www.lsit.berkeley.edu

Vì sao cần quan tâm

Content Security Policy (CSP) giới hạn nguồn được phép cung cấp script, style, frame và nội dung khác cho trình duyệt. Chính sách chặt chẽ giúp giảm tác động nếu kẻ tấn công chèn được nội dung vào trang.

Nên làm gì

Chỉ khai báo các nguồn ứng dụng thực sự cần, kiểm thử chính sách trước khi kích hoạt và hạn chế quy tắc ký tự đại diện (*) quá rộng, unsafe-inline cùng unsafe-eval.

Phạm vi của tiêu chí

Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.

Bằng chứng và phạm vi kiểm tra

Đã cấu hình:

Có

Số chính sách:

1

Thiết lập yếu phát hiện:

Unsafe Eval

Phản hồi đã kiểm tra:

Phản hồi HTML trang chủ

Host được yêu cầu:

www.lsit.berkeley.edu

Host quan sát được:

ls.berkeley.edu

Tài liệu tham chiếu

Vì sao cần quan tâm

Tên chứa các từ như admin, development, staging, VPN, database hoặc monitoring có thể dẫn kẻ tấn công tới hệ thống quan trọng. Chỉ riêng tên gọi chưa chứng minh có lộ lọt nhưng cho biết bề mặt cần được rà soát.

Nên làm gì

Xóa tên DNS không còn sử dụng và bảo vệ hệ thống không công khai bằng xác thực mạnh, MFA, danh sách mạng được phép hoặc VPN.

Vì sao cần quan tâm

Quy tắc cuối của SPF cho nơi nhận biết mức độ tin cậy khi từ chối nguồn gửi không có trong danh sách. Chính sách cho phép rộng khiến thư giả mạo dễ được xem là hợp lệ hơn so với hard fail (-all).

Nên làm gì

Xác nhận mọi nguồn gửi hợp lệ đã được khai báo, sau đó kết thúc bản ghi SPF bằng -all.

Bằng chứng và phạm vi kiểm tra