Domande frequenti sulla sicurezza di Power Platform

  • Articolo

Le domande frequenti sulla sicurezza di Power Platform si dividono in due categorie:

  • Come Power Platform è stato progettato per aiutare a mitigare i 10 principali rischi OWASP (Open Web Application Security Project).

  • Domande poste dai nostri clienti

Per facilitare la ricerca delle informazioni più recenti, alla fine di questo articolo sono state aggiunte nuove domande.

I 10 principali rischi di OWASP: mitigazioni in Power Platform

L'Open Web Application Security Project® (OWASP) è una fondazione senza scopo di lucro che lavora per migliorare la sicurezza del software. Attraverso progetti di software open source guidati dalla community, centinaia di capitoli in tutto il mondo, decine di migliaia di membri e importanti conferenze educative e di formazione, la Fondazione OWASP è la fonte per sviluppatori e tecnici per proteggere il web.

OWASP top 10 è un documento di sensibilizzazione standard per gli sviluppatori e altri interessati nella sicurezza delle applicazioni web. Rappresenta un ampio consenso sui rischi per la sicurezza più critici per le applicazioni web. In questa sezione, discuteremo come Power Platform aiuta a mitigare questi rischi.

A01:2021 Controllo di accesso interrotto

  • Il modello di sicurezza Power Platform si basa sull'accesso con privilegi minimi (LPA). LPA consente ai clienti di creare applicazioni con un controllo degli accessi più granulare.
  • Power Platform utilizza la Piattaforma di identità Microsoft di Microsoft Entra ID (Microsoft Entra ID) per l'autorizzazione di tutte le chiamate API con il protocollo OAuth 2.0 standard del settore.
  • Dataverse, che fornisce i dati sottostanti per Power Platform, dispone di un modello di sicurezza completo che include sicurezza a livello di ambiente, basata sui ruoli e a livello di record e di campo.

A02:2021 Errori di crittografia

Dati in transito:

  • Power Platform utilizza TLS per crittografare tutto il traffico di rete basato su HTTP. Utilizza altri meccanismi per crittografare il traffico di rete non HTTP che contiene dati riservati o dei clienti.
  • Power Platform utilizza una configurazione TLS rafforzata che abilita HTTP Strict Transport Security (HSTS):
    • TLS 1.2 o versione successiva
    • Suite di crittografia basate su ECDHE e curve NIST
    • Chiavi complesse

Dati inattivi:

  • Tutti i dati dei clienti vengono crittografati prima di essere scritti su supporti di archiviazione non volatili.

A03:2021 Inserimento

Power Platform utilizza le procedure consigliate standard del settore per prevenire gli attacchi di inserimento, tra cui:

  • Utilizzo di API sicure con interfacce parametrizzate
  • Applicare le capacità in continua evoluzione dei framework front-end per sanificare l'input
  • Sanificazione dell'output con convalida lato server
  • Utilizzo di strumenti di analisi statica durante la fase di compilazione
  • Riesaminare il Modello di Minaccia di ogni singolo servizio ogni sei mesi indipendentemente dal fatto che il codice, il design o l'infrastruttura sia stato aggiornato o meno

A04:2021 Design insicuro

  • Power Platform si basa su una cultura e una metodologia di progettazione sicura. La cultura e la metodologia sono costantemente rafforzati delle procedure Security Development Lifecycle (SDL) e Modellazione delle minacce.
  • Il processo di revisione della modellazione delle minacce garantisce che le minacce vengano identificate durante la fase di progettazione, mitigate e convalidate per assicurarsi che le minacce siano state mitigate.
  • La modellazione delle minacce tiene conto anche di tutte le modifiche ai servizi già attivi attraverso continue revisioni periodiche. Il modello STRIDE aiuta ad affrontare i problemi più comuni con una progettazione insicura.
  • SDL di Microsoft è equivalente al Modello OWASP Software Assurance Maturity (SAMM). Entrambi si basano sul presupposto che una progettazione sicura è parte integrante della sicurezza delle applicazioni web.

A05:2021 Errori di configurazione sicurezza

  • "Default Deny" è uno dei fondamenti dei principi di progettazione di Power Platform. Con "Default Deny", i clienti devono rivedere e attivare nuove funzionalità e configurazioni.
  • Eventuali errori di configurazione durante il tempo di compilazione vengono rilevati con l'analisi della sicurezza integrata con l'utilizzo di Strumenti di sviluppo sicuri.
  • Inoltre, Power Platform viene sottoposto al test di sicurezza dell'analisi dinamica (DAST) utilizzando un servizio interno basato sui 10 principali rischi di OWASP.

A06:2021 Componenti vulnerabili e obsoleti

  • Power Platform segue le procedure SDL di Microsoft per gestire componenti open source e di terze parti. Queste procedure includono il mantenimento dell'inventario completo, l'esecuzione di analisi di sicurezza, l'aggiornamento dei componenti e l'allineamento dei componenti con un processo di risposta agli incidenti di sicurezza testato e collaudato.
  • In rari casi, alcune applicazioni possono contenere copie di componenti obsoleti a causa di dipendenze esterne. Tuttavia, dopo che tali dipendenze sono state risolte in conformità con le pratiche descritte in precedenza, i componenti vengono tracciati e aggiornati.

A07:2021 Errori di autenticazione e identificazione

  • Power Platform si basa e dipende da Microsoft Entra ID sia per l'identificazione sia per l'autenticazione.
  • Microsoft Entra aiuta Power Platform per abilitare le funzioni sicure. Queste funzionalità includono come il single sign-on, l'autenticazione a più fattori e un'unica piattaforma per interagire in modo più sicuro con utenti interni ed esterni.
  • Con l'imminente implementazione di Power Platform della funzionalità Valutazione continua dell'accesso (CAE) di Microsoft Entra ID, l'identificazione e l'autenticazione degli utenti saranno ancora più sicure e affidabili.

A08:2021 Errori di integrità del software e dei dati

  • Il processo di governance del componente di Power Platform applica la configurazione sicura dei file di origine del pacchetto per mantenere l'integrità del software.
  • Il processo garantisce che vengano serviti solo i pacchetti di origine interna per contrastare l'attacco di sostituzione. L'attacco di sostituzione, noto anche come confusione di dipendenza, è una tecnica che può essere utilizzata per avvelenare il processo di creazione di app all'interno di ambienti aziendali sicuri.
  • A tutti i dati crittografati viene applicata la protezione dell'integrità prima della trasmissione. Tutti i metadati di protezione dell'integrità presenti per i dati crittografati in entrata vengono convalidati.

I 10 principali rischi OWASP con poco codice/senza codice: mitigazioni in Power Platform

Per indicazioni su come mitigare i 10 principali rischi per la sicurezza con poco codice/senza codice pubblicati da OWASP, consulta questo documento:

Power Platform - I 10 principali rischi OWASP con poco codice/senza codice (April 2024)

Domande di sicurezza comuni da parte dei clienti

Di seguito sono riportate alcune delle domande di sicurezza poste dai nostri clienti.

Come fa Power Platform a proteggere dai rischi di clickjacking?

Clickjacking utilizza iframe incorporati, tra gli altri componenti, per dirottare le interazioni di un utente con una pagina web. È una minaccia significativa in particolare per le pagine di accesso. Power Platform impedisce l'uso di iframe nelle pagine di accesso, riducendo notevolmente il rischio di clickjacking.

Inoltre, le organizzazioni possono utilizzare i criteri di sicurezza del contenuto (CSP) per limitare l'incorporamento ai domini attendibili.

Power Platform supporta i criteri di sicurezza del contenuto?

Power Platform supporta i criteri di sicurezza del contenuto per le app basate su modello. Non sono supportate le seguenti intestazioni che vengono sostituite dai criteri di sicurezza del contenuto:

  • X-XSS-Protection
  • X-Frame-Options

Come possiamo connetterci a SQL Server in modo sicuro?

Vedi Usare Microsoft SQL Server in modo sicuro con Power Apps.

Quali crittografie sono supportate da Power Platform? Qual è la roadmap per spostarsi continuamente verso cifrature più forti?

Tutti i servizi e i prodotti Microsoft sono configurati per utilizzare le suite di crittografia approvate, nell'ordine esatto indicato da Microsoft Crypto Board. Per l'elenco completo e l'ordine esatto, vedi la documentazione di Power Platform.

Le informazioni relative alle deprecazioni delle suite di crittografia sono comunicate tramite la documentazione Modifiche importanti di Power Platform.

Perché Power Platform supporta ancora le crittografie RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) e TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)), che sono considerate più deboli?

Microsoft valuta il rischio relativo e l'interruzione delle operazioni del cliente nella scelta del supporto delle suite di crittografia. Le suite di crittografia RSA-CBC non sono state ancora interrotte. Abbiamo consentito loro di garantire la coerenza tra i nostri servizi e prodotti e di supportare tutte le configurazioni dei clienti. Tuttavia, sono in fondo all'elenco delle priorità.

Deprecheremo queste crittografie al momento giusto, in base alla valutazione continua di Microsoft Crypto Board.

Perché Power Automate espone gli hash del contenuto MD5 negli input e negli output di trigger/azione?

Power Automate passa il valore hash content-MD5 facoltativo restituito da Archiviazione di Azure così com'è ai client. Questo hash viene utilizzato da Archiviazione di Azure per verificare l'integrità della pagina durante il trasporto come algoritmo di checksum e non viene utilizzato come funzione hash di crittografia per motivi di sicurezza in Power Automate. Puoi trovare maggiori dettagli in merito nella documentazione di Archiviazione di Azure su come Ottenere le proprietà BLOB e come lavorare con le Intestazioni di richiesta.

Come fa Power Platform a proteggere dagli attacchi DDoS (Distributed Denial of Service)?

Power Platform è costruito su Microsoft Azure e usa la Protezione dagli attacchi DDoS di Azure per proteggersi dagli Attacchi DDoS.

Power Platform rileva i dispositivi iOS jailbroken e dispositivi radice Android per aiutare a proteggere i dati dell'organizzazione?

Ti consigliamo di utilizzare Microsoft Intune. Intune è una soluzione di gestione dei dispositivi mobili. Può aiutare a proteggere i dati dell'organizzazione richiedendo agli utenti e ai dispositivi di soddisfare determinati requisiti. Per ulteriori informazioni, vedi le Impostazioni dei criteri di conformità di Intune.

Perché i cookie di sessione hanno come ambito il dominio principale?

Power Platform assegna i cookie di sessione al dominio padre per consentire l'autenticazione tra le organizzazioni. I sottodomini non vengono utilizzati come limiti di sicurezza. Inoltre, non ospitano i contenuti dei clienti.

Come possiamo impostare la sessione dell'applicazione in modo che scada dopo, diciamo, 15 minuti?

Power Platform usa Microsoft Entra ID per la gestione delle identità e degli accessi. Segue la configurazione consigliata di Microsoft Entra ID per la gestione delle sessioni per un'esperienza utente ottimale.

Tuttavia, puoi personalizzare gli ambienti per avere timeout di attività e/o sessione espliciti. Per ulteriori informazioni, vedi Sessione utente e gestione dell'accesso.

Con l'imminente implementazione di Power Platform della funzionalità Valutazione continua dell'accesso (CAE) di Microsoft Entra ID, l'identificazione e l'autenticazione degli utenti saranno ancora più sicure e affidabili.

L'applicazione consente allo stesso utente di accedere da più di una macchina o un browser contemporaneamente. Come possiamo prevenirlo?

L'accesso all'applicazione da più macchine o browser contemporaneamente è una comodità per gli utenti. L'imminente implementazione di Power Platform della funzionalità Valutazione continua dell'accesso di Microsoft Entra ID contribuirà a garantire che l'accesso provenga da dispositivi e browser autorizzati e sia ancora valido.

Perché alcuni servizi Power Platform espongono le intestazioni del server con informazioni dettagliate?

I servizi Power Platform hanno lavorato per rimuovere le informazioni non necessarie nell'intestazione del server. L'obiettivo è bilanciare il livello di dettaglio con il rischio di esporre le informazioni che potrebbe indebolire la posizione di sicurezza generale.

In che modo influiscono le vulnerabilità di Log4j su Power Platform? Cosa dovrebbero fare i clienti a questo proposito?

Microsoft ha valutato che nessuna vulnerabilità di Log4j ha un impatto su Power Platform. Leggi il nostro post di blog su come prevenire, rilevare e cercare lo sfruttamento delle vulnerabilità di Log4j.

Come possiamo garantire che non vi siano transazioni non autorizzate dovute a estensioni del browser o API client Unified Interface che consentono di abilitare i controlli disabilitati?

Il concetto di controlli disabilitati non fa parte del modello di sicurezza di Power Apps. La disabilitazione dei controlli è un miglioramento dell'interfaccia utente. I controlli disabilitati non devono essere utilizzati per fornire sicurezza. Usa invece i controlli Dataverse come la sicurezza a livello di campo per prevenire transazioni non autorizzate.

Quali intestazioni di sicurezza HTTP vengono utilizzate per proteggere i dati di risposta?

Name Details
Strict-Transport-Security Questo è impostato su max-age=31536000; includeSubDomains per tutte le risposte.
X-Frame-Options Questa CSP è deprecata.
X-Content-Type-Options Questo è impostato su nosniff per tutte le risposte alle risorse.
Content-Security-Policy Viene impostato se l'utente abilita CSP.
X-XSS-Protection Questa CSP è deprecata.

Dove posso trovare i test di penetrazione di Power Platform o Dynamics 365?

Gli ultimi test di penetrazione e le valutazioni di sicurezza sono disponibili nel Microsoft Service Trust Portal.

Nota

Per accedere ad alcune delle risorse nel Service Trust Portal, devi accedere come utente autenticato con il tuo account per i servizi cloud Microsoft (account dell'organizzazione Microsoft Entra) e rivedere e accettare l'accordo di riservatezza Microsoft per i materiali di conformità.

Sicurezza in Microsoft Power Platform
Autenticazione ai servizi Power Platform
Connessione e autenticazione alle origini dati
Archiviazione dati in Power Platform

Vedi anche