Du är här:
Klickkapningsskydd
Salesforce tillhandahåller inställningar för klickkapningsskydd för att skydda din organisation från attacker med upprättelse i användargränssnitt.
Kontrollnamn
Klickkapningsskydd
Rekommenderad konfiguration
- Aktivera skydd för clickjacking för inställningssidor
- Aktivera klickkapningsskydd för Salesforce-sidor som inte är i Inställningar
- Aktivera klickkapningsskydd för kunders Visualforce med standardsidhuvuden
- Aktivera klickkapningsskydd för kunders Visualforce med sidhuvuden inaktiverade
Inställningar>Sessionsinställningar>Klickkapningsskydd>Aktivera alla alternativ för klickkapningsskydd.
Kontrollöversikt
För att skydda din organisation från attacker med upprättelse i användargränssnitt tillhandahåller Salesforce inställningar för klickkapningsskydd som förhindrar skadliga webbplatser från att bädda in dina Salesforce-sidor, som Inställningar eller egna Visualforce, i en osynlig iframe.
Säkerhetsrisk om den inte är konfigurerad
Att inte aktivera klickkapningsskydd utsätter dina användare för attacker med Gränssnittsåtgärd, där en attackerare bäddar in dina Salesforce-sidor i en osynlig iframe på en skadlig webbplats för att lura dem att utföra oavsiktliga åtgärder som att ta bort poster eller bevilja behörigheter. Denna översyn skapar en hög risk för obehöriga dataändringar och kontokompromisser, eftersom legitima användarinteraktioner kapas för att utföra skadliga kommandon utan användarens Knowledge.
Hotscenarier
En attackerare lockar en inloggad Salesforce-användare till en skadlig webbplats som innehåller en osynlig iframe av en känslig Salesforce-sida, till exempel en skärm för Användarinaktivering eller Postborttagning, direkt över en lockknapp som "Kräv ditt pris". När användaren klickar på lockbetet kör de omedvetet det dolda Salesforce-kommandot, vilket kan resultera i obehörig borttagning av viktiga kunddata eller upphöjning av en attackerares egna systembehörigheter utan någon synlig varning.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Den huvudsakliga riskpåverkan innefattar en kritisk kompromiss av datasekretess och systemintegritet, där utnyttjandet av obegränsade sårbarheter leder till oauktoriserad dataexfiltrering, bedrägliga administrativa åtgärder och allvarlig bristande efterlevnad av föreskrifter.
Högre risk när
Risken ökar avsevärt med en alltför tillåtande lista över betrodda domäner, som kan tillåta opålitliga eller komprometterade externa webbplatser att kringgå inramningsbegränsningar och innehålla osynliga Salesforce-komponenter. Att inte aktivera klickkapningsskydd för egna Visualforce eller Experience Cloud-webbplatser och samtidigt endast säkra den interna konfigurationen skapar dessutom en sårbar "bakdörr" för attacker att rikta in sig på icke-administrativa användare.
Låg eller ingen risk när
För att minimera riskerna för klickkapning kan organisationer använda betrodda domäner för inbäddade ramar för att uttryckligen vitlista endast auktoriserade externa webbplatser, vilket säkerställer att inramning begränsas till kända säkra miljöer. Att använda Lightning Web Components (LWC) med säkra API-integreringar tillåter dessutom inbyggd dataåtergivning utan behov av iframes, vilket effektivt eliminerar den primära attackvektorn samtidigt som modellen Minsta behörighet bibehålls för att begränsa den potentiella skadan av eventuella oavsiktliga kapade klick.
Att tänka på vad gäller affärer och integration
Att implementera klickkapningsskydd kräver en omfattande granskning av alla externa portaler och tredjepartsprogram som iframe Salesforce-sidor för att säkerställa att de är korrekt tillåtelselistade, eftersom alltför restriktiva inställningar kan bryta affärskritiska integreringar och kundflöden.
Rekommenderad åtgärd
Aktivera klickkapningsskyddet i Salesforces sessionsinställningar.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning inspekterar organisationens inställningar för sessioner för att verifiera att klickkapningsskydd har aktiverats i enlighet med rekommenderade metoder.
