API (Включить параметры OAuth): Выбор областей OAuth для применения к элементу управления связанным приложением

Управление именем

Связанные приложения: API (Включить параметры OAuth): Выберите области OAuth для применения к связанному приложению

Рекомендованная конфигурация

Выбранные области OAuth - выберите области OAuth для применения к связанному приложению.

Общие сведения о контроле

Области OAuth — это «полномочия маркера», которые точно определяют данные и действия, которые может выполнять связанное приложение от имени пользователя. Выбрав определенные области, администраторы Salesforce применяют принцип наименьших прав на уровне интеграции, убедившись, что, даже если приложение проверено, оно ограничено предопределенным поднабором ресурсов Salesforce (например, только доступ API или только сведения об удостоверении).

Риск безопасности, если он не настроен

Если детализированные области не включены (или если «Полный доступ» используется по умолчанию), связанное приложение наследует полный набор полномочий пользователя-автора, независимо от того, действительно ли он нужен приложению. Это создает пробел в безопасности, когда простая интеграция для определенной задачи (например: отправка сообщений эл. почты) потенциально может использоваться для удаления записей, экспорта всей базы данных или изменения метаданных системы.

Сценарии угроз

Злоумышленник заманивает пользователя на авторизацию связанного приложения, которому предоставлены широкие области, например, full_access. После авторизации злоумышленник использует полученный маркер для программного извлечения персональных данных и конфиденциальных данных CRM посредством REST API, полностью обходя ручной интерфейс пользователя.

Примерный диапазон оценки CVSS

Критические (9,0-10,0).

Рекомендации по влиянию риска

Экспоненциально больший "радиус взрыва" в случае кражи регистрационных данных. При нарушении партнера интеграции маркер OAuth с избыточными правами позволяет взломщику перемещаться по организации в горизонтальном направлении, что приводит к массовой эксфильтрации данных.

Повышенный риск при

Риск значительно выше при назначении областей full или web, поскольку они предоставляют практически неограниченный доступ к среде Salesforce. Риск еще больше возрастает, если связанное приложение связано с системным администратором или пользователем интеграции с высокими правами, поскольку маркер наследует эти широкие административные полномочия.

Низкий риск при

Если приложение ограничено одной конкретной областью, например, api (Управление данными пользователей посредством API) и работает в паре со специальным пользователем интеграции. Ограничивая полномочия профиля пользователя и области OAuth приложения одновременно, вы ограничиваете возможности интеграции.

Рекомендации по бизнесу и интеграции

Внедрение узких областей требует глубокого понимания технических требований стороннего приложения во избежание ошибок «Недостаточно полномочий», нарушающих интеграцию. Это требует баланса безопасности и гибкости, поскольку чрезмерно ограничительные области могут требовать частого обновления вручную по мере развития функций приложения поставщика.

Рекомендованное исправление

• Проверка существующих областей: Просмотр всех активных связанных приложений в меню «Настройка»>Использование OAuth связанных приложений
• Применить наименьшие права: Отредактируйте параметры связанного приложения, чтобы удалить широкие области и заменить их на минимально необходимые (обычно api, openid и refresh_token), потом поменяйте или отмените существующие маркеры для внедрения новой политики.

Руководство по проверке состояния безопасности

Проверка состояния безопасности определяет это как контекстуальный пробел в безопасности. Выборочные области позволяют предоставлять детализированный доступ к данным на основе ролей в одном интегрированном приложении.