內容安全性原則保護

控制名稱

內容安全性原則

建議組態

• 停用使用 Internet Explorer 在 Salesforce Classic 中存取電子郵件範本的覆寫限制
• 啟用更嚴格的內容安全性原則

設定>工作階段設定>內容安全性原則>啟用更嚴格的內容安全性原則|停用使用 Internet Explorer 在 Salesforce Classic 中存取電子郵件範本的覆寫限制。

控制概觀

「停用覆寫存取電子郵件範本的限制」可防止使用者在使用 Internet Explorer 在 Salesforce Classic 中檢視範本時略過安全性檢查,而「啟用更嚴格的內容安全性原則」可強制執行嚴格的架構,讓未經授權的指令檔與資源無法在平台內執行。無論使用者的瀏覽器或介面選擇為何,這些功能都能確保敏感內容免受執行型攻擊的攻擊。

未設定安全性風險

透過停用這些保護,您基本上會為可略過電子郵件範本安全性,並在使用者工作階段內執行惡意程式碼的舊版 Internet Explorer 利用者保持開放的「後端」。此外,如果沒有更嚴格的 CSP,則您的組織缺乏封鎖複雜的跨站台指令檔 (XSS) 攻擊所需的最新安全性保護,讓未經授權的指令檔更容易劫持工作階段或無聲地取用敏感記錄資料。

威脅情況

攻擊者利用舊版瀏覽器的漏洞來略過電子郵件範本限制,並在 Salesforce Classic 介面內執行惡意裝載。若沒有 Stricter CSP 作為門保護程式,此指令檔可透過將工作階段權杖或敏感記錄資料洩漏至外部網域,以自由方式將簡單的頁面檢視轉換為無訊息的自動資料缺口。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

風險影響著重於資料完整性和機密性的重大缺陷,因為攻擊者可以利用舊版瀏覽器利用和跨網站指令檔來劫持工作階段或洩漏敏感公司資訊。

風險愈高時機

除了上述設定之外,停用 Lightning Web Security (LWS) 或 Lightning Locker 會大幅增加風險,因為這會移除無法讓單一入侵元件存取整個 UI 資料的關鍵命名空間隔離。此外,允許 CSP 信任 URL 中的「不安全內嵌」指令檔或無法實作 IP 工作階段鎖定和點閱綁架保護等錯誤設定會建立一個環境,讓工作階段劫持和「瀏覽器內的人」攻擊會略過標準驗證。此外,過度權限的來賓使用者設定檔或廣泛的「檢視所有資料」權限可能會將次要的指令檔插入轉變為規模完整的自動化資料缺口。

低風險或無風險的時機

將所有使用者轉換至 Lightning Experience 和現代瀏覽器會有效淘汰舊版 Salesforce Classic 和 Internet Explorer 攻擊向量,以作為主要威慑因素。此外,強制執行「多因素驗證」(MFA) 和「信任或 LOgin IP 範圍限制」可確保即使透過跨網站指令檔入侵工作階段,也無法輕鬆從未經授權的裝置或位置進行武器化。

業務與整合考量事項

實作這些控制項需要全面稽核舊版瀏覽器用量和第三方相依性,因為更嚴格的 CSP 和範本限制可能會中斷自訂 Lightning 元件、外部整合和舊版工作流程。

建議的補救措施

更新工作階段設定以啟用更嚴格的內容安全性原則。

安全性健康檢閱指南

「安全性健康檢閱」會檢查工作階段設定,包括更嚴格的 CSP,以符合安全性標準,以瞭解如何在 Lightning 頁面上載入資源。