トランザクションセキュリティ
トランザクションセキュリティは、リアルタイムイベントを捕捉し、適切なアクションを適用してユーザー活動を監視および制御するフレームワークです。どのトランザクションセキュリティポリシーにも、イベントを評価する条件と、条件を満たした後にトリガーされるリアルタイムアクションがあります。アクションは、ブロック、多要素認証、通知です。ポリシーを作成する前に、使用可能なイベント種別、ポリシー条件、一般的な使用事例を理解します。トランザクションセキュリティは、リアルタイムイベント監視に含まれます。
必要なエディション
| Salesforce Classic (使用できない組織もあります) および Lightning Experience の両方で使用できます。 |
使用可能なエディション: Enterprise Edition、Unlimited Edition、および Developer Edition Salesforce Shield または Salesforce Event Monitoring アドオンサブスクリプションが必要です。 |
条件ビルダーと Apex の比較
条件ビルダーはポリシーを、コードではなく、クリック操作で構築できる設定機能です。ポリシーはイベントを監視します。イベントとは、SOAP API、REST API、Bulk API のオブジェクトに基づいて発生するユーザー活動のカテゴリです。条件ビルダーを使用してポリシーを作成するとき、ユーザー活動でこれらのオブジェクトのどの項目を監視するかを選択します。ポリシーのアクションはユーザーが操作する項目に対する条件に応じて実行されるため、これらの項目は条件と呼ばれます。ポリシーを作成するときに、ポリシーで監視する条件と、条件を満たしたときにポリシーが実行するアクションを選択します。条件ビルダーで使用可能な条件は、すべてのイベントオブジェクト項目のサブセットであり、オブジェクトに応じて異なります。
Apex ベースのポリシーを作成する場合、イベントオブジェクトの任意の項目を使用できます。たとえば、ReportEvent イベントオブジェクトの場合、条件ビルダーの条件としてレコードは使用できません。一方、TxnSecurity.EventCondition インターフェースを実装する Apex クラスの ReportEvent.Records 項目は使用できます。イベントオブジェクトの項目を表示する場合は、API オブジェクトリファレンスを参照してください。
条件一覧
| イベントオブジェクト | 条件ビルダーで使用可能な条件 | アクション |
|---|---|---|
| ApiEvent | API 種別、API バージョン、アプリケーション、クライアント、経過時間、操作、プラットフォーム、照会されるエンティティ、クエリ、処理行、セッションレベル、アクセス元 IP、ユーザーエージェント、ユーザー ID、ユーザー名 | ブロック、通知 |
| ApiAnomalyEventStore | User、Username、SourceIp、Score、QueriedEntities、Operation、RowsProcessed、UserAgent | 通知 |
| BulkApiResultEventStore | Query、SessionLevel、SourceIp、UserId、Username | ブロック、通知 |
| CredentialStuffingEventStore | AcceptLanguage、LoginUrl、Score、SourceIp、UserAgent、UserId、Username | 通知 |
| FileEventStore | PDF ダウンロード可能、コンテンツサイズ、コンテンツダウンロード ID、コンテンツバージョン ID、評価時間、ファイルアクション、ファイル名、ファイルソース、ファイルの種別、最新バージョン、ポリシーの結果、処理時間、セッションレベル、アクセス元 IP、トランザクションセキュリティポリシー ID、ユーザー ID、ユーザー名、バージョン番号 | ブロック、通知 |
| ListViewEvent | アプリケーション名、API 参照名、イベントソース、リストビュー ID、名前、列名、列数、並び替えの基準、所有者 ID、照会されるエンティティ、処理行、範囲、セッションレベル、アクセス元 IP、ユーザー ID、ユーザー名 | ブロック、通知、多要素認証 (UI ログイン用) Lightning ページのリストビューでは多要素認証がサポートされていないため、アクションがブロックにアップグレードされます。 |
| LoginEvent | API 種別、API バージョン、アプリケーション、認証メソッド参照、ブラウザー、国、ログインサブ種別、ログイン種別、ログイン URL、プラットフォーム、セッションレベル、アクセス元 IP、TLS プロトコル、ユーザー ID、ユーザー種別、ユーザー名 | ブロック、通知、多要素認証 (UI ログイン用) |
| PermissionSetEventStore | イベントソース、操作、権限種別、ユーザー数、ユーザー ID、ユーザー名 | ブロック、通知 |
| ReportAnomalyEventStore | Report、Score、SourceIp、UserId、Username | 通知 |
| ReportEvent | ダッシュボード ID、ダッシュボード名、説明、イベントソース、形式、スケジュール済み、名前、列名、列数、操作、所有者 ID、照会されるエンティティ、レポート ID、処理行、範囲、セッションレベル、アクセス元 IP、ユーザー ID、ユーザー名 | ブロック、通知、多要素認証 (UI ログイン用) |
| SessionHijackingEventStore | CurrentUserAgent、CurrentIp、CurrentPlatform、CurrentScreen、CurrentWindow、PreviousUserAgent、PreviousIp、PreviousPlatform、PreviousScreen、PreviousWindow、Score、SourceIp、UserId、Username | 通知 |
- トランザクションセキュリティポリシーの種別
次のリアルタイムイベントモニタリングイベントに、トランザクションセキュリティポリシーを作成できます。 - セキュリティ体制を強化するために不可欠なトランザクションセキュリティポリシー
トランザクションセキュリティポリシー (TSP) は、Salesforce データに対するユーザー操作を監視して制御する動的かつ自動化された方法を提供し、疑わしい活動にリアルタイムで対応することで重要なセキュリティレイヤーを追加します。これらの TSP は、セキュリティ体制の強化に最適です。TSP はセキュリティレンズ別に整理されます。セキュリティレンズは、セキュリティチームが通常どのようにリスクを確認し、ポリシーを適用するかを示すトピックのグループです。 - トランザクションセキュリティアクションおよび通知
リアルタイムイベントでトランザクションセキュリティポリシーがトリガーされるときに、ユーザーをブロックするか、多要素認証 (MFA) を適用することができます。また必要に応じて、イベントのアプリケーション内通知またはメール通知を受信することもできます。 - 条件ビルダーを使用したトランザクションセキュリティポリシーの作成
コード行を記述せずにトランザクションセキュリティポリシーを作成します。リアルタイムイベント監視でリリースされた条件ビルダーでは、宣言型でカスタマイズしたセキュリティポリシーを作成してデータを保護できます。 - Apex を使用するトランザクションセキュリティポリシーの作成
[設定] を使用して、Apex を使用するトランザクションセキュリティポリシーを作成します。既存の Apex クラスを指定するか、空のクラスを作成してからコーディングすることができます。Apex クラスは、TxnSecurity.EventConditionインターフェイスを実装する必要があります。 - トランザクションセキュリティポリシーの作成および管理のベストプラクティス
トランザクションセキュリティポリシーの管理は必ずしも簡単なわけではありません。特に複数のポリシーがある場合は厄介です。ポリシーが機能し続けるように、ポリシーの作成と管理に関する次のベストプラクティスを実践します。適切に構成され、テストされたポリシーを使用することで、従業員や顧客のつながり、生産性、セキュリティを維持できます。 - トランザクションセキュリティ測定
トランザクションセキュリティでは、共有のマルチテナントプラットフォームリソースの悪意ある独占または意図しない独占を防ぐために、リソース測定を使用します。測定を使用することで、トランザクションセキュリティポリシー評価が使用するリソースが多くなりすぎて Salesforce 組織に悪影響が及ぶことを防止できます。 - トランザクションセキュリティポリシーからのユーザーの除外
ほとんどのユーザーに適用されるが、すべてのユーザーには適用されないトランザクションセキュリティポリシーがある場合は、特定のユーザーに対してトランザクションセキュリティユーザー権限からの除外を割り当てることができます。この権限は、ビジネスに欠かせないアクションがトランザクションセキュリティポリシーの測定によって何度もブロックされる場合にのみ割り当てます。たとえば、Bulk API コールや自動化された Bulk API コールを実行するユーザーに割り当てます。このユーザー権限は、インテグレーションユーザー、またはトランザクションセキュリティポリシーに責任を持つシステム管理者のうち、ブロック対象にしたくないユーザーやシステム管理者に割り当てます。 - 新しいポリシーのテストとトラブルシューティング
トランザクションセキュリティポリシーが期待どおりに動作しない場合は、次のテストおよびトラブルシューティングのヒントを確認して問題を診断してください。
