Du er her:
Beskyttelse mot innholdssniffing
For å hindre at nettlesere feilaktig tolker filer som kjørbare skript, må Salesforce-administratorer aktivere "Aktiver beskyttelse mot innholdssniffing" i Øktinnstillinger-menyen.
Navn på kontroll
Beskyttelse mot innholdssniffing
Anbefalt konfigurasjon
- Aktiver beskyttelse mot innholdssniffing
Oppsett>Øktinnstillinger> Beskyttelse mot innholdssniffing.
Oversikt over kontroll
For å hindre at nettlesere feilaktig tolker filer som kjørbare skript, bør Salesforce-administratorer aktivere "Aktiver beskyttelse mot innholdssniffing" i Øktinnstillinger-menyen for å håndheve alternativene X-Content-Type: nosniff-hode.
Sikkerhetsrisiko hvis ikke konfigurert
Hvis du ikke aktiverer Innholdssniffing-beskyttelse, kan nettlesere ignorere serverens deklarerte filtype og "gitte" MIME-typen basert på innholdet i en fil, noe som skaper en sårbarhet der en nettleser kan utføre en harmløs fil (som en bilde- eller tekstfil) som et skadelig skript. Denne oversikten øker betydelig risikoen for skripting på tvers av nettsteder (XSS) og nedlastingsangrep fra kjøretøy.
Trusselscenarier
En angriper laster opp en skadelig JavaScript-belastning forkledd som en harmløs PNG- eller TXT-fil til en Salesforce Case- eller Experience Cloud-portal. Uten beskyttelse mot innholdssniffing aktivert "gisser" en brukers nettleser filens sanne natur og utfører det skjulte skriptet, slik at angriperen stille kan stjele brukerens aktive øktinformasjonskapsler og eksfiltrere sensitive data.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Ikke relevant
Høyere risiko når
Risikoen for MIME-sniffing er betydelig forsterket av mangel på en robust innholdssikkerhetspolicy (CSP), som ellers ville fungere som et sekundært forsvar for å blokkere utføring av uautoriserte skript.
Lav eller ingen risiko når
For å motvirke fraværet av beskyttelse mot innholdssniffing bør organisasjoner implementere en streng innholdssikkerhetspolicy (CSP) som eksplisitt blokkerer utførelse av uautoriserte eller innebygde skript, og fungerer som en sekundær brannmur mot "sniffede" nyttelast.
Distribusjon av automatisk skanning av skadelig programvare og filtype for alle opplastinger sikrer også at skadelige filer – skript forkledd som bilder – fanges opp og nøytraliseres før en nettleser noen gang har mulighet til å feiltolke dem.
Viktige punkter om virksomheten og integrasjonen
Ikke relevant
Anbefalt rettelse
Aktiver beskyttelse mot innholdssniffing.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering inspiserer øktinnstillingskonfigurasjonen for å kontrollere at Innholdssniffing-beskyttelse er aktivert, i samsvar med anbefalte fremgangsmåter i bransjen.
