위치:
콘텐츠 보안 정책 보호
Internet Explorer를 사용하여 Salesforce Classic 템플릿을 볼 때 사용자가 보안 검사를 우회하지 못하도록 방지하고 권한이 없는 스크립트 및 자원이 플랫폼 내에서 실행되지 않도록 차단하는 엄격한 프레임워크를 적용합니다.
제어 이름
콘텐츠 보안 정책
권장 구성
- Internet Explorer를 사용하여 Salesforce Classic 이메일 템플릿 액세스에 대한 재정의 제한 비활성화
- 더욱 엄격한 콘텐츠 보안 정책 활성화
설정>세션 설정>콘텐츠 보안 정책>더 엄격한 콘텐츠 보안 정책 활성화 |Internet Explorer를 사용하는 Salesforce Classic 이메일 템플릿에 대한 액세스 제한 재정의 비활성화
제어 개요
"이메일 템플릿 액세스에 대한 재정의 제한 비활성화"는 사용자가 Internet Explorer를 사용하여 Salesforce Classic 템플릿을 볼 때 보안 검사를 우회하지 못하도록 방지하고, "더 엄격한 콘텐츠 보안 정책 활성화"는 플랫폼 내에서 무단 스크립트 및 자원이 실행되지 않도록 차단하는 엄격한 프레임워크를 적용합니다. 함께 사용하면 사용자의 브라우저 또는 인터페이스 선택에 관계없이 실행 기반 공격으로부터 민감한 콘텐츠를 보호할 수 있습니다.
구성되지 않은 경우 보안 위험
해당 보호 기능을 비활성화하면 기본적으로 이메일 템플릿 보안을 우회하고 사용자 세션 내에서 악성 코드를 실행할 수 있는 레거시 Internet Explorer의 "백도어"를 계속해서 사용할 수 있습니다. 또한 더 엄격한 CSP를 사용하지 않으면 조직에 정교한 크로스 사이트 스크립팅(XSS) 공격을 차단하는 데 필요한 최신 보안이 부족하므로 권한이 없는 스크립트가 세션을 하이재킹하거나 중요한 레코드 데이터를 자동으로 스크레이핑하는 것이 훨씬 쉬워집니다.
위협 시나리오
공격자는 기존 브라우저의 취약점을 활용하여 이메일 템플릿 제한을 우회하고 Salesforce Classic 인터페이스 내에서 악성 페이로드를 실행합니다. 게이트키퍼 역할을 하는 엄격한 CSP를 사용하지 않으면 세션 토큰 또는 중요한 레코드 데이터를 외부 도메인으로 추출하여 이 스크립트를 "휴대 전화"로 사용할 수 있으므로 간단한 페이지 보기를 자동화된 자동화된 데이터 침해로 효과적으로 전환할 수 있습니다.
예상 CVSS 점수 범위
중요(9.0~10.0)
위험 영향 고려 사항
공격자는 레거시 브라우저 활용 및 교차 사이트 스크립트를 활용하여 세션을 하이재킹하거나 민감한 회사 정보를 추출할 수 있으므로 데이터 무결성 및 기밀성을 심각하게 위반하는 위험에 중점을 두고 있습니다.
위험이 높은 경우
언급된 설정을 제외하고 Lightning 웹 보안(LWS) 또는 Lightning Locker 비활성화하면 위험이 크게 증가하므로 전체 UI에서 손상된 단일 구성 요소가 데이터에 액세스하지 못하게 하는 중요한 네임스페이스 격리가 제거됩니다. 또한 CSP 신뢰할 수 있는 URL에 "사용할 수 없는 인라인" 스크립트를 허용하거나 IP 세션 잠금 및 클릭잭 방어를 구현하지 못하는 등 잘못된 구성으로 인해 세션 하이재킹 및 "브라우저에 있는 사람" 공격이 표준 인증을 우회할 수 있는 환경이 생성됩니다. 또한 과도하게 허용되는 게스트 사용자 프로필 또는 광범위한 "모든 데이터 보기" 권한은 사소한 스크립트 입력을 전체 규모의 자동화된 데이터 침해로 전환할 수 있습니다.
낮은 위험 또는 비위험
모든 사용자를 Lightning Experience 및 현대 브라우저로 전환하면 기존 Salesforce Classic 및 Internet Explorer 공격 벡터를 효과적으로 사용 중지할 수 있습니다. 또한 다단계 인증(MFA) 및 신뢰할 수 있는 IP 범위 또는 LOgin 제한을 적용하면 세션이 교차 사이트 스크립트를 통해 손상된 경우에도 무단 장치 또는 위치에서 쉽게 무기를 제거할 수 없습니다.
비즈니스 및 통합 고려 사항
이러한 제어를 구현하려면 레거시 브라우저 사용 및 타사 종속성에 대한 포괄적인 감사가 필요하므로 CSP 및 템플릿 제한이 엄격해지면 사용자 지정 Lightning 구성 요소, 외부 통합 및 레거시 워크플로가 중단될 수 있습니다.
권장 수정
세션 설정을 업데이트하여 더 엄격한 콘텐츠 보안 정책을 활성화합니다.
보안 상태 검토 지침
보안 상태 검토는 Lightning 페이지에 리소스가 로드되는 방식에 대한 보안 표준에 맞게 더욱 엄격한 CSP를 포함한 세션 설정을 검사합니다.
