セキュリティ フレーム:承認 | 対応策

デバイス上のデータへの未承認アクセスを制限する適切な ACL が構成されていることを確認します

ユーザー固有の機密アプリケーション コンテンツがユーザー プロファイル ディレクトリに保存されていることを確認する

デプロイされたアプリケーションが最小権限で実行されていることを確認する

ビジネス ロジックのフローを連続した順序で実施する

列挙を防ぐレート制限メカニズムを実装する

適切な承認確認を設定して、最小権限の原則に従う

ビジネス ロジックとリソースのアクセスの承認は、受信要求パラメーターに基づいて判断しない

例

SELECT data 
FROM personaldata 
WHERE userID=:id < - session var 

これでデータを取得するための識別子がサーバー側で処理されるようになり、攻撃者がアプリケーションの操作を改ざんおよび変更できなくなりました。

コンテンツとリソースが列挙不可能であること、または強制的ブラウズでアクセスできないことを確認する

最小権限のアカウントを使用して Database サーバーに接続していることを確認する

テナントがお互いのデータにアクセスできないように行レベル セキュリティの RLS を実装する

そのまま使用できるデータベース機能としての RLS は、SQL Server 2016 以降、Azure SQL Database、および SQL Managed Instance にのみ適用できます。 そのまま使用できる RLS 機能が実装されていない場合、データ アクセスはビューとプロシージャの使用に制限されます

Sysadmin ロールには必要かつ有効なユーザーのみを割り当てる

最小権限のトークンを使用してクラウド ゲートウェイに接続する

送信専用のアクセス許可 SAS キーを使用してデバイス トークンを生成する

Event Hub への直接アクセスを提供するアクセス トークンは使用しない

必要最小限のアクセス許可が付与されている SAS キーを使用して Event Hub に接続する

可能な限りリソース トークンを使用して Azure Cosmos DB に接続する

Azure RBAC を使用して Azure サブスクリプションへのアクセスをきめ細かく管理する

Service Fabric RBAC を使用してクラスター操作へのクライアントのアクセスを制限する

必要に応じて、セキュリティのモデリングを実行し、フィールド レベルのセキュリティを使用します

ポータルのセキュリティ モデルとその他の CRM が異なることを念頭に置きながら、ポータル アカウントのセキュリティ モデルを実行します

Azure Table Storage のエンティティの範囲で詳細なアクセス許可を付与する

Azure Resource Manager を使用して、Azure ストレージ アカウントへの Azure のロールベースのアクセス制御 (Azure RBAC) を有効にする

暗黙的な脱獄または root 化検出を実装する

WCF での脆弱なクラス参照

例

以下の WCF 構成ファイルの <behaviorExtensions/> 要素は、カスタム動作クラスを、特定の WCF 拡張機能に追加するよう WCF に指示します。

<system.serviceModel>
    <extensions>
        <behaviorExtensions>
            <add name=""myBehavior"" type=""MyBehavior"" />
        </behaviorExtensions>
    </extensions>
</system.serviceModel>

完全修飾名 (厳密な名前) を使用することで型が一意に識別され、システムのセキュリティが強化されます。 machine.config ファイルと app.config ファイルに型を登録するときに、完全修飾アセンブリ名を使用します。

例

以下の WCF 構成ファイルの <behaviorExtensions/> 要素は、厳密に参照されるカスタム動作クラスを、特定の WCF 拡張機能に追加するよう WCF に指示します。

<system.serviceModel>
    <extensions>
        <behaviorExtensions>
            <add name=""myBehavior"" type=""Microsoft.ServiceModel.Samples.MyBehaviorSection, MyBehavior,
            Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"" />
        </behaviorExtensions>
    </extensions>
</system.serviceModel>

WCF - 承認コントロールを実装する

例

次の構成では、サービスを実行するときに、クライアントの認証レベルを確認しないよう WCF に指示します。

<behaviors>
    <serviceBehaviors>
        <behavior>
            ...
            <serviceAuthorization principalPermissionMode=""None"" />
        </behavior>
    </serviceBehaviors>
</behaviors>

そして、サービスの承認スキームを使用して、サービス メソッドの呼び出し元によるこの操作の実行が許可されていることを確認します。 WCF には 2 つのモードが用意されています。この WCF により、カスタム承認スキームの定義が許可されます。 UseWindowsGroups モードでは Windows のロールとユーザーを、UseAspNetRoles モードでは、SQL Server などの ASP.NET ロール プロバイダーを使用して、認証を行います。

例

次の構成では、追加サービスを実行する前に、クライアントが Administrators グループに含まれていることを確認するよう WCF に指示します。

<behaviors>
    <serviceBehaviors>
        <behavior>
            ...
            <serviceAuthorization principalPermissionMode=""UseWindowsGroups"" />
        </behavior>
    </serviceBehaviors>
</behaviors>

その後、サービスは次のように宣言されます。

[PrincipalPermission(SecurityAction.Demand,
Role = ""Builtin\\Administrators"")]
public double Add(double n1, double n2)
{
double result = n1 + n2;
return result;
}

ASP.NET Web API で適切な承認メカニズムを実装する

例

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class ApiAuthorizeAttribute : System.Web.Http.AuthorizeAttribute
{
        public async override Task OnAuthorizationAsync(HttpActionContext actionContext, CancellationToken cancellationToken)
        {
            if (actionContext == null)
            {
                throw new Exception();
            }

            if (!string.IsNullOrEmpty(base.Roles))
            {
                bool isAuthorized = ValidateRoles(actionContext);
                if (!isAuthorized)
                {
                    HandleUnauthorizedRequest(actionContext);
                }
            }

            base.OnAuthorization(actionContext);
        }

public bool ValidateRoles(actionContext)
{
   //Authorization logic here; returns true or false
}

}

保護する必要があるすべてのコント ローラーおよびアクション メソッドは、上記の属性で修飾する必要があります。

[ApiAuthorize]
public class CustomController : ApiController
{
     //Application code goes here
}

さまざまなアクセス許可レベルを必要とする各種アクションをデバイスがサポートしている場合は、デバイスで承認チェックを実行する

さまざまなアクセス許可レベルを必要とする各種アクションをデバイスがサポートしている場合は、フィールド ゲートウェイで承認チェックを実行する