Sikkerhet

Active Directory autentisering

Som opsjon kan pålogging til Sensedesk skje via Microsoft Active Directory (AD). Da slipper man å ha passord lagret i Sensedesk databasen, og all autentisering skjer enten ved at brukerne oppgir sitt Windows (AD) brukernavn og passord ved pålogging, eller at slik pålogging til Sensedesk skjer automatisk siden brukeren allerede er innlogget i Windows/AD (Single-Sign-On).

Konfigurasjon av Sensedesk for autentisering vi AD

For å konfigurere Sensedesk til å benytte AD autentisering ved pålogging, gjør slik (på Web-server):

•Åpne filen Web.Config (i Sensedesk katalogen) i f.eks. Notepad

•Legg til linjen <appSettings><add key="Domain" value="MyDomain" /></appSettings>

•Bytt ut "MyDomain" med ditt domenenavn.

•Dersom du allerede har en linje med <appSettings />, bør denne først fjernes.

•Dersom denne linjen ikke finnes fra før, legg den inn i linjen over <connectionStrings>

Sikring mot SQL Injection angrep

Sensedesk er sikret best mulig mot såkalte SQL Injection angrep. Vi har blant annet benyttet Microsoft Code Analysis Tool (CAT.NET) som støtteverktøy for å avdekke eventuelle sikkerhetsmessige svakheter.

Om SQL Injection

Fra Wiki: "SQL injection is a code injection technique that exploits a security vulnerability occurring in the database layer of an application. The vulnerability is present when user input is either incorrectly filtered for string literal escape characters embedded in SQLstatements or user input is not strongly typed and thereby unexpectedly executed. It is an instance of a more general class of vulnerabilities that can occur whenever one programming or scripting language is embedded inside another. SQL injection attacks are also known as SQL insertion attacks"

Audit Trail

Som en ekstra sikkerhet er det innebygd funksjoner og prosedyrer som loggfører hendelser som påvirker ulike elementer (saker, dokumenter, inventar etc).

Når en bruker for eksempel sletter en sak, eller en oppgave i en sak m.m. så skrives det en rad til "audit" loggen, der denne hendelsen dokumenteres.

Ingen brukere har tilgang til å slette "audit"-rader. Dette sikrer en viss form for sporingsmulighet i etterkant av ulike operasjoner - som for eksempel sletting av elementer/rader.

SQL Server Views

I Sensedesk kan man velge å benytte såkalte SQL Server Views for å innsnevre og begrense tilgang til ulike datasett.

Se egen artikkel om superbrukere for mer informasjon rundt dette temaet.

Brukerrettigheter

Systemansvarlig (administrator) kan styre tilgang til Sensedesk per sikkerhetsgruppe.

Se eget kapittel under Admin-mappen.