Вы находитесь здесь:
API (Включить параметры OAuth): Включить для потока устройства - снято
Этот параметр безопасности управляет доступностью потока авторизации устройства, что позволяет пользователям авторизовать связанное приложение на ограниченном в ресурсах устройстве.
Управление именем
Связанные приложения: API (Включить параметры OAuth): Включить для потока устройства - снято
Рекомендованная конфигурация
Включить для потока устройства - снято.
Общие сведения о контроле
Этот параметр безопасности управляет доступностью потока авторизации устройства, который позволяет пользователям авторизовать связанное приложение на ограниченном ресурсом устройстве, введя короткий код на отдельном подключенном к сети дополнительном устройстве.
Риск безопасности, если он не настроен
Включение небезопасных потоков входа устройства для интеграций приводит к уязвимости, когда несанкционированное связывание устройства облегчает полный сеанс организации, обходя стандартные средства безопасности на основе обозревателя.
Сценарии угроз
Взломщик использует социальную инженерию, чтобы убедить пользователя ввести вредоносный код авторизации на законную страницу проверки Salesforce, предоставив таким образом злоумышленнику постоянный доступ к сеансу и данным пользователя.
Примерный диапазон оценки CVSS
Высокий (7,0-8,9).
Рекомендации по влиянию риска
Если этот поток не будет ограничен, то это позволит создавать маркеры доступа и обновления без защиты надежной взаимной проверки подлинности, что может привести к незамеченному боковому перемещению в среде организации.
Повышенный риск при
Если связанному приложению предоставлены широкие масштабы или у компании отсутствует мониторинг в реальном времени для обнаружения аномальных схем ввода кода из ненадежных географических точек.
Низкий риск при
Если компания требует многофакторной проверки подлинности для всех попыток проверки и применяет строгие ограничения на основе IP-адресов для дополнительных устройств, используемых для завершения процесса авторизации.
Рекомендации по бизнесу и интеграции
Хотя этот поток создан для аппаратного обеспечения с ограниченными возможностями ввода, например, интеллектуальных дисплеев или инструментов командной строки, современные стандарты безопасности поддерживают более безопасные методы, например, поток кода авторизации с ключом подтверждения для обмена кодами.
Рекомендованное исправление
Перейдите в раздел API (Включить параметры OAuth) связанного приложения и убедитесь, что флажок «Включить для потока устройства» не установлен, чтобы предотвратить этот определенный метод авторизации.
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет ограничение потоков входа устройства в качестве настоятельно рекомендуемого стандарта для минимизации поверхности атаки компании и предотвращения использования проверки дополнительного устройства для перехвата сеанса.
