Olet tässä:
API-käyttöoikeus
Tämä ohjaus poistaa "API käytössä" -järjestelmäoikeuden todentamattomista vieraskäyttäjäprofiileista.
Ohjaimen nimi
API-käyttöoikeus
Suositeltu kokoonpano
Poista API-käyttöoikeus käytöstä vieraskäyttäjäprofiilista.
Ohjauksen yleiskatsaus
Tämä ohjaus poistaa todentamattomista vieraskäyttäjäprofiileista ”API käytössä” -järjestelmäoikeuden, mikä estää anonyymejä käyttäjiä käyttämästä Salesforce-dataa ohjelmallisten käyttöliittymien kautta, kuten REST- tai SOAP API -rajapintojen kautta.
Tietoturvariski, jos ei määritetty
Kun tämä on käytössä, anonyymi hyökkääjä voi käyttää Salesforce API -vakiopäätepisteitä järjestelmällisesti organisaatiosi metadatan tutkimiseen ja yrittää noutaa tietueita, jotka saatetaan vahingossa paljastaa löysien jakosääntöjen kautta.
Uhkien skenaariot
Haitallinen toimijat käyttävät komentosarjaa skannatakseen julkisen sivustosi päätepisteet, löytääkseen luottamuksellisten objektien nimet tai kentät ja ladatakseen kaikki tietueet, joiden lukuoikeus heillä on, kirjautumatta sisään.
Arvioitu CVSS-pistealue
Kriittinen (9.0–10.0).
Riskien vaikutuksissa huomioitavia asioita
API-käyttöoikeuden myöntäminen todentamattomille käyttäjille lisää merkittävästi organisaatiosi laajamittaisen datan suodattamisen ja automaattisen ”rajoituksen” riskiä, mikä voi johtaa tietoturvarikkomuksiin ja lakisääteisiin sakkoihin.
Korkeampi riski, kun
Jos vieraskäyttäjäprofiililla on henkilötietoja sisältävien objektien lukuoikeus tai jos vieraskäyttäjätietueiden suojatun käyttöoikeuden asetus on ohitettu manuaalisesti.
Matalan riskin milloin
Jos yritys on jo rajoittanut Vieraskäyttäjä-objektin käyttöoikeuden nollaan ja ottanut käyttöön yksityisen jakomallin, joka estää oletusarvoisesti kaikkien tietueiden käyttöoikeuden.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
Tämän käyttöoikeuden poistaminen käytöstä saattaa rikkoa mukautettuja front-end-komponentteja tai ulkoisia integraatioita, jotka ovat riippuvaisia todentamattomista API-kutsuista sivustollesi näyttääkseen julkisia tietoja, kuten tuotekatalogeja tai myymälöiden sijainteja.
Suositeltu korjaus
- 1. Poista "Salli vieraskäyttäjien käyttää julkisia API-rajapintoja" -vaihtoehdon valinta sivuston asetuksista.
- 2. Poista ”API käytössä” -vaihtoehdon valinta vieraskäyttäjäprofiilista.
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus tunnistaa vieraskäyttäjien API-käyttöoikeuden poistamisen pakolliseksi vaiheeksi, jolla voidaan vähentää käytettävissä olevaa hyökkäysaluetta, ja varmistaa, että julkiset sivustot tarjoavat dataa vain valtuutettujen käyttöliittymäkomponenttien kautta avoimien ohjelmallisten kanavien sijaan.
