Clickjack-suojaus

Ohjaimen nimi

Clickjack-suojaus

Suositeltu kokoonpano

• Ota clickjack-suojaus käyttöön määrityssivuille
• Ota clickjack-suojaus käyttöön muille kuin Määritykset-valikon Salesforce-sivuille
• Ota clickjack-suojaus käyttöön asiakkaan Visualforce, joissa on vakiomuotoiset yläpalkit
• Ota clickjack-suojaus käyttöön asiakas Visualforce, joissa yläpalkit eivät ole käytössä

Määritykset>Istuntoasetukset>Clickjack-suojaus>Ota kaikki clickjack-suojausvaihtoehdot käyttöön.

Ohjauksen yleiskatsaus

Salesforce tarjoaa Clickjack-suojausasetuksia, jotka estävät haitallisia verkkosivustoja upottamasta Salesforce-sivuja, kuten Määritykset-valikon tai mukautettuja Visualforce, näkymättömään iframe-kehykseen suojellakseen organisaatiotasi käyttöliittymän korjaushyökkäyksiltä.

Tietoturvariski, jos ei määritetty

Jos et ota clickjack-suojausta käyttöön, käyttäjäsi altistuvat käyttöliittymän korjaushyökkäyksille, joissa hyökkääjä upottaa Salesforce-sivusi näkymättömään iframe-kehykseen haitallisella sivustolla, jotta hän voi suorittaa tahattomia toimintoja, kuten poistaa tietueita tai myöntää käyttöoikeuksia. Tämä laiminlyönti aiheuttaa suuren riskin tietojen valtuuttamattomalle muokkaamiselle ja tilien vaarantamiselle, koska käyttäjien oikeat vuorovaikutukset kaapatetaan suorittaakseen pahantahtoisia komentoja käyttäjän Knowledgessa.

Uhkien skenaariot

Hyökkääjä houkuttelee todennetun Salesforce-käyttäjän haitalliseen verkkosivustoon, joka isännöi luottamuksellisen Salesforce-sivun näkymätöntä iframe-kehystä, kuten Käyttäjän deaktivointi- tai Tietueen poisto -ruutua, suoraan "Vähennä palkinto" -painikkeen kautta. Kun käyttäjä napsauttaa piilokytkintä, hän suorittaa piilotetun Salesforce-komennon tietämättään, mikä saattaa johtaa tärkeiden asiakastietojen valtuuttamattomaan poistamiseen tai hyökkääjän omien järjestelmäoikeuksien nostamiseen ilman näkyvää varoitusta.

Arvioitu CVSS-pistealue

Kriittinen (9.0–10.0).

Riskien vaikutuksissa huomioitavia asioita

Ydinriskien vaikutukset vaikuttavat kriittisesti tietoturvaan ja järjestelmän eheyteen, kun korjaamattomien haavoittuvuuksien hyödyntäminen johtaa valtuuttamattomaan tietojen suodattamiseen, petollisiin hallintatoimiin ja vakavaan säännösten noudattamatta jättämiseen.

Korkeampi riski, kun

Riskit lisääntyvät merkittävästi, kun luotettujen toimialueiden luettelo on liian sallittu, mikä voi sallia epäluotettavien tai vaarantuneiden ulkoisten sivustojen ohittaa kehysrajoitukset ja isännöidä näkymättömiä Salesforce-komponentteja. Lisäksi, jos et ota clickjack-suojausta käyttöön mukautetuille Visualforce tai Experience Cloud -sivustoille, mutta suojaat vain sisäiset määritykset, hyökkääjille luodaan haavoittuva "taustakäyttö" muihin kuin pääkäyttäjiin.

Matala riski tai ei riskiä, kun

Organisaatiot voivat käyttää luotettuja toimialueita upotetuille kehysalueille luodakseen luettelon vain valtuutetuista ulkoisista sivustoista, jotta kehykset rajoitetaan tunnetusti turvallisiin ympäristöihin. Lisäksi Lightning (LWC) käyttöönotto suojatulla API-integraatiolla sallii natiividatan renderöinnin ilman iframe-kehykset, mikä poistaa ensisijaisen hyökkäysvektorin tehokkaasti ja ylläpitää vähiten käyttöoikeuksia -mallia rajoittaakseen vahingossa kaapattujen napsautusten mahdollisia vaurioita.

Liiketoiminnassa ja integraatiossa huomioitavia asioita

Clickjack-suojauksen toteuttaminen vaatii kattavan auditoinnin kaikista Salesforce-sivujen iframe-kehyksissä olevista ulkoisista portaaleista ja kolmansien osapuolten sovelluksista varmistaakseen, että ne on sallittu luetteloida oikein, koska liian rajoittavat asetukset voivat rikkoa liiketoiminnan kannalta kriittisiä integraatioita ja asiakaskohtaisia työnkulkuja.

Suositeltu korjaus

Ota clickjack-suojaus käyttöön Salesforce-istuntoasetuksista.

Tietoturvan terveystarkastuksen ohjeet

Suojauksen terveystarkastus tarkastaa organisaation istuntoasetusten määritykset varmistaakseen, että clickjack-suojaus on käytössä suositeltujen käytäntöjen mukaisesti.