Обзор агента безопасности (предварительная версия)

[Эта статья является предварительной документацией и может быть изменена.]

Агент безопасности — это помощник с поддержкой искусственного интеллекта, встроенный в рабочую область Power Pages Security, которая помогает разработчикам просматривать, настраивать и укреплять безопасность своих Power Pages сайтов с помощью естественного языка.

Агент поддерживает основные сценарии безопасности, участвующие в защите сайта Power Pages, включая проверку состояния безопасности, настройку проверки подлинности и авторизации, управление параметрами безопасности приложения и устранение распространенных проблем безопасности. Рекомендации основаны на конфигурации сайта, поэтому вы можете принимать обоснованные решения на основе вашей среды, а не универсальных рекомендаций.

Для любых изменений конфигурации агент всегда запрашивает утверждение перед внесением обновлений, поэтому вы остаетесь под контролем безопасности вашего сайта.

Сценарии безопасности

Агент безопасности поддерживает четыре основных сценария безопасности, охватывающие основные области защиты сайта Power Pages.

Проверка состояния безопасности сайта

Просмотрите общую безопасность сайта в одной беседе. Агент анализирует параметры проверки подлинности, конфигурацию авторизации, параметры безопасности, результаты проверки уязвимостей и конфигурацию сайта для выявления таких проблем, как чрезмерный доступ, анонимный доступ, неправильно настроенная проверка подлинности и отсутствие защиты безопасности. Агент определяет приоритеты результатов, объясняет их на простом языке и предоставляет рекомендуемые действия по исправлению.

Примеры запросов:

• Просмотрите безопасность моего сайта и сообщите мне о самых приоритетных проблемах.
• Покажите мне всё, к чему анонимные пользователи в настоящее время имеют доступ.
• Сводные сведения о последних результатах проверки безопасности.
• Проверьте, соответствуют ли мои настройки аутентификации, авторизации и безопасности лучшим практикам.
• Определите все веб-роли или разрешения, предоставляющие более широкий доступ, чем это возможно.
• Просмотрите разрешения моей страницы и таблицы и выделите все несоответствия.
• Проверьте, не становятся ли конфиденциальные таблицы Dataverse доступными из-за слишком широких прав доступа.
• Создайте отчет о состоянии безопасности, который я могу поделиться с моей командой.

Настройка авторизации

Настройка доступа пользователей к страницам сайта и данным Dataverse. Агент помогает создавать и обновлять веб-роли, разрешения для страниц и разрешения для таблиц. В нём описаны существующие настройки авторизации и рекомендуется доступ с минимально необходимыми привилегиями на основе конфигурации вашего сайта.

Примеры запросов:

• Отображение всех веб-ролей и страниц, к которые они могут получить доступ.
• Создайте веб-роль с именем CaseReviewer для прошедших проверку подлинности пользователей.
• Ограничьте страницу SupportCases, чтобы доступ к ней могли получить только пользователи с ролью CaseReviewer.
• Создайте разрешение на доступ к таблице, которое позволяет роли CaseReviewer читать и создавать инциденты.
• Измените это разрешение для таблицы с глобальной области видимости на область видимости контакта.
• Удалите анонимный доступ из этого разрешения таблицы.
• Перечислите все разрешения для таблицы, которым не назначены никакие веб-роли.
• Может ли пользователь с RoleB и RoleC иметь доступ к TestC и отправить TestForm?

Настройка проверки подлинности и устранение неполадок

Настройте поставщиков аутентификации, проверьте параметры аутентификации и диагностируйте распространенные проблемы со входом. Агент поддерживает Microsoft Entra ID, OpenID Connect и SAML 2.0 и рекомендует обновления конфигурации для устранения проблем с проверкой подлинности.

Примеры запросов:

• Просмотрите настройку проверки подлинности сайта и сообщите мне, что неправильно настроено.
• Проверьте мои параметры входа в Microsoft Entra ID и предложите способы их исправления.
• Проверьте конфигурацию OpenID Connect.
• Пользователи нажимают кнопку "Войти", но возвращаются на страницу входа. Помогите мне определить проблему.
• Пользователи успешно проходят аутентификацию, но после входа в систему получают сообщение «Доступ запрещён».
• Настройте этот сайт для поддержки локальных учетных записей и Microsoft Entra ID.
• Задайте Microsoft Entra ID в качестве параметра входа по умолчанию.
• Помогите мне изучить, почему вход выполняется успешно для некоторых пользователей, но завершается сбоем для других пользователей.

Параметры безопасности приложений

Просмотрите и настройте параметры безопасности на уровне приложения, включая политику безопасности содержимого (CSP), заголовки безопасности HTTP, CORS, параметры cookie, управление сеансами и конфигурации, связанные с WAF.

Примеры запросов:

• Просмотрите мою текущую политику безопасности контента и порекомендуйте улучшения.
• Диагностируйте ошибки политики безопасности контента, которые блокируют JavaScript или CSS.
• Просмотрите и укрепите заголовки безопасности HTTP.
• Рекомендуется использовать более безопасные параметры CORS.
• Просмотрите конфигурацию файла cookie проверки подлинности.
• Обновите время ожидания сеанса для неактивных пользователей.
• Проверьте, включен ли WAF для моего сайта и объясните текущее состояние защиты.
• Просмотрите настройки безопасности приложения и порекомендуйте улучшения.

Как работает агент

Агент безопасности можно найти в рабочей области Security в Power Pages Design Studio. После запуска панели чата агента безопасности опишите, что нужно сделать с помощью естественного языка. Примеры запросов:

• Проверьте безопасность моего сайта.
• Настройте проверку подлинности Microsoft Entra ID.
• Создайте разрешения для роли «Продажи».
• Почему пользователи не могут войти в систему?
• Настройка политики безопасности содержимого.

Агент анализирует конфигурацию сайта, объясняет свои результаты и предлагает изменения конфигурации, если это необходимо. Перед применением любых изменений он запрашивает ваше подтверждение, а после завершения точно сообщает, что именно было обновлено.

Лучшие практики

Для оптимального взаимодействия:

• Используйте агент безопасности в средах разработки или тестирования, прежде чем продвигать изменения в рабочей среде.
• Просмотрите все предложенные изменения конфигурации перед утверждением действий записи.
• Используйте диалоговый интерфейс для понимания концепций безопасности, а также настройки сайта.
• Проверьте и разверните утвержденные изменения с помощью стандартного процесса ALM вашей организации.

Поскольку рекомендации основаны на конфигурации вашего сайта, они адаптированы к вашей среде, а не представляют собой общие рекомендации по безопасности.

Связанные возможности безопасности

Помимо агента безопасности, рабочая область "Безопасность" включает автоматизированные возможности безопасности, которые помогают непрерывно отслеживать ваш сайт.

Проверка безопасности (предварительная версия) позволяет запланировать повторяющиеся проверки уязвимостей, которые оценивают сайт по правилам безопасности на основе OWASP.

Мониторинг трафика сайта (предварительная версия) постоянно анализирует шаблоны трафика для обнаружения подозрительных действий и потенциальных атак.

Результаты обоих возможностей отображаются в виде оповещений на странице обзора рабочей области "Безопасность". Здесь можно просмотреть сведения об оповещении, напрямую выполнить рекомендуемые действия или открыть агент безопасности, чтобы понять причину проблемы и получить пошаговые рекомендации по ее устранению.

См. также

Запустить проверку безопасностиРасширенные параметры (предварительная версия)