סעיף

ממצא

גורם אחראי

סטטוס מבדיקות רגרסיה של מצוב

הערות

4.4

ממשל זמין

תוקן חלקית, כמות ה-DA קטנה בכחצי, אך עדיין מחוברים לשרתים. בנוסף, ישנם משתמשים local admin גם על שרתי frontend וגם על שרתי backend

רידוד הרשאות ניתן לעשות מחר בנוכחות אוראל.

4.8

מנגנון לקוי להגנה מפני clickjacking

CA

לא תקין

התיקון שהוצע שובר פונקציונליות באתר כיוון ש-sp צריך להציג frame מתוך owa. מכאן שיש סתירה בין התנהגות המערכת לדרישה האבטחתית. צריך לדון בזה.

4.9

services רצים בהרשאות גבוהות

ממשל זמין + CA

SQL SERVER - להעביר ליוזר רגיל.
CYBER ARK - להעביר ליוזר רגיל.
TOMCAT + ARCOT להעביר ליוזר רגיל

נעשה ניסיון לרדד את הרשאות ה-Apache Tomcat של Siteminder ללא הצלחה. יש לקבל התייחסות מ-ca מדוע יש צורך בהרשאות Local Admin למוצר. לא ניתן לשדרג את שרת  Tomcat על פי טענת נציג CA

ביצוע Auditing על השרתים

ממשל זמין

לא תקין

private keys שניתנים לייצוא

ממשל זמין

לא תקין
עדיין קיים בשרתי CA - נא למחוק

windows firewall כבוי

ממשל זמין

חוקי ANY - ANY צריך להגביל.

גרסאות ישנות של תכנות ושירותים

ממשל זמין

האתר עובד על .NET 2 - שכפול טייסות. לא הולך להשתנות.

מידע רגיש חשוף בקבצי קונפיגורציה

מדור או"פ

לא תקין

מידע רגיש חשוף בקבצי קונפיגורציה

CA

לא תקין

יש להצפין את שם המשתמש והסיסמא בarcotconfig.properties.
יש לעדכן את הlogin servlet בהתאם.
יש למחוק את הקובץ SendMil4USMS.jsp

קוד מקור שמור בשרתים

מדור או"פ

לא תקין

 לטיפול מדור או"פ

4.11

שרשור דינאמי של פרמטרים לשאילתות SQL

מטריקס

לא יתוקן, חלק מהתשתית

מבוצעת בדיקה בצד האתר על כל הפרמטרים שנכנסים ל - DB, במידה וימומש תרחיש תקיפה מול URL ספציפי יש להעבירו נקודתית לתיקון,
מתבצעת סקירת קוד לגבי בדיקת הפרמטרים בטרם הכנסתם ל - DB

4.12

הלבנה והשחרה

ממשל זמין

לא תקין

4.13

פרוטוקול HTTPS  בתקשורת בין השרתים

ממשל זמין + מטריקס

קיימים תהליכים בין השרתים הקדמיים לאחוריים בפורט 80

קיימים שני serviceים שנצרכים מאחורה ב – 80, אחד הוא ההזדהות מול OP DB, והשני הוא מול שרת ה"ניפוחים".

לשם ביצוע אנחנו צריכים שיותקנו תעודות SSL  על שרת הניפוח ועל DB  ההזדהות, לאחר ההתקנה נוכל להעביר לפורט 80.

האם לרכוש תעודות או שקיימות תעודות שניתן להשתמש בהן לשרתים אחוריים בממשל זמין?

4.14

פערים בהקשחה תקשורתית

ממשל זמין

לא תקין

4.16

זיהוי מידע כוזב במס"ד הנתונים

ממר"מ

לא תוקן, יש להדגיש שהמדיניות הלקויה הוגדרה על ידי מחב״ם.

זיהוי מידע כוזב במס"ד הנתונים

מדור או"פ

לא תוקן, יש להדגיש שהמדיניות הלקויה הוגדרה על ידי מחב״ם.

4.17

שרתים ברמות חשיפה שונות

ממשל זמין

לא תקין