分享方式：

Power Platform 安全性常見問題集

  • 文章

關於 Power Platform 安全性的常見問題通常分為兩類：

  • Power Platform 如何協助減少前 10 個 Open Web Application Security Project® (OWASP) 風險

  • 我們的客戶詢問的問題

若要讓您能更輕鬆地尋找最新的資訊，請在本文的結尾新增新的問題。

OWASP Top 10 風險：Power Platform 中的風險降低措施

Open Web Application Security Project® (OWASP) 是一個致力於改善軟體安全性的非營利基金會。 透過社群主導的開放原始碼軟體專案、全球數百個分會、數萬名成員以及領先業界的教育和培訓會議，OWASP 基金會是開發人員和技術人員用來保護網路安全的來源。

OWASP Top 10 是開發人員和其他對 Web 應用程式安全性感興趣人員的標準認知文件。 它代表了對 Web 應用程式最關鍵安全風險的廣泛共識。 在本節中，我們將討論 Power Platform 如何協助您減輕這些風險。

A01:2021 失效的存取控制

  • Power Platform 安全性模型根據最少的權限存取 (LPA) 建立。 LPA 可讓客戶建立具有更精細存取控制的應用程式。
  • Power Platform 使用 Microsoft Entra ID 的 (Microsoft Entra ID) Microsoft 身分識別平台，以符合業界標準 OAuth 2.0 協定的所有 API 呼叫授權。
  • Dataverse 提供了 Power Platform 的基礎資料，有一種豐富的資訊安全模型，包括環境等級、角色型以及記錄和欄位層級的安全性。

A02:2021 加密失敗

傳輸中的資料：

  • Power Platform 使用 TLS 來加密所有 HTTP 網路通訊。 它使用其他機制來加密包含客戶或機密資料的非 HTTP 網路流量。
  • Power Platform 採用可啟用 HTTP 嚴格傳輸安全性 (HSTS) 的加固 TLS 設定：
    • TLS 1.2 或以上
    • ECDHE 型加密套件和 NIST 曲線
    • 增強式金鑰

待用資料：

  • 所有的客戶資料都會在寫入非揮發性儲存體之前進行加密。

A03:2021 插入

Power Platform 使用業界標準最佳做法來防止插入式攻擊，包含：

  • 使用具有參數化介面的安全 API
  • 利用不斷發展的前端框架功能來處理輸入
  • 使用伺服器端驗證處理輸出
  • 在組建期間使用靜態分析工具
  • 每六個月會檢閱服務的威脅模型，無論程式碼、設計或基礎結構是否已更新

A04:2021 不安全的設計

  • Power Platform 是以安全設計的文化和方法建立。 文化和安全設計方法均為基礎所建立，且會不斷地透過 Microsoft 領先業界的安全性開發生命週期 (SDL) 和威脅建模實務來加強。
  • 威脅建模檢閱程序可確保在設計階段發現威脅、降低威脅並進行驗證，以確保威脅已降低。
  • 威脅建模也會將所有已透過連續定期查看的服務變更進行為活動。 依靠 STRIDE 模型 ，可協助解決最常見的不安全設計問題。
  • Microsoft 的 SDL 相當於 OWASP 軟體保證成熟度模型 (SAMM)。 兩者都是建立在安全設計對 Web 應用程式安全性有整數的前提上。

A05:2021 安全性設定錯誤

  • 「預設拒絕」是 Power Platform 設計原則的基礎之一。 在「預設拒絕」之外，客戶需要審查並加入新的功能和設定。
  • 組建期間的任何錯誤設定都會透過使用安全開發工具的整合安全性分析來擷取。
  • 此外，Power Platform 通過使用基於 OWASP Top 10 風險組建的內部服務進行 動態分析安全性測試 (DAST)。

A06:2021 易受攻擊和過期的元件

  • Power Platform 遵循 Microsoft 領先業界的 SDL 實務，管理開放原始碼和協力廠商元件。 這些做法包含維護完整詳細目錄、執行安全性分析、讓元件保持最新狀態，並將它們與經過測試和嘗試的資訊安全事故回覆程序保持一致。
  • 在極少數的案例中，某些應用程式可能包含過期元件的複本，因為是外部相依性。 不過，根據先前所述的慣例來定出這些相依性之後，就會追蹤並更新元件。

A07:2021 識別碼和驗證失敗

  • Power Platform 是以 Microsoft Entra ID 為基礎建立，並依靠其來進行身分識別和驗證。
  • Microsoft Entra 能協助您 Power Platform 啟用安全功能。 這些功能包含單一登入 (SSO)、多重要素驗證和單一平台，以更安全的方式與內部和外部用戶互動。
  • 隨著 Power Platform 即將進行 Microsoft Entra ID 的 持續存取評估 (CAE)，使用者識別和驗證將更加安全和可靠。

A08:2021 軟體和資料完整性失敗

  • Power Platform 的元件控管程式會透過強制安全設定封裝來源檔案，維持軟體的完整性。
  • 此程式可確保只有內部提供的套裝軟體可以進行位址替代攻擊。 替代攻擊 (也稱為相依性混淆) 是一項技術，可用來在安全的企業環境中損害應用程式構建程式。
  • 所有加密資料在傳輸前均已套用完整性保護。 會驗證接收加密資料的所有完整性保護中繼資料是否已存在。

OWASP 十大低程式碼/無程式碼風險：Power Platform 中的風險降低措施

有關緩解 OWASP 發佈的前十大低程式碼/無程式碼安全性風險指南，請參閱此文件：

Power Platform - OWASP 低程式碼無程式碼十大風險 (2024 年 4 月)

來自客戶的常見安全性問題

以下是我們的客戶要求的某些安全性問題。

Power Platform 如何協助防範點擊劫持風險？

Clickjacking 使用嵌入的 iframe，以及其他元件、劫持使用者與網頁的互動。 特別對於登入頁面來說，這是個重大威脅。 Power Platform 能防止在登入頁面上使用 iframe，大幅降低劫持風險。

此外，組織可以使用內容安全原則 (CSP) 可用於限制內嵌到具有組織設定的受信任網域。

Power Platform 是否支援內容安全原則？

Power Platform 支援模型導向應用程式的內容安全性原則 (CSP)。 不支援以下由 CSP 取代的標題：

  • X-XSS-Protection
  • X-Frame-Options

如何以安全的方式連連線至 SQL Server？

查看透過 Power Apps 安全地 Microsoft SQL Server。

Power Platform 支援哪些加密方式？ 不斷向更強大加密方式邁進的藍圖內容為何？

所有 Microsoft 服務及產品都設定成使用經核准的加密套件，其順序與 Microsoft 加密委員會指示的完全相同。 如需完整清單及正確順序，請參閱Power Platform 文件。

與取代加密套件相關的資訊都將透過 Power Platform 的匯入變更文件進行傳達。

為什麼 Power Platform 仍然支援被視為較弱的 RSA-CBC 密碼 (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) 和 TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028))？

Microsoft 在選擇加密套件支援時，會權衡相對風險與客戶作業中斷。 RSA-CBC 加密套件尚未被打斷。 我們已讓他們能確保整個服務與產品的一致性，並支援所有的客戶設定。 但是，這些加密套件位於優先順序清單的底端。

我們會在適當的時候取代這些加密套件；Microsoft 加密委員會持續進行評估。

為什麼 Power Automate 會公開觸發/動作輸入及輸出中的 MD5 內容雜湊？

Power Automate 會將 Azure 儲存體所傳回的選用內容 MD5 雜湊值傳遞至其用戶端。 此雜湊由 Azure 儲存體用來做為驗證頁面在傳輸期間完整性的總和檢查碼演算法，而不會在 Power Automate 中當做密碼編譯雜湊函數用於安全性目的。 您可在 Azure 儲存體文件中找到這方面的詳細資料，以便了解如何取得 Blob 屬性，以及如何使用要求標頭。

Power Platform 如何防範分散式阻斷服務 (DDoS) 攻擊？

Power Platform 建立於 Microsoft Azure，並使用 Azure DDoS 防護 來防禦 DDoS 攻擊 。

Power Platform 是否會偵測 JB 破解的 iOS 裝置和 Root 破解的 Android 裝置，以協助保護組織資料？

我們建議您使用 Microsoft Intune。 Intune 是一種行動裝置管理解決方案。 它可以要求使用者和裝置符合特定需求，協助保護組織的資料。 如需詳細資訊，請參閱 Intune 的相容性原則設定。

為何工作階段 Cookie 的範圍是上層網域？

Power Platform 將工作階段 cookie 作用域至上層網域，以允許跨組織進行驗證。 不使用子網域作為安全性邊界。 他們也不會主持客戶的內容。

如何將應用程式工作階段設定為在 15 分鐘後超時？

Power Platform 使用 Microsoft Entra ID 進行身分識別與存取權管理。 遵循 Microsoft Entra ID 的建議進行工作階段管理，以取得最佳的使用者體驗。

但是，您可以自訂環境，以讓明確工作階段和/或活動超時。 如需其他資訊，請參閱使用者工作階段和與存取管理。

隨著 Power Platform 即將進行 Microsoft Entra ID 的 持續存取評估，使用者識別和驗證將更加安全和可靠。

應用程式允許同一位使用者同時從多台電腦或瀏覽器存取。 我們如何防止這種情況發生？

使用者能同時從多台裝置或瀏覽器存取應用程式很方便。 Power Platform 即將實施的 Microsoft Entra ID 持續存取評估將協助確保存取是來自授權裝置和瀏覽器，而且仍然有效。

為什麼某些 Power Platform 服務會公開包含詳細資訊的伺服器標頭？

Power Platform 服務一直在努力移除伺服器標題中不必要的資料。 目標是要平衡詳細資料的等級，以暴露可能削弱整體安全性狀況的資訊。

Log4j 弱點如何影響 Power Platform？ 在這方面，客戶應該怎麼做？

Microsoft 已評估，且不會影響 Power Platform 的 Log4j 弱點。 請參閱我們的部落格文章，瞭解預防、偵測和搜尋漏洞是否會受到 Log4j 弱點的攻擊。

我們如何確保沒有由於瀏覽器延伸或整合介面用戶端 API 允許啟用已停用的控制項，而導致未經授權的交易？

停用控制項的概念不屬於 Power Apps 安全性模型。 停用控制項是一項 UI 增強。 您不應依賴停用的控制項來提供安全性。 取而代之的是，使用 Dataverse 控制項 (如欄位層級安全性) 來防止未經授權的交易。

使用哪些 HTTP 安全性標頭來保護回覆資料？

名稱 詳細資料
Strict-Transport-Security 這在所有回覆上都設定為 max-age=31536000; includeSubDomains。
X-Frame-Options 這已改由 CSP 取代。
X-Content-Type-Options 這在所有回覆上都設定為 nosniff。
Content-Security-Policy 如果使用者啟用 CSP，則會設定此標頭。
X-XSS-Protection 這已改由 CSP 取代。

哪裡可以找到 Power Platform 或 Dynamics 365 滲透測試？

您可以在 Microsoft 服務信任入口網站上找到最新的滲透測試和安全性評估。

Note

若要存取服務信任入口網站上的某些資源，您必須用您的 Microsoft 雲端服務帳戶 (Microsoft Entra 組織帳戶) 登入為經過驗證的使用者，且檢視並接受 Microsoft 的合規性材料保密協定。

Microsoft Power Platform 的安全性
驗證 Power Platform 服務
連線和驗證資料來源
Power Platform 中的資料儲存區

請參閱