Investigar el secuestro de sesión

Comience por consultar estos eventos de Supervisión de eventos en tiempo real que proporcionan información detallada acerca del ataque. En particular:

• SessionHijackingEvent y su equivalente de almacenamiento SessionHijackingEventStore supervisan cuando los usuarios no autorizados obtienen la propiedad de la sesión de un usuario de Salesforce con un identificador de sesión robado. Para detectar dicho evento, Salesforce evalúa la cantidad en que la huella del navegador actual de un usuario difiere de la huella conocida anteriormente. Salesforce utiliza una significancia deducida de forma probabilista del cambio.
  

  Importante Si el objeto SessionHijackingEvent contiene un registro, se produjo un ataque en el pasado y la seguridad de Salesforce ya se encargó del problema de seguridad. No tiene que hacer nada más que investigar el ataque para sus propios fines.
• LoginStream (y su equivalente de almacenamiento LoginEvent) realiza un seguimiento de toda la actividad de inicios de sesión en su organización.

Por ejemplo, supongamos que su organización recibe un SessionHijackingEvent. Lo primero que hace es examinar los campos relevantes del evento para obtener información básica acerca del ataque, como:

• Score: Un número de 0.0 a 1.0 indica la cantidad de desviación significativa de la nueva huella de navegador de la anterior. Cuanto más alto sea el número, mayor probabilidad habrá de que se produjera un ataque de secuestro de sesión.
• UserId: El Id. exclusivo del usuario. Utilice este Id. para consultar LoginEvent para obtener más información de inicio de sesión.
• EventDate: El momento en que se produjo este ataque.
• SecurityEventData: Campo JSON que contiene los valores actuales y anteriores de las funciones de huella del navegador que contribuyeron en mayor medida a la detección de esta anomalía. Consulte esta tabla para ver la lista completa de funciones posibles.
• Summary: Un resumen de texto del evento.
• Pares de campos Current-Previous: Estos pares de campos proporcionan acceso rápido a valores actuales y anteriores para funciones de huella del navegador seleccionado.
  • CurrentIp y PreviousIp: La dirección IP actual y la anterior.
  • CurrentPlatform y PreviousPlatform: El sistema operativo actual y anterior, como por ejemplo Win32, MacIntel o iPad.
  • CurrentScreen y PreviousScreen: El tamaño de la pantalla actual y anterior en píxeles (900.0,1440.0).
  • CurrentUserAgent y PreviousUserAgent: El valor actual y anterior del agente usuario de su navegador, que identifica el tipo de navegador, la versión, el sistema operativo, entre otros. Por ejemplo, Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36
  • CurrentWindow y PreviousWindow: El tamaño de la ventana actual y anterior en píxeles, como (1200.0,1920.0).

Consulte la documentación de la API con la lista completa de los campos.

Esta consulta SOQL de muestra devuelve estos valores de campo.

SELECT Score, UserId, EventDate, SecurityEventData, Summary 
FROM SessionHijackingEventStore

Echemos un vistazo al campo SecurityEventData con mayor detenimiento porque contiene las huellas del navegador que desencadenaron la detección de esta anomalía. A continuación se incluyen datos de ejemplo:

[
{
"featureName": "userAgent",
"featureContribution": "0.45 %", 
"previousValue": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142", 
"currentValue": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36."
},
{
"featureName": "ipAddress",
"featureContribution": "0.23 %",
"previousValue": "201.17.237.77",
"currentValue": "182.64.210.144"
},
{
"featureName": "platform",
"featureContribution": "0.23 %",
"previousValue": "Win32",
"currentValue": "MacIntel"
},
{
"featureName": "screen",
"featureContribution": "0.23 %",
"previousValue":"(1050.0,1680.0)",
"currentValue": "(864.0,1536.0)"
},
{
"featureName": "window",
"featureContribution": "0.17 %",
"previousValue": "1363x1717",
"currentValue": "800x1200"
}
]

El JSON de muestra indica que muchas funciones de huella de navegador cambiaron, incluyendo el plazo, la dirección IP, la plataforma, entre otras. Salesforce concluye que la sesión de usuario se secuestró.