Security

Restricting Alma Logins by IP Range

È possibile impedire all'utente di accedere ad Alma in base all'indirizzo IP. La configurazione di questa funzionalità prevede due passaggi. Per prima cosa si creano i gruppi IP e poi si configura l'accesso di login per questi gruppi. Solo questi gruppi IP sono quindi autorizzati ad accedere ad Alma.

To restrict login by IP groups:

1. From the IP Group Configuration page (Configuration Menu > General > Security > IP Group Configuration), select Add IP Group. The Add IP Group pane appears.
   
2. Inserire quanto segue:
   • Codice gruppo – un codice per il Gruppo IP
   • Nome del gruppo – un nome per il gruppo IP che può essere modificato in seguito
   • Versione IP – IPv4 o IPv6
   • Criteri di corrispondenza IP – un indirizzo IP specifico o un intervallo IP (due indirizzi IP validi separati da un trattino)
3. Selezionare Aggiungi definizione IP al Gruppo. L'intervallo viene aggiunto al gruppo e appare nella tabella.
4. È possibile definire più intervalli IP per ciascun gruppo. Ripeta i passaggi 2 e 3 se necessario. Per rimuovere un intervallo, selezioni Elimina dalla lista delle azioni di riga.
5. Quando avrà finito di aggiungere gli intervalli IP, selezioni Aggiungi e chiudi. Il gruppo IP è stato aggiunto.

   Per modificare il gruppo, selezioni Modifica nella lista delle azioni della riga. Per eliminare il gruppo, selezioni Elimina nelle azioni della riga Lista.

6. Open the Login Restriction Configuration page (Configuration Menu > General > Security > Login Restriction Configuration). Note that login restrictions are disabled until you enable them on this page.
   
7. The login restrictions can be overridden for a particular user by selecting Disable all login restrictions when editing the user (see Editing Users). Selecting the Apply restrictions for all users checkbox cancels the user-level override and also applies the login restrictions for users with the General System Administrator role. Si noti che la configurazione precedente non viene rimossa e verrà ripristinata una volta che la casella di controllo viene deselezionata.
8. Select the IP groups from IP Group whose IP addresses you want to allow login access, and select Add. You can select Add all groups to add all IP groups.
   Una volta selezionato un gruppo IP, tutti gli altri indirizzi IP sono limitati dall'accesso.
9. Selezioni un gestore dalla casella Gestore restrizioni IP (obbligatorio). Questo gestore riceve qualsiasi messaggio inviato dall'Utente quando viene effettuato un tentativo di accesso da un Indirizzo IP limitato.
10. Selezioni Abilita restrizioni di accesso. Per salvare le modifiche senza abilitare o disabilitare le restrizioni di accesso, selezioni Salva.
    • Per rendere effettive le restrizioni di accesso IP, è necessario selezionare Abilita restrizioni di accesso .
    • Users with the General System Administrator role are not restricted.
    • Per disattivare le restrizioni di accesso in un secondo momento, selezionare Disattiva le restrizioni di accesso.

Se un Utente con un Indirizzo IP limitato tenta di accedere ad Alma, appare il seguente messaggio:

L'Utente può selezionare Contatta l'amministratore per contattare il gestore delle restrizioni IP configurato sopra.

CSP (Content Security Policy) Header Configuration

È possibile abilitare e configurare le direttive dell'intestazione CSP per ottimizzare la policy di sicurezza per le applicazioni web. To access this configuration go to Configuration > General > CSP Header Configuration.

Il riquadro di anteprima in basso visualizza le intestazioni e si aggiorna automaticamente quando si modificano le impostazioni.

Le prime quattro direttive (frame-ancestors, object-src, processo in background-src, upgrade-insecure-richiesta) sono attive di default e non possono essere disabilitate. You can however add additional domains to the allowed list in the Allowed Lis - Additions column, by hovering over the column to locate the edit icon and then adding the domain.

Le ultime cinque direttive (descritte di seguito) sono disattivate per default, ma a differenza delle prime quattro direttive, possono essere attivate. You can add additional domains to the allowed list in the Allowed List - Additions column.

1. form-action:

   • This directive restricts the URLs that can be used as the target of form submissions (<form action="..." />). Aiuta a impedire che i moduli vengano inviati a siti dannosi.

2. base-uri:

   • This directive restricts the URLs that can be used in a document's <base> element. The <base> element specifies the base URL to use for all relative URLs in a document, so controlling this can prevent attackers from changing the base URL and redirecting links to malicious sites.

3. script-src:

   • Questa direttiva specifica le fonti valide per JavaScript. Aiuta a mitigare gli attacchi XSS consentendo l'esecuzione sulla pagina solo di script provenienti da fonti attendibili. Ad esempio, può specificare che gli script vengano caricati solo dal proprio dominio o da una CDN attendibile.

4. frame-src:

   • This directive specifies valid sources for embedding content using <frame>,<iframe>,<object>,<embed>, and <applet>. Aiuta a controllare quali fonti possono essere incorporate nel frame e quindi a prevenire il clickjacking e altri tipi di attacchi basati sui frame.

5. connect-src:

   • This directive restricts the URLs that the document can fetch using mechanisms like XMLHttpRequest,Fetch,WebSocket, and EventSource. Aiuta a controllare dove gli script possono inviare i dati, riducendo il rischio di esfiltrazione dei dati.

6. style-src:

   • The HTTPContent-Security-Policy(CSP)style-src directive specifies valid sources for stylesheets.

7. img-src:

   • The HTTPContent-Security-Policyimg-src directive specifies valid sources of images and favicons.

8. font-src:

   • The HTTPContent-Security-Policy(CSP)font-src directive specifies valid sources for fonts loaded using@font-face.

9. child-src:

   • The HTTPContent-Security-Policy(CSP)child-src directive defines the valid sources forweb workersand nested browsing contexts loaded using elements such as<frame>and<iframe>. Per i processi in background, le richieste non conformi sono trattate come errori di rete fatali dall'agente utente.

10. default-src:

    • The HTTPContent-Security-Policy(CSP)default-src directive serves as a fallback for the other CSPfetch directives. For each directive that is absent, the user agent looks for the default-src directive and uses this value for it.

Login Redirection Allowed List

Per evitare potenziali vulnerabilità di sicurezza (reindirizzamento aperto), può creare un elenco di siti attendibili.

To create a list of trusted sites:

1. Ensure that the limit_login_redirects (Configuration > General > Other Settings) parameter is set to true.

2. Navigate to Configuration > General > Redirection Allowed List.

3. Aggiunga una nuova riga per ogni dominio attendibile. Il codice è solo descrittivo e non viene utilizzato da Alma.

I domini che appartengono a Ex Libris (*.exlibrisgroup.com) non devono essere elencati.

Preventing Clickjacking

Clickjacking is an attack that tricks users by showing them an innocuous page that includes real controls from sensitive pages. Questi controlli sono camuffati tramite l'uso di cornici di sfondo che nascondono tutto tranne il controllo, e l'Utente non può accorgersi che sta effettivamente cliccando su una funzione sensibile in un altro sito web. Ciò può indurre l'Utente a scaricare involontariamente malware, fornire credenziali o informazioni sensibili, trasferire denaro o acquistare prodotti online.

To prevent clickjacking from ExLibris products, ExLibirs has adopted a policy-based mitigation technique. Now institutions can instruct the browser about appropriate actions to perform if their site is included inside an iframe.

Modifying this page may break UI integrations from other products. In caso di dubbi su come utilizzare questa pagina, consulti l'assistenza clienti Ex Libris.

To set the actions to perform if your site is included inside an iframe:

1. Open the iFrame Embedding Options table (Configuration > General > Security > iFrame Embedding Options).
2. Per il prodotto e il componente desiderati, selezioni Personalizza nelle azioni della riga.

   • Alma Management and Esploro Management cannot be framed. Questa configurazione non può essere modificata.

   • L'incorporamento di IFrame non è supportato se si utilizza un IdP di Azure.

3. In the Action column, select the appropriate action to perform if your site is included inside an iFrame:
   • Allow all(default option) — Allow all pages to load this page inside an iFrame.
   • Allow protected— Only trusted pages are permitted to load this page inside an iFrame. Se ha selezionato questa opzione, nella colonna Dominio sicuro indichi gli URL attendibili (non c'è limite al numero di URL che può specificare, elenchi più URL con uno spazio vuoto tra di loro).

     We recommend adding https://*.WEBSITEHERE.com, for example,"https://*.amazon.com".

   • Block All— Deny all attempts to frame the page.
4. Seleziona Salva.