V7.4.1 Error Handling

Requirement:

Verify that a generic message is shown when an unexpected or security sensitive error occurs, potentially with a unique ID which support personnel can use to investigate. (C10)

Explanation:

Требование информационной безопасности просит разработчиков проверить, отображается ли общее сообщение об ошибке при возникновении неожиданной или чувствительной к безопасности ошибки, а также уникальный идентификатор, который может быть использован персоналом поддержки для расследования проблемы.

Сообщения об ошибках являются важным компонентом пользовательского интерфейса приложения, поскольку они предоставляют пользователям обратную связь, когда что-то идет не так. Однако важно убедиться, что сообщения об ошибках не раскрывают конфиденциальную информацию и не предоставляют злоумышленникам информацию, которая может быть использована для эксплуатации уязвимостей в системе.

Требование подчеркивает важность отображения общего сообщения об ошибке при возникновении неожиданной или чувствительной к безопасности ошибки. Общее сообщение об ошибке предоставляет ограниченную информацию о причине ошибки, что может помочь предотвратить получение злоумышленниками информации об уязвимостях системы.

Кроме того, в требованиях рекомендуется включить в сообщение об ошибке уникальный идентификатор, который может быть использован персоналом поддержки для расследования проблемы. Этот идентификатор может помочь персоналу поддержки определить конкретную возникшую ошибку и оказать помощь пользователю.

Remediation:

• Разработайте набор общих сообщений об ошибках, которые могут отображаться при возникновении неожиданной или чувствительной к безопасности ошибки. Эти сообщения должны содержать ограниченную информацию о причине ошибки, но при этом предоставлять полезную информацию для персонала службы поддержки.
• Разработайте систему генерации уникальных идентификаторов, которую можно использовать для присвоения уникального идентификатора каждой возникающей ошибке. Этот идентификатор должен быть включен в сообщение об ошибке и зарегистрирован в файлах журнала приложения.
• В дополнение к уникальному идентификатору убедитесь, что файлы журнала включают соответствующие метаданные, которые могут помочь персоналу службы поддержки расследовать ошибку. Эти метаданные могут включать IP-адрес пользователя, время возникновения ошибки, версию приложения и любую другую необходимую информацию.
• Убедитесь, что файлы журналов надежно хранятся и доступ к ним может получить только уполномоченный персонал. Это поможет предотвратить получение злоумышленниками доступа к конфиденциальной информации о системе.
• Регулярно просматривайте файлы журналов, чтобы выявить любые ошибки или проблемы, которые могут потребовать расследования. Это поможет персоналу службы поддержки выявить и решить проблемы до того, как они станут более серьезными.
• Убедитесь, что персонал службы поддержки обучен тому, как использовать систему уникальных идентификаторов и как расследовать ошибки с помощью файлов журнала. Это поможет обеспечить своевременное расследование и устранение ошибок.

Additional:

OWASP Logging

Some tips for error handling