Identifica apps ativados em sua instância que têm versões atualizadas disponíveis.

Verifique se você está executando as versões mais atualizadas das aplicações da loja, o que pode incluir correções para possíveis problemas de segurança.

Identifica scripts que são diretamente invocáveis por usuários finais (como Inclusões de script de cliente chamável, widgets, processadores, endpoints REST)

Esses scripts devem respeitar as ACLs e usar GlideRecordSecure ou GlideRecord com canRead, canWrite, canCreate, canDelete.

Identifica scripts em que o Controle de acesso a conteúdo JavaScript é usado para permitir ou negar bibliotecas JavaScript de terceiros específicas.

Revise as personalizações da instância para verificar se as bibliotecas não estão em uso antes de bloquear o acesso. A tabela Acompanhamento de acesso do provedor de conteúdo JavaScript [sys_js_content_provider_access_tracking] pode ser revisada para ver a última data em que a biblioteca foi acessada.

Identifica inclusões de script de cliente chamável que não têm uma ACL correspondente. Esses scripts usam a ACL de inclusão de script de cliente chamável padrão ("*").

Para esses scripts, crie ACLs que definam os critérios apropriados de acesso para verificar se somente os usuários esperados podem interagir com a funcionalidade fornecida.

Identifica produtores de registro que não têm validação adicional do lado do servidor. Esta verificação identifica tabelas personalizadas com um Produtor de registro, mas sem uma regra de negócio associada.

Isso pode permitir que os usuários enviem dados inesperados para a tabela associada.

Identifica registros de ACL que não têm script, condição, atributo de segurança ou função, ou ACLs com a função pública.

Deixar as ACLs vazias ou usar a função pública fornece acesso aberto a qualquer conteúdo protegido por esta ACL.

Identifica campos HTML em que a limpeza de HTML está inativa.

A sanitização de HTML remove ou substitui elementos e atributos potencialmente prejudiciais no código HTML. Revise os campos HTML em que a limpeza está inativa para confirmar se esta configuração é necessária.

Identifica plug-ins que não estão ativados e que fornecem controles de segurança adicionais e configuráveis. As descobertas produzidas por esta verificação são fornecidas para fins informativos.

Antes de habilitar um dos plug-ins identificados, verifique se o plug-in atende aos seus casos de uso ou requisitos. Você pode silenciar essas descobertas se não tiver um caso de uso para o identificado.

Identifica intervalos de controle de acesso ao endereço IP que contêm um grande número de endereços IP.

Revise e confirme se a configuração atual está alinhada com as necessidades de negócio.

Identifica esquemas GraphQL públicos na tabela GraphQL API [sys_graphql_schema].

Esses esquemas podem ser configurados para ficarem disponíveis sem autenticação. Dependendo da funcionalidade do endpoint, isso pode permitir que usuários não autenticados executem ações inesperadas ou interajam com dados inesperados.

Identifica bases de conhecimento e artigos da base de conhecimento configurados para permitir o acesso a usuários não autenticados.

Revise e confirme se a configuração atual está alinhada com as necessidades de negócio.

Identifica endpoints de REST API na tabela Recurso REST de script [sys_ws_operation] que estão configurados para ficarem disponíveis sem autenticação.

Dependendo da funcionalidade do endpoint, isso pode permitir que usuários não autenticados executem ações inesperadas ou interajam com dados inesperados.

Identifica as páginas do Portal de serviços que se tornam públicas. As páginas do Portal de serviços são disponibilizadas para usuários não autenticados definindo o campo "público" como "verdadeiro".

Revise e confirme se a configuração atual está alinhada com as necessidades de negócio.

Identifica Páginas de IU que se tornam públicas. É possível disponibilizar Páginas de IU para usuários não autenticados usando a página [sys_public].

Revise e confirme se a configuração atual está alinhada com as necessidades de negócio.

Identifica todas as funções (tabela Funções [sys_user_role]) que contêm a função de administrador.

A função de administrador concede privilégios administrativos aos usuários e deve ser usada somente quando necessário. Revise e confirme se a configuração atual está alinhada com as necessidades de negócio. Se esta for uma configuração intencional, esta verificação poderá ser silenciada.

Identifica Páginas de IU que não têm uma ACL para essa Página de IU.

Páginas de IU que não têm uma ACL específica padrão para uma ACL de Página de IU genérica,, que pode conceder acesso a usuários não intencionais.

Identifica usuários com senhas definidas localmente.

Usuários com senhas locais podem interagir com a instância por meio de APIs usando as credenciais locais, mesmo se os logins locais não forem permitidos. Esta configuração de senha é necessária para que as contas de usuário de integração funcionem corretamente.

Revise essas contas de usuário para verificar se somente os usuários pretendidos (como contas de integração) podem se autenticar com a autenticação local.

Identifica contas de usuário com senhas criadas em versões anteriores da Now Platform, que podem ter usado o que agora é considerado um algoritmo de hash legado ou desatualizado.

Contas criadas em versões antigas da plataforma que não rotacionaram suas senhas ainda podem ter senhas armazenadas com um algoritmo de hash legado. Revise as contas identificadas criadas e considere as redefinições de senha.

Identifica produtores de registros inseguros.

Se não for atribuído a funções apropriadas, usuários não autorizados poderão acessá-los, potencialmente revelando informações confidenciais. Atribua funções apropriadas aos produtores de registro para verificar se eles podem ser acessados somente por usuários que precisam deles.