Analisi degli eventi hijack della sessione

Iniziare eseguendo query sugli eventi di Monitoraggio evento in tempo reale che forniscono informazioni dettagliate sull'attacco. In particolare:

• SessionHijackingEvent e l'equivalente SessionHijackingEventStore per l'archiviazione verificano quando gli utenti non autorizzati diventano titolari di una sessione utente Salesforce con un identificatore di sessione rubato. Per rilevare un evento di questo tipo, Salesforce valuta l'entità della divergenza dell'attuale fingerprint del browser con il fingerprint osservato in precedenza. Salesforce utilizza un significato dedotto in modo probabilistico della modifica.
  

  Importante se l'oggetto SessionHijackingEvent contiene un record, si è già verificato un attacco in passato e la sicurezza Salesforce ha già risolto il problema. L'utente non deve fare altro che analizzare l'attacco in base alle proprie esigenze.
• LoginEventStream e l'equivalente LoginEvent per l'archiviazione tengono traccia di tutta l'attività di accesso nell'organizzazione.

Si supponga ad esempio che l'organizzazione riceva un oggetto SessionHijackingEvent. La prima cosa da fare è esaminare i campi pertinenti dell'evento per raccogliere informazioni di base sull'attacco, ad esempio:

• Score: Un numero da 0,0 a 1,0 che indica l'entità della deviazione del nuovo fingerprint del browser da quello precedente. Più è elevato il numero, più probabile è che si sia verificato un attacco hijack della sessione.
• UserId: ID univoco dell'utente. Utilizzare questo ID per eseguire una query su LoginEvent per ulteriori informazioni sull'accesso.
• EventDate: quando si è verificato l'attacco.
• SecurityEventData: campo JSON che contiene i valori correnti e precedenti delle funzioni di fingerprint del browser che hanno contribuito maggiormente al rilevamento dell'anomalia. Vedere questa tabella per l'elenco completo delle funzioni possibili.
• Summary: riepilogo testuale dell'evento.
• Coppie di campi Current-Previous: queste coppie di campi forniscono un accesso rapido ai valori correnti e precedenti per le funzioni di fingerprint del browser selezionate.
  • CurrentIp e PreviousIp: Gli indirizzi IP corrente e precedente.
  • CurrentPlatform e PreviousPlatform: Il sistema operativo corrente e quello precedente, ad esempio Win32, MacIntel o iPad.
  • CurrentScreen e PreviousScreen: Le dimensioni correnti e precedenti dello schermo in pixel, ad esempio (900,0,1440,0).
  • CurrentUserAgent e PreviousUserAgent: I valori corrente e precedente dell'agente utente del browser che identificano il tipo di browser, la versione, il sistema operativo e altro. Ad esempio, Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, come Gecko) Chrome/76.0.3809.100 Safari/537.36
  • CurrentWindow e PreviousWindow: Le dimensioni correnti e precedenti della finestra in pixel, ad esempio (1200,0,1920,0).

Vedere la documentazione API per l'elenco completo dei campi.

Questa query SOQL di esempio restituisce questi valori dei campi.

SELECT Score, UserId, EventDate, SecurityEventData, Summary 
FROM SessionHijackingEventStore

Si osservi più attentamente il campo SecurityEventData, che contiene i fingerprint del browser che contribuiscono all'attivazione del rilevamento dell'anomalia. Ecco i dati di esempio:

[
{
"featureName": "userAgent",
"featureContribution": "0.45 %", 
"previousValue": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142", 
"currentValue": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36."
},
{
"featureName": "ipAddress",
"featureContribution": "0.23 %",
"previousValue": "201.17.237.77",
"currentValue": "182.64.210.144"
},
{
"featureName": "platform",
"featureContribution": "0.23 %",
"previousValue": "Win32",
"currentValue": "MacIntel"
},
{
"featureName": "screen",
"featureContribution": "0.23 %",
"previousValue":"(1050.0,1680.0)",
"currentValue": "(864.0,1536.0)"
},
{
"featureName": "window",
"featureContribution": "0.17 %",
"previousValue": "1363x1717",
"currentValue": "800x1200"
}
]

Il file JSON di esempio indica che sono cambiate molte funzioni di impronta digitale del browser, tra cui finestra, indirizzo IP, piattaforma e altre ancora. Salesforce conclude che la sessione utente è stata oggetto di attacco hijack.