Sicherheit von Erweiterungen – Best Practices für die Bereitstellung


Die folgenden Informationen richten sich an IT-Verantwortliche und -Administratoren, Tableau Server- und Site-Administratoren sowie an alle, die an der Verwaltung von Dashboard-Visualisierungserweiterungen und der Sicherheit ihrer Daten und ihres Geschäfts interessiert sind. Die Vorschläge für die Bereitstellung richten sich an Unternehmen, die eine Kombination aus Benutzern haben, die sich in Tableau Desktop und Tableau Server oder Tableau Cloud befinden.

 

Sicherheit für Erweiterungen in Tableau

Erweiterungen sind Webanwendungen, die innerhalb Ihres Netzwerks, außerhalb auf einem Server eines Drittanbieters oder in einer sicheren, von Tableau gehosteten Sandbox-Umgebung gehostet werden können. Erweiterungen können mit anderen Komponenten im Dashboard interagieren und haben möglicherweise Zugriff auf die sichtbaren und die zugrunde liegenden Daten in der Arbeitsmappe (über eine wohldefinierte API). Tableau unterstützt zwei Arten von Erweiterungen:

Netzwerkfähige Erweiterungen

Netzwerkfähige Erweiterungen werden auf Webservern gehostet, die sich innerhalb oder außerhalb Ihres lokalen Netzwerks befinden und vollen Zugriff auf das Web haben. Netzwerkfähige Erweiterungen können eine Verbindung mit anderen Anwendungen und Diensten herstellen. Netzwerkfähige Erweiterungen bieten neue Funktionen für Tableau, beispielsweise neue Arten der Datenvisualisierung, Generierung natürlicher Sprache und Unterstützung für Write-Back-Szenarien. Netzwerkfähige Erweiterungen haben vollen Zugriff auf das Web. Das bedeutet, dass sie zwar umfangreiche Funktionen und Erlebnisse bieten können, indem sie eine Verbindung zu externen Ressourcen herstellen, sie aber vor der Bereitstellung oder Übernahme sorgfältig geprüft werden sollten.

Sandbox-Erweiterungen

Sandbox-Erweiterungen werden in einer geschützten Umgebung ohne Zugriff auf eine andere Ressource oder einen anderen Dienst im Web ausgeführt. Sandbox-Erweiterungen werden von Tableau gehostet, bieten die größte Sicherheit und schließen das Risiko der Datenexfiltration aus. Zum Schutz vor Cyberangriffen wurden die Umgebung für Sandbox-Erweiterungen und der Hosting-Dienst umfangreichen Penetrationstests durch einen Drittberater unterzogen.

Sie können Sandboxed- und netzwerkfähige Erweiterungen in Tableau Desktop, Tableau Server und Tableau Cloud verwenden. Tableau Server und Tableau Cloud bieten die größte Kontrolle über die Erweiterungen, die Ihre Benutzer ausführen können.

Potenzielle Sicherheitsrisiken mit netzwerkfähigen Erweiterungen

Da Erweiterungen Webanwendungen sind, besteht die Möglichkeit, dass eine netzwerkfähige Erweiterung von bestimmten Arten bösartiger Angriffe betroffen sein könnte, was wiederum ein potentielles Risiko für Ihren Computer oder Ihre Daten darstellt. Das Open Web Application Security Project(Link wird in neuem Fenster geöffnet) (OWASP, Sicherheitsprojekt für offene Webanwendungen) identifiziert jährlich die wichtigsten Sicherheitsrisiken für Webanwendungen. Zu diesen Risiken gehören unter anderem die folgenden:

  • SQL-Injektion
  • Site-übergreifendes Skripting (XSS)
  • Gefährdung von sensiblen Daten

Diese Risiken können die Erweiterung beeinträchtigen, wenn die Entwickler der Erweiterung Benutzereingaben nicht ordnungsgemäß validieren und verarbeiten oder wenn sie dynamische Abfragen für den Zugriff auf sensible Datenbanken generieren. Wenn Sie die Erweiterungen, die Sie in Tableau zulassen möchten, bewerten, sollten Sie sich überlegen, wie sie Authentifizierung, Datenzugriff oder Benutzereingaben verwalten und wie sie Sicherheitsrisiken minimieren.

Minimieren der Sicherheitsbedrohungen bei netzwerkfähigen Erweiterungen

Zu verstehen, was eine Erweiterung leistet, ist ein erster Schritt, um die Risiken für Ihr Unternehmen zu identifizieren. In vielen Fällen greift eine Dashboard- oder Visualisierungserweiterung nicht auf die zugrunde liegenden Daten in der Arbeitsmappe zu und der gesamte JavaScript-Code wird im Browser ausgeführt, der auf dem Computer des Benutzers läuft. In diesen Fällen verlassen keine Daten den Computer, obwohl die Erweiterung möglicherweise auf einer Site eines Drittanbieters außerhalb Ihrer Domain gehostet wird. Einige Erweiterungen ermöglichen es Ihnen, Tableau mit anderen Anwendungen zu verbinden, die Sie bereits in Ihrer Domäne bereitgestellt haben.

Tableau bietet Sicherheitsmaßnahmen und Sicherheitsanforderungen für Erweiterungen. Diese Anforderungen sind für Tableau Desktop, Tableau Server und Tableau Cloud aktiviert.

  • Alle Erweiterungen müssen das HTTP Secure (HTTPS)-Protokoll verwenden.
  • Standardmäßig wird jeder, der ein Dashboard mit einer netzwerkfähigen Erweiterung verwendet, aufgefordert, die Ausführung der Erweiterung zu erlauben. Die Erweiterung muss eine Erlaubnis anfordern, wenn sie auf die zugrunde liegenden Daten zugreifen möchte.
  • Um in Tableau Server oder Tableau Cloud ausgeführt zu werden, muss die URL der netzwerkfähigen Erweiterung einer Zulassungsliste hinzugefügt werden. Der Serveradministrator verwaltet diese Liste für Tableau Server. Der Site-Administrator verwaltet diese Liste für Tableau Cloud.
  • In Tableau Server und Tableau Cloud kann der Server- bzw. der Site-Administrator steuern, ob die Eingabeaufforderung für jede netzwerkfähige Erweiterung angezeigt wird.

Weitere Informationen dazu finden Sie unter Verwalten von Dashboard- und Visualisierungs-Erweiterungen in Tableau Server.

Verwalten von Erweiterungen mit Tableau

Erweiterungen bieten eine Möglichkeit, Dashboards mit einzigartigen Funktionen auszustatten und neue Visualisierungen zu Arbeitsblättern hinzuzufügen. Mit Hilfe von Erweiterungen können Sie das Dashboard direkt in Anwendungen außerhalb von Tableau integrieren. Während Erweiterungen eine Vielzahl von Möglichkeiten eröffnen, gibt es Fälle, in denen Sie die Kontrolle darüber behalten müssen oder wollen, wie Erweiterungen in Ihrer Firma oder im Unternehmen eingesetzt werden. In dieser Hinsicht unterscheiden sich Erweiterungen nicht von jeder anderen Software, die Sie verwenden möchten. Bevor Sie Softwareanwendungen in Ihrem Unternehmen einsetzen, sollten Sie diese gründlich testen und überprüfen, ob die Software wie erwartet funktioniert und sicher ist. Das gleiche gilt für Erweiterungen.

Bestimmen Sie zunächst, welche Zugriffsebene Ihre Benutzer haben sollen, und identifizieren Sie die Erweiterungen, die Sie verwenden möchten (oder umgekehrt, die Erweiterungen, die Sie nicht verwenden möchten). Verwenden Sie dann die Steuerelemente und Funktionen in Tableau, um die Dashboard- und Visualisierungserweiterungen, auf die Benutzer Zugriff haben, einzuschränken und zu verwalten.

Empfehlungen für Tableau Desktop

Sie haben eine Reihe von Möglichkeiten, Tableau Desktop in Ihrem Unternehmen bereitzustellen. Sie können uneingeschränkten Zugriff auf Sandbox- und netzwerkfähige Erweiterungen gewähren, oder Sie können Beschränkungen und Einschränkungen dafür festlegen, wer unter welchen Umständen Zugriff auf Erweiterungen hat.

Tableau Desktop-Benutzer haben standardmäßig uneingeschränkten Zugriff auf Sandbox- und netzwerkfähige Erweiterungen. Sie können während der Installation zwei Optionen verwenden, um die Standardeinstellungen zu ändern.

  • Sie können alle Erweiterungen (DISABLEEXTENSIONS) deaktivieren.
  • Sie können netzwerkfähige Erweiterungen (DISABLENETWORKEXTENSIONS) deaktivieren.

Hinweis: Sie können diese Einstellungen nach der Tableau Desktop-Installation ändern. Bearbeiten Sie dazu die Registrierung (Windows), oder führen Sie ein Skript (Mac) auf dem jeweiligen Desktop aus. Siehe Dashboard-Erweiterungen deaktivieren.

Bereitstellungsszenarien

Mithilfe der Installationseinstellungen können Sie Tableau Desktop auf verschiedene Weise bereitstellen.

  • Alle Erweiterungen zulassen: In diesem Bereitstellungsszenario legen Sie fest, dass Tableau-Autoren die gewünschten Sandbox- und netzwerkfähigen Erweiterungen verwenden dürfen. Wenn Sie Ihren Tableau Desktop-Benutzern die größtmögliche Flexibilität bieten möchten, verwenden Sie die Standardinstallationseinstellungen. Bei Verwendung der Standardeinstellungen haben Tableau Desktop-Benutzer uneingeschränkten Zugriff auf Sandbox- und netzwerkfähige Erweiterungen. Die Standardeinstellungen lauten: DISABLEEXTENSIONS=0 und DISABLENETWORKEXTENSIONS=0. Siehe Installation von Tableau Desktop über die Befehlszeile.

  • Nur Sandbox-Erweiterungen zulassen: In diesem Szenario wissen Sie, dass Sandbox-Erweiterungen sicher sind, und Sie möchten sie zulassen. Demgegenüber sind Sie sich in Bezug auf die netzwerkfähigen Erweiterungen unsicher und möchten deren Verwendung verhindern. Um die Unterstützung für netzwerkfähige Erweiterungen zu deaktivieren, legen Sie die Eigenschaft DISABLENETWORKEXTENSIONS (DISABLENETWORKEXTENSIONS=1) fest. Behalten Sie die Standardeinstellung für das Aktivieren von Erweiterungen (DISABLEEXTENSIONS=0) bei. Siehe Installation von Tableau Desktop über die Befehlszeile.

  • Keine Erweiterungen zulässig: In diesem Szenario sollen Benutzer weder netzwerkfähige noch Sandbox-Erweiterungen verwenden können. Deaktivieren Sie in diesem Fall die Unterstützung für alle Erweiterungen mithilfe der Eigenschaft DISABLEEXTENSIONS (DISABLEEXTENSIONS=1). Siehe Installation von Tableau Desktop über die Befehlszeile

Kombination der Einstellungen verwenden: Möglicherweise haben Sie einige Benutzer, die uneingeschränkten Zugriff auf alle Erweiterungen benötigen und haben sollten, und andere, für die der Zugriff auf Sandbox-Erweiterungen ausreicht, und schließlich eine Reihe von Benutzern, die überhaupt keinen Zugriff auf Erweiterungen benötigen. Da die Erweiterungsoptionen pro Desktop festgelegt sind, können Sie die Bereitstellung für bestimmte Benutzer und deren Anwendungsfälle konfigurieren.

Webdokumenterstellung: Wenn Tableau Server oder Tableau Cloud für Ihre Benutzer verfügbar sind, können diese die Webdokumenterstellung verwenden, um auf Erweiterungen zuzugreifen. Bei der Webdokumenterstellung gelten die Server- oder Websiteeinstellungen für Erweiterungen. In diesem Szenario können die Server- und Site-Administratoren bestimmen, auf welche Erweiterungen sie den Benutzern den Zugriff ermöglichen. Administratoren können die Server- und Site-Einstellungen verwenden, um den Zugriff auf Sandbox-Erweiterungen einzuschränken oder um den Zugriff auf Sandbox-Erweiterungen und netzwerkfähige Erweiterungen einzuschränken, die einer Zulassungsliste hinzugefügt wurden.

Empfehlungen für Tableau Server und Tableau Cloud

Wenn Ihre Benutzer Zugriff auf Tableau Server oder Tableau Cloud haben, können Sie die integrierten Sicherheitskontrollen verwenden, um Beschränkungen und Einschränkungen für die Erweiterungen festzulegen, die verwendet werden können, und anzugeben, und unter welchen Umständen dies der Fall sein soll. Wenn Sie Erweiterungen in Tableau Desktop deaktiviert haben, können Sie Benutzern dennoch erlauben, Erweiterungen bei der Webdokumenterstellung hinzuzufügen. Sie können aber die Anzahl der Erweiterungen, die verwendet werden können, auf von Ihnen genehmigten beschränken.

Vermerken von Sandbox-Erweiterungen und netzwerkfähigen Erweiterungen in der Zulassungsliste als vertrauenswürdig

Ab Tableau 2019.4 dürfen standardmäßig nur Sandbox-Erweiterungen ausgeführt werden. Netzwerkfähige Erweiterungen sind nur dann zulässig, wenn sie der Zulassungsliste hinzugefügt wurden. Administratoren können der Seite mit den Einstellungen für die Site (Einstellungen > Erweiterungen > Bestimmte Erweiterungen aktivieren) netzwerkfähige Erweiterungen hinzufügen.

Hinweis Um die Zulassungsliste zum Standardverhalten für Erweiterungen in Tableau 2018.2 und Tableau 2018.3 zu machen, müssen Sie die Einstellungen für die Site ändern. Deaktivieren Sie auf der Seite Einstellungen für Erweiterungen unter Standardverhalten für Erweiterungendie Option Unbekannte Erweiterungen aktivieren... In Tableau Server 2019.1, Tableau 2019.2 und Tableau 2019.3 dürfen Erweiterungen standardmäßig nur dann ausgeführt werden, wenn sie der Zulassungsliste hinzugefügt wurden.

Checkliste für die Zulassungsliste:

  • Kommt die Erweiterung aus einer Quelle, die Sie kennen und der Sie vertrauen?
  • Überprüfen Sie die URL der Erweiterung. Sieht die URL verdächtig aus oder enthält sie zweifelhafte Domainnamen?
  • Benötigt die Erweiterung Zugriff auf vollständige (Basisdaten) oder zusammenfassende Daten? Siehe Grundlegendes zum Datenzugriff.
  • Testen Sie die Erweiterungen, bevor Sie eine breite Anwendung zulassen. Siehe Testen von Erweiterungen auf Sicherheit. Siehe Testen der Sicherheit netzwerkfähiger Erweiterungen.

Hinzufügen von Erweiterungen zur Zulassungsliste:

Blockieren Sie die Ausführung bestimmter Erweiterungen auf Tableau Server

In Tableau Server können Sie bestimmte Erweiterungen blockieren, indem Sie deren URL zur Sperrliste hinzufügen. Dies ist nützlich, wenn Sie mehrere Sites haben, die für Erweiterungen unterschiedlich konfiguriert sind. Wenn Sie beispielsweise eine Testsite haben, auf der Sie interne oder externe Erweiterungen testen können möchten, haben Sie möglicherweise das Standardverhalten für Erweiterungen aktiviert, bei dem nicht aufgelistete Erweiterungen ausgeführt werden dürfen, sofern sie nicht auf die zugrunde liegenden Daten in der Arbeitsmappe zugreifen. Das Hinzufügen einer Erweiterung zur Sperrliste verhindert, dass sie versehentlich auf der Testsite verwendet wird.

  • Fügen Sie die URL der Erweiterungen, die Sie nicht zulassen möchten, zur Sperrliste hinzu. Diese Option ist nur auf Tableau Server verfügbar. Siehe Blockieren bestimmter Erweiterungen.

Ausschalten von Erweiterungen für eine Site

Standardmäßig sind Erweiterungen in Tableau Server und Tableau Cloud aktiviert. In Tableau Server kann der Serveradministrator Erweiterungen für eine Site deaktivieren. In Tableau Cloud kann der Site-Administrator Erweiterungen für die Site deaktivieren. In Tableau Server kann der Serveradministrator Erweiterungen vollständig deaktivieren, wodurch die Site-Einstellungen außer Kraft gesetzt werden. Sie sollten diese Einstellung auf dem Server oder für die Site nicht ändern müssen, da Sie die netzwerkfähigen Erweiterungen, die Sie zulassen möchten, über die Zulassungsliste steuern können. Sie können auch die Einstellungen für Sandbox-Erweiterungen steuern, die standardmäßig zulässig sind.

  • Um Erweiterungen für eine Site (Tableau Server, Tableau Cloud) zu deaktivieren, ändern Sie die Einstellungen der Site, die es Benutzern ermöglichen, Erweiterungen in der Site auszuführen. Siehe Steuern von Erweiterungen und Zugriff auf Daten.

Ein- und Ausblenden von Benutzeraufforderungen zum Ausführen von netzwerkfähigen Erweiterungen

Wenn Sie eine netzwerkfähige Erweiterung zur Zulassungsliste hinzufügen, können Sie konfigurieren, ob Benutzern standardmäßig Eingabeaufforderungen angezeigt werden, wenn sie die Erweiterung zu einem Dashboard hinzufügen oder wenn sie mit einer Ansicht interagieren, die die Erweiterung hat. In der Eingabeaufforderung erhalten Benutzer Details zu der Eingabeaufforderung und sie erfahren, ob die netzwerkfähige Erweiterung Zugriff auf die vollständigen Daten hat. Mithilfe der Eingabeaufforderung können Benutzer die Ausführung der Erweiterung zulassen oder verweigern. Sie können die Eingabeaufforderung für Benutzer ausblenden, wodurch die Erweiterung sofort ausgeführt werden kann. Wenn diese Option für eine Site aktiviert ist, sind Sandbox-Erweiterungen standardmäßig zulässig. In diesem Fall erfolgt keine Benutzeraufforderung.

Deaktivieren von Sandbox-Erweiterungen

Ab Tableau 2019.4 sind Sandboxed-Erweiterungen standardmäßig für Tableau Server und Tableau Cloud aktiviert. Sandbox-Erweiterungen werden in einer geschützten Umgebung ausgeführt und von Tableau gehostet. Administratoren können festlegen, ob Benutzer die Möglichkeit haben sollen, Sandbox-Erweiterungen auf einer Site auszuführen. Sandbox-Erweiterungen müssen nicht zur Zulassungsliste hinzugefügt werden. Wenn Sandbox-Erweiterungen zulässig sind, können Benutzer Sandbox-Erweiterungen frei zu Dashboards hinzufügen und Dashboards öffnen und verwenden, die Sandbox-Erweiterungen enthalten. Wenn Sie eine Sandbox-Erweiterung blockieren müssen, kann ein Serveradministrator die Sandbox-Erweiterung zu einer globalen Sperrliste hinzufügen. Wenn Sie Sandbox-Erweiterungen vollständig deaktivieren müssen, können Sie die Standardeinstellung für die Site ändern. Wenn Sie die Standardeinstellung für Sandbox-Erweiterungen ändern, dürfen nur die Erweiterungen (einschließlich Sandbox-Erweiterungen), die sich auf der Zulassungsliste befinden, ausgeführt werden.

 

Zurück zum Anfang
Vielen Dank für Ihr Feedback!Ihr Feedback wurde erfolgreich übermittelt. Vielen Dank.