設定外部用戶端應用程式 OAuth 設定:OAuth 範圍最低權限

控制名稱

外部用戶端應用程式:設定外部用戶端應用程式 OAuth 設定:OAuth 範圍最低權限

建議組態

OAuth 範圍 - OAuth 範圍定義外部用戶端應用程式的權限。

控制概觀

ECA 允許高度細微的 OAuth 範圍,其可控制 ECA 的權限。限制這些項目會將「爆炸半徑」最小化。

未設定安全性風險

若未限制 OAuth 範圍,則會造成權限過多的存取權,其中外部應用程式會獲得的權限會超出其運作所需的範圍。入侵應用程式不必要地取得敏感 PII 的存取權。

威脅情況

使用 Full 範圍控制權杖的攻擊者可以略過 UI 限制,以程式設計的方式刪除記錄、匯出整個客戶資料庫,或修改系統組態。

此外,透過不安全用戶端實作的「權杖洩漏」可讓惡意執行動作使用者在任何 Salesforce API 中模擬使用者,而不只是針對外部應用程式所設計的特定功能。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

認證竊取事件期間爆炸半徑大幅擴大,可能會將次要本地化缺口轉換為公司資料損失總數。

風險愈高時機

應用程式預設為指派「完整存取權」。如果應用程式設定為「所有使用者皆可自我授權」,讓任何員工或客戶將廣泛權限授與未經驗證的第三方工具。

低度風險時機

使用窄或自訂範圍,將權杖限制為特定非破壞性動作。實作「管理員批准的使用者均獲得預先授權」的 OAuth 2.0 原則,可確保只有特定設定檔或權限集可以使用應用程式,無論要求的範圍為何。

業務與整合考量事項

嚴格定義範圍需要開發人員和結構設計師之間深度協調,才能將每個 API 呼叫對應至其必要權限,這會增加初始開發時間。然而,此事先努力可避免整合債務,因為缺乏細微性,會迫使您授與對簡單工具的過度且不受限制的存取權,進而建立長期安全性責任,這將難以在稍後解決。

建議的補救措施

檢閱 ECA 的 OAuth 設定,並僅選取業務功能所需的特定範圍 (例如 api、openid)。

安全性健康檢閱指南

「安全性健康檢閱」強調「最低權限原則」。評估應用程式需求以限制範圍 (例如:「完整存取權」可將小型缺口變成災難性資料遺失事件。