ST-SEC-009 – Falscher Gebrauch von SecureString

Regel-ID: ST-SEC-009

Scope: Workflow

Beschreibung

Diese Regel überprüft, ob der SecureString-Typ im Workflow missbraucht wird. Dieser Zeichenfolgentyp wird verwendet, wenn verhindert wird, dass potenziell vertrauliche Zeichenfolgen als Nur-Text gespeichert werden. Wenn bestimmte Aktivitäten vertrauliche Informationen als Eingabe akzeptieren, aber den SecureString-Typ nicht unterstützen, können Sie sie von dieser Regel ausschließen.

Empfehlung

Der SecureString-Typ sollte nur für die beabsichtigten Zwecke verwendet werden. Daher kann der Versuch, SecureString in String umzuwandeln, als Sicherheitsrisiko betrachtet werden.

Laut der offiziellen Microsoft-Dokumentation erhöht ein String-Objekt, wenn es vertrauliche Informationen enthält, das Risiko, dass die Daten nach der Verwendung offengelegt werden.

Darüber hinaus sollte der Scope von SecureString-Typvariablen sehr begrenzt sein, idealerweise in dem Scope, in dem sie erstellt wurden.

Ändern der Regel

Wählen Sie im Fenster Projekteinstellungen die Registerkarte Workflow-Analyse aus: Suchen Sie die Regel und wählen Sie sie aus.

Sie können Aktivitäten ausschließen, die den SecureString-Typ nicht unterstützen, indem Sie ihre Namespaces im Feld Ausgeschlossene Aktivitäten durch ein Komma getrennt hinzufügen.

Auf Standardwert zurücksetzen

Um den Wert auf den Standardwert zurückzusetzen, klicken Sie mit der rechten Maustaste auf die Regel im Fenster Projekteinstellungen und dann auf Auf Standardwert zurücksetzen.