Partilhar via

FAQs de segurança do Power Platform

  • Artigo

As perguntas mais frequentes sobre a segurança do Power Platform enquadram-se em duas categorias:

  • Como o Power Platform foi concebido para ajudar a mitigar os 10 principais riscos da Open Web Application Security Project® (OWASP)

  • Perguntas que os nossos clientes fazem

Para facilitar a descoberta das últimas informações, foram adicionadas novas perguntas no final deste artigo.

10 principais riscos da OWASP: Mitigações no Power Platform

A Open Web Application Security Project® (OWASP) é uma fundação sem fins lucrativos que trabalha para melhorar a segurança do software. Através de projetos de software open-source liderados pela comunidade, centenas de grupos em todo o mundo, dezenas de milhares de membros e conferências de educação e formação líderes, a Fundação OWASP é a origem para os programadores e tecnólogos protegerem a Web.

O 10 principais da OWASP é um documento de sensibilização padrão para programadores e outros interessados em segurança de aplicações Web. Representa um amplo consenso sobre os riscos de segurança mais críticos para aplicações Web. Nesta secção, iremos falar de como o Power Platform ajuda a mitigar estes riscos.

A01:2021 Controle de acesso quebrado

  • O modelo de segurança do Power Platform é criado no Acesso Menos Privilegiado (LPA). O LPA permite que os clientes criem aplicações com controlo de acesso mais granular.
  • Power Platform usa Microsoft Entra a PlataformaMicrosoft Entra de Identidade ( Microsoft ID) da ID para autorização de todas as chamadas de API com o protocolo 2.0 padrão OAuth do setor.
  • Dataverse, que fornece os dados subjacentes para o Power Platform, tem um modelo de segurança rico que inclui segurança ao nível do ambiente, baseado em funções e ao nível do registo e de campo.

A02:2021 Falhas criptográficas

Dados em trânsito:

  • O Power Platform utiliza TLS para encriptar todo o tráfego de rede baseado em HTTP. Utiliza outros mecanismos para encriptar o tráfego de rede não HTTP que contém dados de clientes ou confidenciais.
  • O Power Platform emprega uma configuração TLS endurecida que permite a HTTP Strict Transport Security (HSTS):
    • TLS 1.2 ou superior
    • Conjuntos de cifras baseados em ECDHE e curvas NIST
    • Chaves fortes

Dados inativos:

  • Todos os dados de cliente são encriptados antes de serem escritos para suportes de dados de armazenamento não voláteis.

A03:2021 Injeção

O Power Platform utiliza as melhores práticas padrão do setor para prevenir ataques de injeção, incluindo:

  • Utilização de APIs seguras com interfaces parametrizadas
  • Aplicar as capacidades em constante evolução das estruturas de front-end para limpar entradas
  • Limpar a saída com validação do lado do servidor
  • Utilizar ferramentas de análise estática durante o tempo de compilação
  • Rever o Modelo de Ameaça de cada serviço a cada seis meses se o código, conceção ou infraestrutura foi atualizado ou não

A04:2021 Design inseguro

  • O Power Platform foi criado sobre uma cultura e metodologia de conceção segura. Tanto a cultura quanto a metodologia são constantemente reforçadas por meio Microsoft das práticas líderes do setor de Ciclo de Vida de Desenvolvimento de Segurança (SDL) e Modelagem de Ameaças .
  • O robusto processo de revisão da Modelação de Ameaças garante que as ameaças são identificadas durante a fase de conceção, mitigadas e validadas para garantir que foram mitigadas.
  • A Modelação de Ameaças também é responsável por todas as alterações aos serviços que já estão em direto através de revisões regulares contínuas. Confiar no modelo STRIDE ajuda a abordar os problemas mais comuns com um conceção insegura.
  • MicrosoftO SDL do é equivalente ao Modelo de Maturidade do Software Assurance (SAMM) do OWASP. Ambos são construídos no pressuposto de que o design seguro é parte integrante da segurança da aplicação web.

A05:2021 Configuração incorreta de segurança

  • "Negar Predefinido" é uma das bases dos princípios da conceção do Power Platform. Com "Negar Predefinido", os clientes precisam de rever e optar ativamente por novas funcionalidades e configurações.
  • Quaisquer configurações erradas durante o tempo de compilação são apanhadas pela análise de segurança integrada utilizando Ferramentas de Programação Seguras.
  • Além disso, o Power Platform passa por Testes de Segurança de Análise Dinâmicos (DAST) utilizando um serviço interno que é criado com base nos 10 Principais riscos da OWASP.

A06:2021 Componentes vulneráveis e desatualizados

  • Power Platform segue Microsoft as práticas de SDL para gerenciar componentes de código aberto e de terceiros. Estas práticas incluem manter o inventário completo, realizar análises de segurança, manter os componentes atualizados e alinhar os componentes com um processo de resposta a incidentes de segurança testado e experimentado.
  • Em casos raros, algumas aplicações podem conter cópias de componentes desatualizados devido a dependências externas. No entanto, após estas dependências terem sido abordadas de acordo com as práticas descritas anteriormente, os componentes são monitorizados e atualizados.

A07:2021 Falhas de Identificação e Autenticação

  • O Power Platform foi criado com base no e depende do ID do Microsoft Entra para identificação e autenticação.
  • O Microsoft Entra ajuda o Power Platform a ativar funcionalidades seguras. Estas funcionalidades incluem o início de sessão único, a autenticação multifator e uma plataforma única para interagir com utilizadores internos e externos de forma mais segura.
  • Com a próxima implementação do Power Platform da Avaliação Contínua de Acesso (CAE) do ID do Microsoft Entra, a identificação e a autenticação de utilizadores serão ainda mais seguras e fiáveis.

A08:2021 Falhas de Software e Integridade de Dados

  • O processo de Governação de Componentes do Power Platform impõe a configuração segura de ficheiros de origem do pacote para manter a integridade do software.
  • O processo garante que apenas os pacotes de origem interna são servidos para abordar o ataque de substituição. O ataque de substituição, também conhecido como confusão de dependência, é uma técnica que pode ser utilizada para envenenar o processo de criação de aplicações dentro de ambientes empresariais seguros.
  • Todos os dados encriptados têm proteção de integridade aplicada antes de serem transmitidos. Todos os metadados de proteção de integridade presentes para a entrada de dados encriptados são validados.

Os 10 principais riscos de Baixo Código/Sem Código da OWASP: Mitigações no Power Platform

Para obter orientações sobre como mitigar os 10 principais riscos de segurança de Baixo Código/Sem Código publicados pela OWASP, consulte este documento:

Power Platform - OWASP Low Code No Code Top 10 Risks (abril de 2024)

Perguntas comuns de segurança dos clientes

Seguem-se algumas das perguntas de segurança que os nossos clientes fazem.

Como é que o Power Platform ajuda a proteger contra clickjacking?

O clickjacking usa iframes incorporados, entre outros componentes, para sequestrar as interações de um utente com uma página da web. É uma ameaça significativa às páginas de início de sessão em particular. O Power Platform impede a utilização de iframes em páginas de início de sessão, reduzindo significativamente o risco de clickjacking.

Além disso, as organizações podem utilizar Política de Segurança de Conteúdo (CSP) para restringir a incorporação a domínios fidedignos.

O Power Platform suporta a Política de Segurança de Conteúdo?

O Power Platform suporta a Política de Segurança de Conteúdo (CSP) para aplicações condicionadas por modelo. Não suportamos os seguintes cabeçalhos substituídos pelo CSP:

  • X-XSS-Protection
  • X-Frame-Options

Como podemos ligar-nos ao SQL Server de forma segura?

Consulte Utilizar o Microsoft SQL Server em segurança com o Power Apps.

Que cifras são suportadas pelo Power Platform? Qual é o mapa de objetivos de avançar continuamente para cifras mais fortes?

Todos os Microsoft serviços e produtos são configurados para usar os pacotes de codificação aprovados, na ordem exata direcionada Microsoft pela Crypto Board. Para obter a lista completa e a ordem exata, consulte a Documentação do Power Platform.

As informações relacionadas com preterimentos de conjuntos de cifras são comunicadas através da documentação Alterações Importantes do Power Platform.

Por que razão o Power Platform ainda suporta cifras RSA-CBC (TLS_ECDHE_RSA_with AES_128_CBC_SHA256 (0xC027) e TLS_ECDHE_RSA_with_AES_256_CBC_SHA384 (0xC028)) que são consideradas mais fracas?

Microsoft pondera o risco relativo e a interrupção das operações do cliente na escolha de pacotes de codificação para suporte. Os conjuntos de cifras RSA-CBC ainda não foram quebrados. Ativámo-los para garantir consistência em todos os nossos serviços e produtos, e para suportar todas as configurações do cliente. No entanto, estão na parte inferior da lista de prioridades.

Vamos depreciar essas cifras no momento certo, com base na avaliação contínua do Microsoft Crypto Board.

Porque é que o Power Automate expõe hashes de conteúdo MD5 em entradas e saídas de acionador/ação?

O Power Automate passa o valor de hash MD5 de conteúdo opcional obtido pelo Armazenamento do Azure tal como está para os seus clientes. Este hash é utilizado pelo Armazenamento do Azure para verificar a integridade da página durante o transporte como um algoritmo de soma de verificação e não é utilizado como função de hash criptográfica para efeitos de segurança no Power Automate. Poderá obter mais detalhes sobre isto na documentação do Armazenamento do Azure sobre como Obter Propriedades de Blob e como trabalhar com Pedir Cabeçalhos.

Como é que o Power Platform protege contra ataques DDoS, Denial of Service Distribuído (DDoS)?

O Power Platform foi criado no Microsoft Azure e utiliza o Azure DDoS Protection para proteger contra ataques DDoS.

O Power Platform deteta dispositivos iOS desbloqueados por jailbreak e dispositivos Android desbloqueados por rooting para ajudar a proteger dados organizacionais?

Recomendamos que utilize o Microsoft Intune. O Intune é uma solução de gestão de dispositivos móveis. Pode ajudar a proteger dados organizacionais, requerendo que os utilizadores e dispositivos satisfaçam determinados requisitos. Para obter mais informações, consulte Definições da política de conformidade do Intune.

Porque é que os cookies de sessão têm o âmbito definido para o domínio principal?

O Power Platform atribui o âmbito dos cookies de sessão para o domínio principal para permitir a autenticação entre organizações. Os subdomínios não são utilizados como limites de segurança. Também não hospedam conteúdo do cliente.

Como podemos definir a sessão da aplicação para o tempo limite depois de, digamos, 15 minutos?

O Power Platform utiliza o ID do Microsoft Entra para a gestão de identidade e acesso. Segue a configuração de gestão de sessão recomendada do ID do Microsoft Entra para uma experiência de utilizador ótima.

No entanto, pode personalizar ambientes para que tenham tempos limites de inatividade de sessão e/ou atividade. Para obter mais informações, consulte Melhoramentos de segurança: gestão de acesso e sessões de utilizador.

Com a próxima implementação do Power Platform da Avaliação Contínua de Acesso do ID do Microsoft Entra, a identificação e a autenticação de utilizadores serão ainda mais seguras e fiáveis.

A aplicação permite ao mesmo utilizador aceder a mais do que um computador ou browser ao mesmo tempo. Como podemos evitar isso?

Aceder à aplicação através de mais do que um dispositivo ou browser ao mesmo tempo é uma conveniência para os utilizadores. A próxima implementação do Power Platform da Avaliação Contínua de Acesso do ID do Microsoft Entra ajudará a garantir que o acesso é de dispositivos e browsers autorizados e ainda é válido.

Porque é que alguns serviços do Power Platform expõem cabeçalhos de servidores com informações verbosas?

Os serviços do Power Platform têm trabalhado para remover informações desnecessárias do cabeçalho do servidor. O objetivo é equilibrar o nível de detalhe com o risco de expor informações que possam enfraquecer a postura geral de segurança.

Como é que as vulnerabilidades do Log4j afetam o Power Platform? O que os clientes devem fazer a este respeito?

Microsoft avaliou que nenhuma vulnerabilidade do Log4j impacta Power Platform. Consulte a nossa publicação de blogue sobre prevenção, deteção e procura por exploração de vulnerabilidades Log4j.

Como podemos garantir que não existem transações não autorizadas devido a extensões de browser ou APIs de Cliente da Interface Unificada permitindo a ativação de controlos desativados?

O modelo de segurança do Power Apps não inclui o conceito de controlos desativados. A desativação dos controlos é um melhoramento da IU. Não deve depender de controlos desativados para fornecer segurança. Em vez disso, utilize controlos do Dataverse, tal como segurança ao nível do campo para evitar transações não autorizadas.

Quais são os cabeçalhos de segurança HTTP que são utilizados para proteger dados de resposta?

Name Details
Segurança Rigorosa no Transporte Está definido como max-age=31536000; includeSubDomains em todas as respostas.
X-Frame-Opções Foi preterido a favor da CSP.
X-Content-Type-Options Está definido como nosniff em todas as respostas de recursos.
Política de Segurança de Conteúdo Isto é definido se o utilizador ativar a CSP.
X-XSS-Proteção Foi preterido a favor da CSP.

Onde posso encontrar testes de penetração do Power Platform ou do Dynamics 365?

Os mais recentes testes de penetração e avaliações de segurança podem ser encontrados no Portal de Confiança do Microsoft Serviço.

Nota

Para acessar alguns dos recursos no Portal de Confiança do Serviço, você deve fazer login como um utente autenticado com sua Microsoft conta de serviços de nuvem (Microsoft Entra conta da organização) e revisar e aceitar o Microsoft contrato de confidencialidade para materiais de conformidade.

Segurança em Microsoft Power Platform
Autenticação em Power Platform serviços
Conectando-se e autenticando-se a fontes de dados
Armazenamento de dados em Power Platform

Consulte também