Bescherming van inhoudsbeveiligingsbeleid

Controlenaam

Content Security Policy (inhoudsbeveiligingsbeleid)

Aanbevolen configuratie

• Overschrijvingsbeperking uitschakelen voor toegang tot e-mailsjablonen in Salesforce Classic met behulp van Internet Explorer
• Strenger inhoudsbeveiligingsbeleid inschakelen

Set-up>Sessie-instellingen>Inhoudsbeveiligingsbeleid>Strikter inhoudsbeveiligingsbeleid inschakelen|Overschrijvingsbeperking uitschakelen voor toegang tot e-mailsjablonen in Salesforce Classic met behulp van Internet Explorer.

Overzicht van besturingselementen

"Overschrijvingsbeperking voor toegang tot e-mailsjablonen uitschakelen" voorkomt dat gebruikers beveiligingscontroles omzeilen bij het weergeven van sjablonen in Salesforce Classic met behulp van Internet Explorer, terwijl "Strikter beleid voor inhoudsbeveiliging inschakelen" een strikt kader afdwingt dat de uitvoering van niet-geverifieerde scripts en resources binnen het platform verhindert. Samen zorgen ze ervoor dat gevoelige inhoud wordt beschermd tegen op uitvoering gebaseerde aanvallen, ongeacht de browser of interfacekeuze van de gebruiker.

Beveiligingsrisico indien niet geconfigureerd

Door deze beveiligingen uitgeschakeld te laten, houdt u in wezen een "achterdeur" open voor verouderde Internet Explorer-exploits die de beveiliging van e-mailsjablonen kunnen omzeilen en kwaadaardige code kunnen uitvoeren binnen de sessie van een gebruiker. Zonder een strengere CSP beschikt uw organisatie bovendien niet over de actuele beveiligingsbescherming die nodig is om geavanceerde XSS-aanvallen (Cross-Site Scripting) te blokkeren, waardoor het voor niet-geverifieerde scripts veel gemakkelijker wordt om sessies te kapen of vertrouwelijke recordgegevens in stilte te schrapen.

Dreigingsscenario's

Een aanvaller maakt gebruik van de kwetsbaarheden van een verouderde browser om e-mailsjabloonbeperkingen te omzeilen en een kwaadwillende payload uit te voeren binnen de Salesforce Classic interface. Zonder Strikter CSP als gatekeeper kan dit script "naar huis bellen" door sessietokens of gevoelige recordgegevens te exfiltreren naar een extern domein, waardoor een eenvoudige paginaweergave in feite een stille, geautomatiseerde gegevensinbreuk wordt.

Geschatte CVSS-scorebereik

Kritiek (9,0–10,0).

Overwegingen bij risico-impact

De risico-impact concentreert zich op een kritieke inbreuk op gegevensintegriteit en vertrouwelijkheid, aangezien aanvallers verouderde browserexploits en cross-site scripts kunnen gebruiken om sessies te kapen of gevoelige bedrijfsinformatie te exfiltreren.

Hoger risico wanneer

Afgezien van de genoemde instellingen wordt het risico aanzienlijk vergroot door het uitschakelen van Lightning Web Security (LWS) of Lightning Locker, aangezien dit de kritieke naamruimte-isolatie verwijdert die voorkomt dat één gecompromitteerde component toegang heeft tot gegevens binnen uw gehele UI. Daarnaast leiden misconfiguraties zoals het toestaan van "unsafe-inline" scripts in uw door CSP vertrouwde URL's of het niet implementeren van IP-sessievergrendeling en bescherming tegen klikkapingen tot een omgeving waarin sessiekapingen en "man-in-the-browser"-aanvallen standaardauthenticatie kunnen omzeilen. Bovendien kunnen te tolerante gastgebruikersprofielen of brede machtigingen "Alle gegevens weergeven" een kleine scriptinjectie veranderen in een volledig geautomatiseerde gegevensinbreuk.

Laag of geen risico wanneer

De overstap van alle gebruikers naar Lightning Experience en moderne browsers werkt als een primair afschrikmiddel door de verouderde Salesforce Classic en Internet Explorer-aanvalsvectoren effectief af te schaffen. Daarnaast zorgt het afdwingen van beperkingen voor multi-factorenauthenticatie (MFA) en vertrouwd of LOgin IP-bereik ervoor dat zelfs als een sessie wordt gecompromitteerd via een cross-site script, deze niet gemakkelijk kan worden bewapend vanaf een niet-geautoriseerd apparaat of locatie.

Overwegingen bij bedrijf en integratie

De implementatie van deze besturingselementen vereist een uitgebreide controle van verouderd browsergebruik en afhankelijkheden van derden, aangezien strengere CSP- en sjabloonbeperkingen aangepaste Lightning componenten, externe integraties en verouderde werkstromen kunnen verstoren.

Aanbevolen oplossing

Werk de sessie-instellingen bij om Strenger inhoudsbeveiligingsbeleid in te schakelen.

Begeleiding bij beoordeling van beveiligingstoestand

Beoordeling van beveiligingstoestand inspecteert de sessie-instellingen, waaronder strengere CSP, om te voldoen aan beveiligingsnormen voor de manier waarop resources worden geladen op Lightning pagina's.