Chia sẻ qua

Câu hỏi thường gặp về hoạt động bảo mật của Power Platform

  • Bài viết

Câu hỏi thường gặp về hoạt động bảo mật của Power Platform được chia thành 2 loại:

  • Cách Power Platform được thiết kế để giúp giảm thiểu 10 rủi ro lớn nhất của Open Web Application Security Project® (OWASP)

  • Câu hỏi mà khách hàng của chúng tôi thắc mắc

Để giúp bạn dễ dàng tìm thấy thông tin mới nhất, chúng tôi đã thêm các câu hỏi mới vào cuối bài viết này.

10 rủi ro lớn nhất của OWASP: Biện pháp giảm thiểu trong Power Platform

Open Web Application Security Project® (OWASP) là một quỹ phi lợi nhuận hoạt động nhằm cải thiện hoạt động bảo mật của phần mềm. Thông qua các dự án phần mềm nguồn mở do cộng đồng thực hiện, hàng trăm đề tài trên toàn thế giới, hàng chục nghìn thành viên cùng những hội thảo giáo dục và đào tạo hàng đầu, Quỹ OWASP là nguồn thông tin về bảo mật web dành cho các nhà phát triển và chuyên gia công nghệ.

OWASP Top 10 là tài liệu nâng cao nhận thức tiêu chuẩn dành cho nhà phát triển và những người quan tâm đến bảo mật ứng dụng web. Tài liệu này trình bày các rủi ro bảo mật quan trọng nhất đối với ứng dụng web dựa trên cơ sở đồng thuận rộng rãi. Trong phần này, chúng ta sẽ thảo luận về cách Power Platform giúp giảm thiểu những rủi ro như vậy.

A01:2021 Kiểm soát truy cập bị hỏng (Broken Access Control )

  • Mô hình bảo mật của Power Platform được xây dựng dựa trên Quyền truy cập ít đặc quyền (LPA). LPA cho phép khách hàng xây dựng ứng dụng với khả năng kiểm soát truy cập chi tiết hơn.
  • Power Platform sử dụng Microsoft Entra ID (Microsoft Entra ID) Microsoft Identity Platform để ủy quyền tất cả lệnh gọi API bằng giao thức OAuth 2.0 tiêu chuẩn ngành.
  • Dataverse, cung cấp dữ liệu cơ bản cho Power Platform, có mô hình bảo mật phong phú, bao gồm cả mô hình bảo mật ở cấp độ môi trường, dựa trên vai trò cũng như ở cấp độ bản ghi và trường.

A02:2021 Lỗi mật mã (Cryptographic Failures)

Dữ liệu đang truyền:

  • Power Platform sử dụng TLS để mã hóa tất cả lưu lượng truy cập mạng dựa trên HTTP. Nền tảng này sử dụng các cơ chế khác để mã hóa lưu lượng truy cập mạng không dựa trên HTTP có chứa dữ liệu khách hàng hoặc dữ liệu mật.
  • Power Platform sử dụng cấu hình TLS tăng cường hỗ trợ Bảo mật truyền tải nghiêm ngặt HTTP (HSTS):
    • TLS 1.2 trở lên
    • Bộ mật mã và đường cong NIST dựa trên ECDHE
    • Khóa mạnh

Dữ liệu tĩnh:

  • Tất cả dữ liệu khách hàng được mã hóa trước khi được ghi vào phương tiện lưu trữ cố định.

A03:2021 Tiêm nhiễm (Injection)

Power Platform sử dụng các phương pháp hay nhất đạt tiêu chuẩn của ngành để ngăn chặn những cuộc tấn công tiêm nhiễm, bao gồm:

  • Sử dụng API an toàn với giao diện có tham số
  • Áp dụng các tính năng không ngừng phát triển của khung giao diện người dùng để làm sạch thông tin đầu vào
  • Làm sạch thông tin đầu ra bằng phương thức xác thực phía máy chủ
  • Sử dụng các công cụ phân tích tĩnh trong thời gian xây dựng
  • Đánh giá Mô hình mối đe dọa của mọi dịch vụ 6 tháng một lần cho dù đã cập nhật mã, thiết kế hoặc cơ sở hạ tầng hay chưa

A04:2021 Thiết kế không bảo mật (Insecure Design)

  • Power Platform được xây dựng dựa trên văn hóa và phương pháp thiết kế bảo mật. Cả văn hóa và phương pháp đều không ngừng được củng cố thông qua các phương pháp Vòng đời phát triển bảo mật (SDL) và Lập mô hình mối đe dọa đầu ngành của Microsoft.
  • Quy trình đánh giá Lập mô hình mối đe dọa đảm bảo rằng các mối đe dọa được xác định trong giai đoạn thiết kế, giảm thiểu và xác thực chắc chắn rằng mối đe dọa đã được giảm thiểu.
  • Quy trình Lập mô hình mối đe dọa cũng tính đến tất cả thay đổi đối với các dịch vụ đã có thông qua quy trình đánh giá thường xuyên liên tục. Việc dựa vào mô hình STRIDE giúp giải quyết các vấn đề thường gặp nhất với thiết kế không bảo mật.
  • SDL của Microsoft tương đương với Mô hình đảm bảo phần mềm hoàn thiện (SAMM) của OWASP. Cả hai mô hình này đều được xây dựng dựa trên tiền đề rằng thiết kế bảo mật là yếu tố không thể thiếu đối với bảo mật ứng dụng web.

A05:2021 Cấu hình bảo mật sai (Security Misconfiguration)

  • "Từ chối mặc định" là một trong những cơ sở của nguyên tắc thiết kế Power Platform. Với quy tắc "Từ chối mặc định", khách hàng cần xem xét và chọn sử dụng các tính năng và cấu hình mới.
  • Phân tích bảo mật tích hợp sử dụng Công cụ phát triển bảo mật sẽ phát hiện mọi cấu hình sai trong thời gian xây dựng.
  • Ngoài ra, Power Platform trải qua quy trình Kiểm thử bảo mật phân tích động (DAST) bằng dịch vụ nội bộ được xây dựng dựa trên 10 rủi ro lớn nhất của OWASP.

A06:2021 Thành phần dễ bị tấn công và lỗi thời (Vulnerable and Outdated Components)

  • Power Platform tuân theo các phương pháp SDL của Microsoft để quản lý thành phần nguồn mở và thành phần bên thứ ba. Những phương pháp này bao gồm duy trì toàn bộ kho lưu trữ, thực hiện phân tích bảo mật, luôn cập nhật thành phần và điều chỉnh thành phần theo quy trình ứng phó sự cố bảo mật đã được kiểm thử.
  • Trong một số ít trường hợp, nhiều ứng dụng có thể chứa bản sao của các thành phần lỗi thời do phần phụ thuộc bên ngoài. Tuy nhiên, sau khi các thành phần phụ thuộc đó đã được giải quyết theo những phương pháp nêu trước đó, các thành phần sẽ được theo dõi và cập nhật.

A07:2021 Lỗi nhận dạng và xác thực (Identification and Authentication Failures)

  • Power Platform được xây dựng và phụ thuộc vào Microsoft Entra nhận dạng và xác thực ID.
  • Microsoft Entra giúp Power Platform kích hoạt các tính năng bảo mật. Những tính năng này bao gồm đăng nhập một lần, xác thực đa yếu tố và một nền tảng để tương tác với người dùng bên trong cũng như bên ngoài một cách an toàn hơn.
  • Với việc triển khai Power PlatformID Microsoft Entra Đánh giá quyền truy cập liên tục (CAE) sắp tới của , việc nhận dạng và xác thực người dùng sẽ còn hiệu quả hơn nữa an toàn và đáng tin cậy.

A08:2021 Lỗi toàn vẹn dữ liệu và phần mềm (Software and Data Integrity Failures)

  • Quy trình Quản lý thành phần của Power Platform thực thi cấu hình bảo mật của các tệp nguồn gói để duy trì tính toàn vẹn của phần mềm.
  • Quy trình này đảm bảo rằng chỉ các gói có nguồn gốc nội bộ mới được phân phối để giải quyết cuộc tấn công thay thế. Cuộc tấn công thay thế, còn được gọi là nhầm lẫn phần phụ thuộc, là một kỹ thuật có thể dùng để đầu độc quy trình xây dựng ứng dụng bên trong môi trường doanh nghiệp bảo mật.
  • Tất cả dữ liệu được mã hóa đều được áp dụng biện pháp bảo vệ tính toàn vẹn trước khi được truyền đi. Tất cả siêu dữ liệu bảo vệ tính toàn vẹn hiện có cho dữ liệu được mã hóa đến đều được xác thực.

Top 10 rủi ro về mã thấp/không có mã của OWASP: Các biện pháp giảm nhẹ trong Power Platform

Để biết hướng dẫn về cách giảm thiểu 10 rủi ro bảo mật Mã thấp/Không mã hàng đầu do OWASP công bố, hãy xem tài liệu này:

Power Platform - OWASP Low Code No Code Top 10 rủi ro (Tháng 4 năm 2024)

Câu hỏi bảo mật mà khách hàng thường thắc mắc

Sau đây là một số câu hỏi bảo mật mà khách hàng của chúng tôi đặt ra.

Power Platform giúp bảo vệ trước thủ đoạn lừa nhấp chuột bằng cách nào?

Lừa nhập chuột sử dụng iframe nhúng, trong số các thành phần khác, để chiếm quyền kiểm soát hoạt động tương tác của người dùng với một trang web. Đó là một mối đe dọa đáng kể đối với các trang đăng nhập nói riêng. Power Platform ngăn chặn việc sử dụng iframe trên các trang đăng nhập, giảm đáng kể nguy cơ lừa nhấp chuột.

Ngoài ra, các tổ chức có thể áp dụng Chính sách bảo mật nội dung (CSP) để hạn chế nhúng vào các miền đáng tin cậy.

Power Platform có hỗ trợ Chính sách bảo mật nội dung không?

Power Platform hỗ trợ Chính sách bảo mật nội dung (CSP) cho các ứng dụng dựa trên mô hình. Chúng tôi không hỗ trợ các tiêu đề sau đây (được thay thế bằng CSP):

  • X-XSS-Protection
  • X-Frame-Options

Làm cách nào để kết nối với SQL Server một cách an toàn?

Hãy xem bài viết Sử dụng Microsoft SQL Server một cách an toàn với Power Apps.

Power Platform hỗ trợ những thuật toán mật mã nào? Lộ trình không ngừng hướng tới thuật toán mật mã mạnh hơn như thế nào?

Tất cả dịch vụ và sản phẩm của Microsoft đều được đặt cấu hình để sử dụng các bộ thuật toán mật mã đã được phê duyệt, theo đúng thứ tự do Microsoft Crypto Board hướng dẫn. Để biết danh sách đầy đủ và thứ tự chính xác, hãy xem tài liệu về Power Platform.

Thông tin về việc ngừng sử dụng bộ thuật toán mật mã được truyền tải thông qua tài liệu Những thay đổi quan trọng của Power Platform.

Tại sao Power Platform vẫn hỗ trợ bộ thuật toán mật mã RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) và TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)) được xem là yếu hơn?

Microsoft cân nhắc rủi ro tương đối và sự gián đoạn đối với hoạt động của khách hàng khi chọn bộ thuật toán mật mã để hỗ trợ. Bộ thuật toán mật mã RSA-CBC vẫn chưa bị hỏng. Chúng tôi hỗ trợ những bộ thuật toán mật mã này để đảm bảo tính nhất quán giữa các dịch vụ và sản phẩm của mình, đồng thời hỗ trợ tất cả cấu hình của khách hàng. Tuy nhiên, chúng nằm ở cuối danh sách ưu tiên.

Chúng tôi sẽ ngừng sử dụng các bộ thuật toán mật mã này vào đúng thời điểm, dựa trên hoạt động đánh giá liên tục của Microsoft Crypto Board.

Tại sao Power Automate hiển thị hàm băm nội dung MD5 trong thông tin đầu vào và đầu ra của trình kích hoạt/hành động?

Power Automate truyền nguyên trạng giá trị băm nội dung-MD5 không bắt buộc do Azure Storage trả về cho các máy khách của nền tảng này. Hàm băm này được Azure Storage sử dụng để xác minh tính toàn vẹn của trang trong quá trình vận chuyển dưới dạng thuật toán tổng kiểm tra và hàm băm này không được sử dụng làm hàm băm mật mã cho mục đích bảo mật trong Power Automate. Bạn có thể tìm thêm thông tin chi tiết về điều này trong tài liệu Azure Storage về cách Nhận Thuộc tính Blob và cách làm việc với Tiêu đề yêu cầu.

Power Platform bảo vệ trước các cuộc tấn công Từ chối dịch vụ phân tán (DDoS) bằng cách nào?

Power Platform được xây dựng dựa trên Microsoft Azure và sử dụng biện pháp Chống DDoS của Azure để bảo vệ trước các cuộc tấn công DDoS.

Power Platform có phát hiện các thiết bị iOS đã bẻ khóa và các thiết bị Android đã bị bẻ khóa để giúp bảo vệ dữ liệu của tổ chức không?

Bạn nên sử dụng Microsoft Intune. Intune là một giải pháp quản lý thiết bị di động. Giải pháp này có thể giúp bảo vệ dữ liệu của tổ chức bằng cách yêu cầu người dùng và thiết bị đáp ứng các yêu cầu nhất định. Để biết thêm thông tin, hãy xem phần Thiết đặt chính sách tuân thủ của Intune.

Tại sao cookie phiên được đặt trong phạm vi miền gốc?

Power Platform đặt phạm vi cookie phiên cho miền gốc để hỗ trợ hoạt động xác thực giữa các tổ chức. Miền phụ không được sử dụng làm ranh giới bảo mật. Chúng cũng không lưu trữ nội dung của khách hàng.

Làm cách nào để đặt phiên ứng dụng hết thời gian chờ sau 15 phút chẳng hạn?

Power Platform sử dụng Microsoft Entra quản lý quyền truy cập và nhận dạng ID. Nó tuân theo Microsoft Entra cấu hình quản lý phiên được đề xuất của ID để mang lại trải nghiệm người dùng tối ưu.

Tuy nhiên, bạn có thể tùy chỉnh môi trường để có thời gian chờ phiên và/hoặc hoạt động rõ ràng. Để biết thêm thông tin, hãy xem bài viết Quản lý truy cập và phiên người dùng.

Với việc Power Platform triển khai Microsoft Entra ID Đánh giá quyền truy cập liên tục sắp tới, việc nhận dạng và xác thực người dùng sẽ an toàn và đáng tin cậy hơn nữa.

Ứng dụng này cho phép cùng một người dùng truy cập từ nhiều máy hoặc trình duyệt cùng một lúc. Chúng tôi có thể ngăn chặn việc đó bằng cách nào?

Việc truy cập ứng dụng từ nhiều thiết bị hoặc trình duyệt cùng lúc mang lại sự thuận tiện cho người dùng. Power PlatformViệc triển khai Microsoft Entra ID Đánh giá quyền truy cập liên tục sắp tới của chúng tôi sẽ giúp đảm bảo rằng quyền truy cập đến từ các thiết bị và trình duyệt được ủy quyền và vẫn hợp lệ.

Tại sao một số dịch vụ của Power Platform lại hiển thị tiêu đề máy chủ với thông tin chi tiết?

Các dịch vụ của Power Platform đã xử lý để loại bỏ thông tin không cần thiết trong tiêu đề máy chủ. Mục tiêu là để cân bằng mức độ chi tiết với nguy cơ lộ thông tin có thể làm suy yếu tình trạng bảo mật tổng thể.

Lỗ hổng Log4j tác động như thế nào đến Power Platform? Khách hàng nên làm gì trong trường hợp này?

Microsoft đã đánh giá rằng không có lỗ hổng Log4j nào ảnh hưởng đến Power Platform. Hãy xem bài đăng trên blog của chúng tôi về việc ngăn chặn, phát hiện và tìm cách khai thác lỗ hổng Log4j.

Làm cách nào để đảm bảo không có giao dịch trái phép do phần mở rộng của trình duyệt hoặc API ứng dụng giao diện hợp nhất cho phép bật các chế độ kiểm soát bị vô hiệu hóa?

Mô hình bảo mật của Power Apps không có khái niệm về chế độ kiểm soát bị vô hiệu hóa. Vô hiệu hóa chế độ kiểm soát là một điểm cải tiến của giao diện người dùng. Bạn không nên dựa vào các chế độ kiểm soát bị vô hiệu hóa để cung cấp dịch vụ bảo mật. Thay vào đó, hãy sử dụng những chế độ kiểm soát của Dataverse như bảo mật ở cấp độ trường để ngăn chặn các giao dịch trái phép.

Tiêu đề bảo mật HTTP nào được sử dụng để bảo vệ dữ liệu phản hồi?

Tên Thông tin chi tiết
Nghiêm ngặt-Giao thông-An ninh Điều này được đặt thành max-age=31536000; includeSubDomains trên tất cả các phản hồi.
Tùy chọn khung X Điều này không được chấp nhận vì CSP.
Tùy chọn loại nội dung X Cài đặt này được đặt thành nosniff trên tất cả phản hồi nội dung.
Chính sách-Bảo mật-Nội dung Điều này được đặt nếu người dùng bật CSP.
X-XSS-Bảo vệ Điều này không được chấp nhận vì CSP.

Tôi có thể tìm thấy các bài kiểm thử xâm nhập của Power Platform hoặc Dynamics 365 ở đâu?

Bạn có thể tìm thấy các bài kiểm thử xâm nhập và đánh giá hoạt động bảo mật mới nhất trên Microsoft Service Trust Portal.

Lưu ý

Để truy cập một số tài nguyên trên Cổng thông tin dịch vụ, bạn phải đăng nhập với tư cách là người dùng được xác thực bằng tài khoản dịch vụ đám mây của Microsoft (Microsoft Entra tài khoản tổ chức), đồng thời xem xét và chấp nhận thỏa thuận không tiết lộ của Microsoft đối với các tài liệu tuân thủ.

Bảo mật trong Microsoft Power Platform
Xác thực các dịch vụ của Power Platform
Kết nối và xác thực các nguồn dữ liệu
Lưu trữ dữ liệu trong Power Platform

Xem thêm