AlmaへのログインをIPレンジで制限する

CSP  (コンテンツセキュリティ ポリシー) ヘッダー設定 

CSPヘッダーディレクティブを有効にして構成し、Webアプリケーションのセキュリティポリシーを微調整できます。この設定にアクセスするには、設定 > 全般 > CSPヘッダー設定に移動します。

1. form-action:

   • フォーム送信のターゲットとして使用できるURLを制限します（<form action="..." />）。フォームが悪意のあるサイトに送信されるのを防ぐのに役立ちます。

2. base-uri:

   • 文書の<base>要素内で使用できるURLを指定します<base>要素は、ドキュメント内のすべての相対URLに使用するベースURLを指定するので、これを制御することで、攻撃者がベースURLを変更して、リンクを悪意のあるサイトにリダイレクトすることを防ぐことができます。

3. script-src:

   • このディレクティブは、JavaScriptの有効なソースを指定します。信頼できるソースからのスクリプトのみをページ上で実行できるようにすることで、XSS攻撃を軽減するのに役立ちます。たとえば、スクリプトを独自のドメインまたは信頼できる CDN からのみ読み込むように指定できます。

4. frame-src:

   • このディレクティブは、<frame>、<iframe>, <object>、<embed>、および<applet>を使用して、コンテンツを埋め込むための有効なソースを指定します。これは、フレーム内に埋め込むことができるソースを制御し、クリックジャッキングやその他のフレームベースの攻撃を防ぐのに役立ちます。

5. connect-src:

   • このディレクティブは、XMLHttpRequest、Fetch、WebSocket、およびEventSourceのようなメカニズムを使用して、ドキュメントが取得できるURLを制限します。スクリプトがデータを送信できる場所を制御し、データ流出のリスクを軽減するのに役立ちます。

6. style-src:

   • HTTP コンテンツセキュリティ ポリシー (CSP) style-src ディレクティブは、スタイルシートの有効なソースを指定します。

7. img-src:

   • HTTP コンテンツセキュリティ ポリシー img-src ディィレクティブは、画像とファビコンの有効なソースを指定します。

8. font-src:

   • HTTP コンテンツセキュリティ ポリシー (CSP) font-src ディレクティブは、 @font-faceを使用して読み込まれるフォントの有効なソースを指定します。

9. child-src:

   • HTTP コンテンツセキュリティポリシー (CSP) child-src ディレクティブは、 <frame> や <iframe>などの要素を使用して読み込まれる ウェブワーカー とネストされたブラウジングコンテキストの有効なソースを定義します。ワーカーの場合、非準拠のリクエストはユーザーエージェントによって致命的なネットワークエラーとして扱われます。

10. default-src:

    • HTTP コンテンツセキュリティポリシー  (CSP) default-src ディレクティブは、他のCSP フェッチディレクティブのフォールバックとして機能します。存在しない各ディレクティブについては、ユーザーエージェントは default-src ディレクティブを作成し、この値を使用します。

ログインリダイレクト許可リスト

潜在的なセキュリティ問題（オープンリダイレクトの脆弱性）を回避するために、信頼できるサイトのリストを作成できます。

1. limit_login_redirects（設定 > 一般 > その他の設定） パラメータが、必ずtrueに設定されているようにします。 

2. 設定 > 全般 > リダイレクト許可リストに移動します。

3.  信頼されたドメインごとに新しい行を追加します。このコードは説明のみを目的としており、Almaでは使用されません。

クリックジャッキングの防止

クリックジャッキング とは、機密性の高いページから実際の管理を含む無害なページを表示して、ユーザーをだます攻撃です。これらの制御は、制御以外のすべてをマスクする背景フレームを使用して偽装されており、ユーザーは、他のWebサイトで機密機能をクリックしていることを実際に認識できません。これにより、ユーザーは無意識のうちにマルウェアをダウンロードしたり、資格情報や機密情報を提供したり、送金したり、オンラインで製品を購入したりする可能性があります。

 ExLibris製品を介した クリックジャッキングを防ぐために、ExLibrisは  ポリシーベースの緩和手法を採用しています。これにより機関は、 サイトがiframe内に含まれている場合に実行する適切なアクションについてブラウザに指示できます。

1.  iFrame埋め込みオプションテーブルを開きます (構成>一般>セキュリティ>iFrame埋め込みオプション) 。 
2. 目的の製品とコンポーネントについては、行アクションで[カスタマイズ]を選択します。

   Alma管理とEsploro 管理はフレーム化できません。この構成は編集できません。 

3. [アクション]列で、サイトがiFrame内に含まれている場合に実行する適切なアクション を選択します。
   • すべて許可 (デフォルトオプション） -  すべてのページがこのページをiFrame内に読み込めるようにします。
   • 保護を許可 - 信頼できるページのみ このページをiFrame内にロードすることが許可されています。 このオプションを選択した場合は、安全なドメイン列は信頼できるURLを示します（指定できるURLの数に制限はありません。複数のURLを、それらの間に空白を入れてリストしてください）。
      https://*.WEBSITEHERE.comを追加することをお勧めします。 例えば、 https://*.amazon.com”.
   • すべてブロック — ページをフレーム化するすべての試みを拒否します。
4. 保存を選択します。