนร่วมกับผู้ใช้ภายในและภายนอกได้อย่างปลอดภัยยิ่งขึ้น
  • ด้วยการดำเนินการที่จะเกิดขึ้นของ Power Platform ของ การประเมินการเข้าถึงอย่างต่อเนื่อง (CAE) ของ Microsoft Entra ID การระบุและรับรองความถูกต้องของผู้ใช้จะปลอดภัยและเชื่อถือได้มากยิ่งขึ้น

A08:2021ซอฟต์แวร์และความสอดคล้องของข้อมูลล้มเหลว

  • กระบวนการกำกับดูแลส่วนประกอบของ Power Platform บังคับให้มีการกำหนดค่าไฟล์ต้นทางของแพคเกจอย่างปลอดภัยเพื่อครักษาความสมบูรณ์ของซอฟต์แวร์
  • กระบวนการทำให้แน่ใจว่าเฉพาะแพ็คเกจที่มาจากภายในเท่านั้นที่จะระบุ การโจมตีแบบแทนที่ การโจมตีแบบแทนที่ หรือที่เรียกว่าความสับสนในการพึ่งพาอาศัยกัน เป็นเทคนิคที่สามารถนำมาใช้เพื่อทำให้กระบวนการสร้างแอปเป็นพิษภายในสภาพแวดล้อมขององค์กรที่ปลอดภัย
  • ข้อมูลที่เข้ารหัสทั้งหมดมีการป้องกันความสมบูรณ์ก่อนที่จะส่ง ข้อมูลเมตาการป้องกันความสมบูรณ์ทั้งหมดที่มีอยู่สำหรับข้อมูลที่เข้ารหัสขาเข้าจะได้รับการตรวจสอบ

ความเสี่ยงของ low-code/ไม่มีโค้ด 10 อันดับแรกของ OWASP: การลดความเสี่ยงใน Power Platform

สำหรับคำแนะนำในการลดความเสี่ยงด้านความปลอดภัยของ low-code/ไม่มีโค้ด 10 อันดับแรกที่เผยแพร่โดย OWASP โปรดดูเอกสารนี้:

Power Platform - ความเสี่ยงของ low-code/ไม่มีโค้ด 10 อันดับแรกของ OWASP (เมษายน 2024)

คำถามการรักษาความปลอดภัยทั่วไปจากลูกค้า

ต่อไปนี้เป็นคำถามเพื่อความปลอดภัยที่ลูกค้าของเราถาม

Power Platform ช่วยป้องกันความเสี่ยง Clickjacking อย่างไร

Clickjacking ใช้ iframes แบบฝัง รวมถึงองค์ประกอบอื่นๆ เพื่อจี้การโต้ตอบของผู้ใช้กับหน้าเว็บ โดยเฉพาะหน้าลงชื่อเข้าใช้ถือเป็นภัยคุกคามที่สำคัญ Power Platform ป้องกันการใช้ iframes ในหน้าลงชื่อเข้าใช้ ซึ่งช่วยลดความเสี่ยงของ Clickjacking ได้อย่างมาก

นอกจากนี้ องค์กรควรใช้ นโยบายการรักษาความปลอดภัยของเนื้อหา (CSP) เพื่อจำกัดการฝังโดเมนที่เชื่อถือได้

Power Platform รองรับนโยบายความปลอดภัยของเนื้อหาหรือไม่

Power Platform รองรับ นโยบายความปลอดภัยของเนื้อหา (CSP) สำหรับแอปแบบจำลอง เราไม่รองรับส่วนหัวต่อไปนี้ซึ่งถูกแทนที่ด้วย CSP:

  • X-XSS-Protection
  • X-Frame-Options

เราจะเชื่อมต่อกับ SQL Server อย่างปลอดภัยได้อย่างไร

ดูที่ ใช้ Microsoft SQL Server กับ Power Apps อย่างปลอดภัย

การเข้ารหัสใดบ้างรองรับโดย Power Platform แผนงานของการย้ายไปสู่ตัวเลขที่แข็งแกร่งขึ้นอย่างต่อเนื่องคืออะไร

บริการและผลิตภัณฑ์ของ Microsoft ทั้งหมดได้รับการกำหนดค่าให้ใช้ชุดการเข้ารหัสที่ได้รับอนุมัติในลำดับที่แน่นอนตามที่ Microsoft Crypto Board ระบุไว้ สำหรับรายการทั้งหมดและลำดับที่แน่นอน โปรดดูที่ คู่มือ Power Platform

ข้อมูลเกี่ยวข้องกับการเลิกใช้งานชุดการเข้ารหัสจะได้รับการสื่อสารผ่าน การเปลี่ยนแปลงที่สำคัญ ของคู่มือ Power Platform

ทำไม Power Platform ยังคงรองรับการเข้ารหัส RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) และ TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)) ซึ่งถือว่าอ่อนแอกว่า

Microsoft ชั่งน้ำหนักความเสี่ยงที่เกี่ยวข้องและการหยุดชะงักของการดำเนินการลูกค้าในการเลือกการสนับสนุนชุดการเข้ารหัส ชุดการเข้ารหัส RSA-CBC ยังไม่ถูกทำลาย เราได้เปิดใช้งานเพื่อให้มั่นใจในความสอดคล้องในบริการและผลิตภัณฑ์ของเรา และเพื่อรองรับการกำหนดค่าของลูกค้าทั้งหมด อย่างไรก็ตาม รายการเหล่านี้อยู่ด้านล่างสุดของรายการลำดับความสำคัญ

เราจะยกเลิกการเข้ารหัสเหล่านี้ในเวลาที่เหมาะสม ตามการประเมินอย่างต่อเนื่องของ Crypto Board ของ Microsoft

ทำไม Power Automate แสดงแฮชเนื้อหา MD5 ในอินพุตและเอาต์พุตของทริกเกอร์/การดำเนินการ

Power Automate ส่งผ่านค่าแฮช content-MD5 ทางเลือกที่ส่งคืนโดย Azure Storage ตามที่เป็นอยู่ไปยังไคลเอ็นต์ แฮชนี้ใช้โดย Azure Storage เพื่อตรวจสอบความสมบูรณ์ของเพจระหว่างการส่งเป็นอัลกอริทึมผลรวมตรวจสอบและไม่ได้ใช้เป็นฟังก์ชันแฮชแบบเข้ารหัสเพื่อรักษาความปลอดภัยใน Power Automate คุณสามารถดูรายละเอียดเพิ่มเติมในคู่มือ Azure Storage นี้เกี่ยวกับวิธีการ รับคุณสมบัติของ Blob และวิธีการทำงานกับ ส่วนหัวของคำขอ

Power Platform ป้องกันการโจมตี (DDoS) ของการปฏิเสธการให้บริการแบบกระจายอย่างไร

Power Platform ถูกสร้างขึ้นบน Microsoft Azure และใช้งาน Azure DDoS Protection เพื่อป้องกัน การโจมตี DDoS

Power Platform ตรวจจับอุปกรณ์ iOS ที่ปิดระบบป้องกันของเครื่องแล้ว และอุปกรณ์ Android เพื่อช่วยในการปกป้องข้อมูลองค์กรหรือไม่

เราขอแนะนำให้คุณใช้ Microsoft Intune Intune คือโซลูชันการจัดการอุปกรณ์มือถือ ซึ่งสามารถช่วยปกป้องข้อมูลองค์กรโดยกำหนดให้ผู้ใช้และอุปกรณ์ปฏิบัติตามข้อกำหนดบางประการ สำหรับข้อมูลเพิ่มเติม โปรดดูที่ การตั้งค่านโยบายการปฏิบัติตามข้อกำหนดของ Intune

เหตุใดคุกกี้เซสชันจึงกำหนดขอบเขตไว้ที่โดเมนหลัก

Power Platform จัดขอบเขตคุกกี้เซสชันไปยังโดเมนหลักเพื่ออนุญาตการตรวจสอบข้ามองค์กร โดเมนย่อยจะไม่ถูกใช้เป็นขอบเขตความปลอดภัย พวกเขายังไม่ได้โฮสต์เนื้อหาของลูกค้า

เราจะตั้งค่าเซสชันแอปพลิเคชันให้หมดเวลาหลังจาก 15 นาทีได้อย่างไร

Power Platform ใช้ Microsoft Entra ID สำหรับ Identity and Access Management ซึ่งเป็นไปตาม การกำหนดค่าการจัดการเซสชันที่แนะนำของ Microsoft Entra ID สำหรับประสบการณ์การใช้งานที่ดีที่สุด

อย่างไรก็ตาม คุณสามารถปรับแต่งสภาพแวดล้อมเพื่อให้มีการหมดเวลาของเซสชันและ/หรือกิจกรรมที่ชัดเจนได้ สำหรับข้อมูลเพิ่มเติม โปรดดู การจัดการเซสชันและการเข้าถึงของผู้ใช้

ด้วยการดำเนินการที่จะเกิดขึ้นของ Power Platform ของ การประเมินการเข้าถึงอย่างต่อเนื่อง ของ Microsoft Entra ID การระบุและรับรองความถูกต้องของผู้ใช้จะปลอดภัยและเชื่อถือได้มากยิ่งขึ้น

แอปพลิเคชันนี้อนุญาตให้ผู้ใช้รายเดียวกันเข้าถึงได้จากเครื่องหรือเบราว์เซอร์มากกว่าหนึ่งเครื่องพร้อมกัน เราจะป้องกันได้อย่างไร

การเข้าถึงแอปพลิเคชันได้จากอุปกรณ์หรือเบราว์เซอร์มากกว่าหนึ่งเครื่องพร้อมกันคือความสะดวกสำหรับผู้ใช้ การดำเนินการที่จะเกิดขึ้นของ Power Platform ของ การประเมินการเข้าถึงอย่างต่อเนื่อง Microsoft Entra ID จะช่วยให้แน่ใจว่าการเข้าถึงนั้นมาจากอุปกรณ์และเบราว์เซอร์ที่ได้รับอนุญาตและยังคงใช้งานได้

ทำไมบางส่วนของบริการ Power Platform เปิดเผยส่วนหัวของเซิร์ฟเวอร์ที่มีข้อมูลอย่างละเอียด

บริการ Power Platform ต่างๆ กำลังทำงานเพื่อลบข้อมูลที่ไม่จำเป็นในส่วนหัวของเซิร์ฟเวอร์ เป้าหมายคือการสร้างสมดุลระดับรายละเอียดกับความเสี่ยงของ การเปิดเผยข้อมูล ที่อาจบั่นทอนความมั่นคงโดยรวม

ช่องโหว่ของ Log4j ส่งผลกระทบต่อ Power Platform อย่างไร ลูกค้าควรทำอย่างไรในเรื่องนี้

Microsoft ได้ประเมินว่าไม่มีช่องโหว่ของ Log4j ส่งผลกระทบ Power Platform ดูบล็อกโพสต์ของเราที่ การป้องกัน ตรวจจับ และค้นหาการใช้ประโยชน์จากช่องโหว่ของ Log4j

เราจะมั่นใจได้อย่างไรว่าไม่มีธุรกรรมที่ไม่ได้รับอนุญาตเนื่องจากส่วนขยายของเบราว์เซอร์หรือ API ไคลเอ็นต์ของส่วนติดต่อแบบรวมที่อนุญาตให้เปิดใช้งานการควบคุมที่ปิดใช้งาน

รูปแบบการรักษาความปลอดภัยของ Power Apps ไม่รวมแนวคิดของการควบคุมที่ปิดใช้งาน การปิดใช้งานการควบคุมเป็นการเพิ่มประสิทธิภาพ UI คุณไม่ควรใช้การควบคุมที่ปิดใช้งานเพื่อให้การรักษาความปลอดภัย แต่ใช้การควบคุม Dataverse แทน เช่น การรักษาความปลอดภัยระดับฟิลด์แทนเพื่อป้องกันธุรกรรมที่ไม่ได้รับอนุญาต

ส่วนหัวความปลอดภัย HTTP ใดที่ใช้เพื่อป้องกันข้อมูลตอบกลับ

Name คำอธิบาย
Strict-Transport-Security ซึ่งตั้งค่าเป็น max-age=31536000; includeSubDomains ในการตอบกลับทั้งหมด
X-Frame-Options นี่มีการเตรียมการเลิกใช้เนื่องจาก CSP
X-Content-Type-Options ซึ่งตั้งค่าเป็น nosniff ในการตอบกลับสินทรัพย์ทั้งหมด
Content-Security-Policy ตั้งค่านี้หากผู้ใช้ เปิดใช้งาน CSP
X-XSS-Protection นี่มีการเตรียมการเลิกใช้เนื่องจาก CSP

การทดสอบการเจาะระบบ Power Platform หรือ Dynamics 365 ได้จากที่ไหน

การทดสอบการเจาะระบบล่าสุดและการประเมินความปลอดภัยสามารถดูได้ที่ Microsoft Service Trust Portal

หมายเหตุ

ในการเข้าถึงทรัพยากรบางส่วนบน Service Trust Portal คุณต้องเข้าสู่ระบบในฐานะผู้ใช้ที่ได้รับการรับรองความถูกต้องด้วยบัญชีบริการระบบคลาวด์ของ Microsoft (บัญชีองค์กร Microsoft Entra) และตรวจทานและยอมรับข้อตกลงไม่เปิดเผยข้อมูลของ Microsoft สำหรับเอกสารการปฏิบัติตามข้อกำหนด

ความปลอดภัยใน Microsoft Power Platform
การตรวจสอบสิทธิ์ไปยังบริการ Power Platform
การเชื่อมต่อและรับรองความถูกต้องกับแหล่งข้อมูล
การจัดเก็บข้อมูลใน Power Platform

ดูเพิ่มเติม