Einschränkung des Alma-Logins nach IP-Bereich

Konfiguration der CSP-Überschrift (Content Security Policy) 

Sie können CSP-Indexeintrag-Direktiven aktivieren und konfigurieren, um die Sicherheitsrichtlinie für Ihre Webanwendungen zu optimieren. Um auf diese Konfiguration zuzugreifen, gehen Sie zu Konfiguration > Allgemein > Konfiguration der CSP-Überschrift.

1. form-action:

   • Diese Anweisung schränkt die URL ein, die als Ziel von Formular-Eingaben verwendet werden können (<form action="..." />). Dadurch wird verhindert, dass Formulare an bösartige Websites gesendet werden.

2. base-uri:

   • Diese Anweisung beschränkt die URLs, die in einem <base>-Element des Dokuments verwendet werden können Das <base>-Element gibt die Basis-URL an, die für alle relativen URLs in einem Dokument verwendet werden soll. Durch die Kontrolle kann daher verhindert werden, dass Angreifer die Basis-URL ändern und Links auf bösartige Websites umleiten.

3. script-src:

   • Diese Anweisung gibt gültige Quellen für JavaScript an. Dies trägt dazu bei, XSS-Angriffe abzuschwächen, indem es nur die Ausführung von Skripten aus vertrauenswürdigen Quellen auf der Seite zulässt. Sie können beispielsweise festlegen, dass Skripte nur von Ihrer eigenen Domain oder von einem vertrauenswürdigen CDN geladen werden sollen.

4. frame-src:

   • Diese Direktive gibt gültige Quellen für das Einbetten von Inhalten mit <frame>, <iframe>, <object>, <embed> und <applet> an. Auf diese Weise lässt sich kontrollieren, welche Quellen in den Frame eingebettet werden können, und so Clickjacking und andere Arten von Frame-basierten Angriffen verhindern.

5. connect-src:

   • Diese Direktive beschränkt die URLs, die das Dokument mit Mechanismen wie XMLHttpRequest, Fetch, WebSocket und EventSource abrufen kann. Auf diese Weise lässt sich leichter kontrollieren, wohin Skripte Daten senden können, und das Risiko einer Datenexfiltration wird verringert.

6. style-src:

   • Die HTTP-Richtlinie Content-Security-Policy (CSP) style-src legt gültige Quellen für Formatvorlagen fest.

7. img-src:

   • Die HTTP-Richtlinie Content-Security-Policy img-src legt gültige Quellen für Bilder und Favicons fest.

8. font-src:

   • Die HTTP-Richtlinie Content-Security-Policy (CSP) font-src legt gültige Quellen für Schriften fest, die mittels @font-face geladen wurden.

9. child-src:

   • Die HTTP-Richtlinie Content-Security-Policy (CSP) child-src definiert die gültigen Quellen für Web-Angestellte und verschachtelte Browsing-Kontexte, die mit Elementen wie <frame> und <iframe> geladen werden. Für Angestellte werden nicht konforme Anfragen vom Benutzer-Agenten als schwerwiegende Netzwerkfehler behandelt.

10. default-src:

    • Die HTTP-Richtlinie Content-Security-Policy (CSP) default-src dient als Sicherheitsoption für die anderen CSP Abruf-Direktiven. Für jede fehlende Richtlinie sucht der Benutzer-Agent nach der Richtlinie default-src und verwendet diesen Wert.

Anmeldung - Weiterleitung - Erlaubte Liste

Um potenzielle Sicherheitsprobleme (offene Umleitungsschwachstelle) zu vermeiden, können Sie eine Liste vertrauenswürdiger Sites erstellen.

1. Stellen Sie sicher, dass der Parameter limit_login_redirects (Konfiguration > Allgemein > Andere Einstellungen) auf Richtig gesetzt ist. 

2. Navigieren Sie zu Konfiguration > Allgemein > Weiterleitung - Erlaubte Liste.

3.  Fügen Sie für jede vertrauenswürdige Domain eine neue Zeile hinzu. Der Code ist nur beschreibend und wird von Alma nicht verwendet.

Vermeidung von Klickbetrug

Klickbetrug ist ein Angriff, bei dem Benutzer mit einer harmlosen Seite getäuscht werden, die echte Steuerelemente von sensiblen Seiten enthält. Diese Steuerelemente werden durch die Verwendung von Hintergrundrahmen getarnt, die alles mit Ausnahme der Steuerelemente maskieren, so dass der Benutzer nicht erkennen kann, dass er tatsächlich auf einer anderen Website eine sensible Funktion anklickt. Dies kann dazu führen, dass Benutzer unwissentlich Malware herunterladen, Zugangsdaten oder vertrauliche Informationen weitergeben, Geld überweisen oder Produkte online kaufen.

Um Klickbetrug über ExLibris-Produkte zu verhindern, hat ExLibirs eine richtlinienbasierte Abwehrtechnik eingeführt. Nun können Institutionen den Browser anweisen, welche Maßnahmen zu ergreifen sind, wenn ihre Website in einem iFrame enthalten ist.

1. Öffnen Sie die Tabelle iFrame-Einbettungsoptionen (Konfiguration > Allgemein > Sicherheit > iFrame-Einbettungsoptionen). 
2. Wählen Sie für das gewünschte Produkt und die gewünschte Komponente in den ZeilenaktionenAnpassen aus.

   Die Alma-Verwaltung und Esploro-Verwaltung können nicht in einen Frame einbezogen werden. Diese Konfiguration kann nicht bearbeitet werden. 

3. Wählen Sie in der Spalte Aktion die geeignete Aktion, die ausgeführt werden soll, wenn Ihre Website in einem iFrame enthalten ist:
   • Alle erlauben (Standardoption) -  Allen Seiten erlauben, diese Seite in einem iFrame zu laden.
   • Geschützte erlauben - Nur vertrauenswürdige Seiten dürfen diese Seite in einen iFrame laden. Wenn Sie diese Option gewählt haben, geben Sie in der Spalte Safe Domain die vertrauenswürdigen URLs an (es gibt keine Einschränkung der Anzahl an URLs, die Sie angeben können, führen Sie mehrere URLs getrennt durch ein Leerzeichen an).
   • Alle sperren - Alle Versuche zum Framing der Seite werden abgelehnt.
4. Klicken Sie auf Speichern.