安全测试和支持

Blackboard 在代码级别（静态分析）和应用程序级别（动态分析）执行持续内部安全性测试，以确保其符合 Blackboard 和客户的期望。此外，为了定期了解应用程序的最新情况，Blackboard 会从第三方安全供应商处获得安全性渗透测试。发现的任何问题都会得到快速修复。

Blackboard 利用开源和商业静态分析扫描程序来持续评估 Blackboard 源代码。通过这些工具，Blackboard 可以在系统与构建环境集成而不断演进升级的过程中，发现源代码中的潜在漏洞。通过手动代码复查，Blackboard 会结合进行自动源代码分析，以查找安全漏洞。

Blackboard 利用开源和商业动态分析扫描程序来持续评估 Blackboard 应用。自动安全扫描程序可从最终用户的视角来测试常见的 Web 应用程序漏洞。

静态和动态应用程序安全工具无法检测所有安全问题。为了进一步降低安全风险，Blackboard 会执行手动渗透测试，以识别更复杂的安全漏洞和业务逻辑问题（如不正确的授权）。

Blackboard 致力于及时识别、沟通和解决我们产品中发现的安全漏洞。Blackboard 通过Anthology 全球支持发布安全补丁和公告。

发布安全公告时包含以下信息：

公告之后是详细说明安全漏洞性质的漏洞概述、描述系统可能受到的影响的功能问题概述、受影响的产品版本列表、发现描述以及解决方案描述以及指向适用补丁的链接。Blackboard 还跟踪我们的客户，并就任何已知的利用或恶意使用安全漏洞向我们的客户提供建议。缓解措施和解决方法部分介绍了客户端可能采取的任何缓解措施，或者是否有可用的解决方法。如果公告有多个修订，则会提供更新的简短摘要。

输入有效性筛选器作为保护 Blackboard Learn 的第一条防线，其具有可配置的规则。从某种意义上说，它就像 Blackboard 的防火墙。它通过默认规则集来净化数据，从而确保传入的用户请求是安全的。

从替代机构管理呈现用户上传的文件是一种深度防御安全控制。通过上传包含潜在恶意脚本的内容，一旦目标用户访问受影响的内容，用户可能会在主 Blackboard 会话上执行会话劫持。

作为针对此类活动的一种防御方式，用户现在可以访问用户上传的文件并通过替代机构管理添加自定义 HTML。此安全控制利用浏览器安全功能，即“同源策略”。因此，在一个域或子域中呈现的用户上传文件中的恶意脚本与主 Blackboard 会话的 Cookie 隔离，从而与会话信息隔离。

此安全控制是 Blackboard 安全框架中的另一个防御层，可进一步保护用户免受潜在有恶意的用户上传文件的侵扰。

Blackboard 建议管理员在其所有 Blackboard 实施上配置此安全控制。这是 Blackboard 安全最佳实践。

单独的机构管理或子机构管理提供从 Blackboard Learn 服务器访问用户上传文件的更安全方式。此单独的机构管理有助于防止使用包含恶意脚本的用户上传内容损害用户的 Blackboard Learn 会话，从而损害用户数据。通过配置单独的机构管理或子机构管理，所有内容均从原始机构管理传送到单独的机构管理，这本质上是将内容转发到单独的机构管理。对于用户，这是完全无缝的。

如果用户上传的文件包含用于执行会话劫持的恶意脚本，则浏览器的安全控制（即“同源策略”）会帮助阻止用户的文件呈现会话访问用户的主会话。用户的主会话用于诸如参加评估、查看成绩等活动。因此，攻击会被隔离，且影响将受限制。尽管攻击者可能会获得对自己通常无权访问的内容的访问权限，但无法获得对被攻击者的主会话或整个站点的访问权限。