Control de proveedor de autenticación

Nombre de control

Validación y configuración del proveedor de autenticación

Configuración recomendada

Configure, valide y revise regularmente todos los proveedores de autenticación para asegurarse de que son de confianza, tienen el ámbito correcto y están integrados de forma segura.

Descripción general de control

Los proveedores de autenticación permiten a Salesforce delegar la autenticación de usuarios en plataformas de identidad externas de confianza como Apple, Google, Microsoft, proveedores de OpenID Connect y otros servicios compatibles. La configuración apropiada garantiza que las afirmaciones de autenticación solo se aceptan desde orígenes verificados y que el acceso y el aprovisionamiento de usuarios están controlados de forma segura.

Riesgo de seguridad si no está configurado

Los proveedores de autenticación no verificados o mal configurados pueden permitir a Salesforce aceptar afirmaciones de autenticación fraudulentas, lo que lleva a la creación de usuarios no autorizados, la apropiación de cuentas o el acceso desde orígenes de identidad no de confianza.

Escenarios de amenazas

Aceptación de tokens de autenticación falsificados o reproducidos, aprovisionamiento de usuarios no autorizado a través de asignaciones de proveedor de identidad (IdP) mal configuradas, relaciones Trust con IdP desusados o comprometidos, mal uso de configuraciones de proveedor demasiado permisivas.

Intervalo de puntuaje de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones de impacto de riesgo

La gravedad del riesgo depende del número de proveedores de autenticación configurados, el tamaño de la población de usuarios, los privilegios de acceso otorgados al iniciar sesión y si los proveedores están gestionados de forma externa o de cara al consumidor.

Mayor riesgo cuando

Los proveedores de autenticación no se verifican formalmente, los metadatos del proveedor están desfasados, las asignaciones de atributos son excesivamente permisivas o múltiples proveedores de nivel de consumidor están activados sin controles de gobernanza.

Bajo o ningún riesgo cuando

Este control puede considerarse de bajo riesgo al implementar una o más de las siguientes acciones:

• Validación de proveedor de confianza: Los proveedores de autenticación solo están activados para plataformas de identidad aprobadas y de confianza.
• Asignación de atributos segura: Los atributos de usuario y las reglas de aprovisionamiento tienen un ámbito estricto para aplicar el menor privilegio.
• Gestión de metadatos: Los certificados de proveedor, los extremos y los metadatos se mantienen actualizados y se revisan periódicamente.
• Aplicación de MFA: MFA se aplica en el proveedor de autenticación o a través de políticas de alta seguridad de Salesforce.
• Controles de gobernanza: Los proveedores de autenticación se rigen, documentan y revisan de forma centralizada como parte de la gestión del ciclo de vida de identidad.

Consideraciones de negocio e integración

Los clientes deben evaluar la justificación de negocio para cada proveedor de autenticación, especialmente plataformas de identidad de consumidores, y garantizar la alineación con políticas de acceso, requisitos normativos y expectativas de experiencia de usuario.

Remediación recomendada

Revise todos los proveedores de autenticación configurados, desactive proveedores no utilizados o no fiables, valide certificados y metadatos de proveedores, restrinja asignaciones de atributos, aplique MFA y establezca revisiones de gobernanza periódicas.

Directrices de revisión del estado de seguridad

Security Health Review identifica proveedores de autenticación configurados en Salesforce para ayudar a los clientes a reducir el riesgo de federación de identidad, evitar el acceso no autorizado y alinear integraciones de autenticación externas con líneas base de seguridad recomendadas por Salesforce y principios de Zero Trust identificando proveedores de autenticación conectados.