11.7.3. 新しいセキュリティープロパティー
JBoss EAP バージョン 6.2.2 以降のセキュリティー監査機能に新しいシステムプロパティーが追加されました。これらの新しいプロパティーは、特に BASIC または FORM ベースの認証に関連するシナリオにおいて、Web 要求コンポーネントのプレーンテキストのロギングに関連するセキュリティーの問題を軽減します。
新しいプロパティーを使用すると、Web 要求のどのコンポーネントを監査ログでキャプチャーするかをより詳細に制御できます(パラメーター、Cookie、ヘッダーまたは属性)。これらのコンポーネントは、新しいプロパティーを使用してマスクすることもできます。
新しいプロパティーは以下のとおりです。
| 名前 | 説明 | 可能な値 | 動作 | デフォルト |
|---|---|---|---|---|
org.jboss.security.web.audit | このプロパティーは、Web 要求のセキュリティー監査の粒度を制御します。 | off、ヘッダー、Cookie、パラメーター、属性 | 指定されたコンポーネント(またはコンポーネントのカンマ区切りグループ)は、Web 要求から監査されます。 | headers,parameters |
org.jboss.security.web.audit.mask | このプロパティーは、Web リクエストのヘッダー、パラメーター、Cookie、および属性と照合される文字列のリストを指定するために使用できます。指定されたマスクに一致する要素は、セキュリティー監査ロギングから除外されます。 | ヘッダー、パラメーター、Cookie、および属性のキーを示すコンマ区切りの文字列。 | 現在、マスクのマッチングは厳格ではなくあいまいです。たとえば、承認のマスクは、authorization というヘッダーと custom_ authorization と呼ばれるパラメーターの両方をマスクします。今後のリリースでは、厳密なマスクが導入される可能性があります。 | j_password,authorization |