Examen du bourrage d'identifiants

Commencez par interroger les événements de Surveillance des événements en temps réel qui fournissent des informations détaillées sur l'attaque, en particulier :

• CredentialStuffingEvent et son équivalent en stockage CredentialStuffingEventStore suivent la connexion réussie d'un utilisateur à Salesforce lors d'une attaque par bourrage d'identifiants détectée.
  

  Important Si l'objet CredentialStuffingEvent contient un enregistrement, une attaque s'est produite par le passé et la sécurité Salesforce a déjà traité le problème de sécurité. Vous n'avez rien d'autre à faire que d'examiner l'attaque pour votre propre information.
• LoginEventStream et son équivalent en stockage LoginEvent suivent toute l'activité de connexion dans votre organisation Salesforce.

Par exemple, votre organisation reçoit un CredentialStuffingEvent. Commencez par examiner les champs pertinents de l'événement afin de recueillir des informations de base sur l'attaque, notamment :

• UserId : l'ID unique de l'utilisateur. Utilisez cet ID pour interroger LoginEvent et recueillir plus d'informations sur les connexions.
• EventDate : la date à laquelle l'attaque est produite.
• Summary : un résumé de texte de l'événement.

Pour la liste complète des champs, consultez la Documentation API.

Cet exemple de requête SOQL renvoie les valeurs de champ ci-dessous.

SELECT UserId, EventDate, Summary FROM CredentialStuffingEventStore

Vous pouvez utiliser ce type de requête afin d'identifier les utilisateurs de votre organisation qui ont été affectés par l'attaque de bourrage d'identifiants. Ces utilisateurs ont réutilisé le mot de passe de leur organisation dans d'autres sites Web ou leur mot de passe suit un schéma courant et n'est pas assez fort. Indiquez à vos utilisateurs comment créer et gérer des mots de passe forts pour protéger votre organisation.

Vous pouvez également améliorer votre sécurité avec la protection des mots de passe. Vous pouvez définir des exigences d'historique, de longueur et de complexité. Vous pouvez en outre spécifier l'action à exécuter lorsqu'un utilisateur oublie son mot de passe. Salesforce exige l'utilisation de l'authentification multifacteur (MFA) pour toutes les connexions à l'interface utilisateur. Vérifiez que la MFA est activée pour tous vos utilisateurs. Pour terminer, examinez l'activation de Lightning Login pour les connexions sans mot de passe.