Вы находитесь здесь:
Управление защитой от нюхания содержимого
Чтобы предотвратить неправильную интерпретацию файлов обозревателями в качестве исполняемых сценариев, администраторы Salesforce должны включить «Включение защиты от прослушивания содержимого» в меню параметров сеанса.
Управление именем
Защита от прослушивания содержимого
Рекомендованная конфигурация
- Включить защиту от сниффинга MIME
Настройка>Параметры сеанса>Защита от прослушивания содержимого.
Общие сведения о контроле
Чтобы предотвратить неправильную интерпретацию файлов обозревателями в качестве исполняемых сценариев, администраторы Salesforce должны включить «Включение защиты от нюхания содержимого» в меню параметров сеанса для внедрения параметров X-Content-Type: заголовок nosniff.
Риск безопасности, если он не настроен
Отключение защиты от прослушивания содержимого позволяет обозревателям игнорировать заявленный тип файла сервера и «угадывать» тип MIME на основе содержимого файла, создавая уязвимость, при которой обозреватель может выполнить безобидный файл (например, изображение или текстовый файл) в качестве вредоносного сценария. Эта оплошность значительно повышает риск межсайтовых сценариев (XSS) и атак загрузки проезжающих мимо.
Сценарии угроз
Взломщик загружает вредоносную полезную нагрузку JavaScript, замаскированную под безвредный файл .png или .txt, на портал Salesforce Case или Experience Cloud. Без включенной защиты от прослушивания содержимого обозреватель ничего не подозревающего пользователя «угадывает» истинную природу файла и выполняет скрытый сценарий, позволяя злоумышленнику негласно украсть активные cookie-файлы сеанса пользователя и извлечь конфиденциальные данные.
Примерный диапазон оценки CVSS
Критические (9,0-10,0).
Рекомендации по влиянию риска
—
Повышенный риск при
Риск сканирования MIME значительно усугубляется отсутствием надежной политики безопасности содержимого (CSP), которая в противном случае служила бы дополнительной защитой для блокировки выполнения несанкционированных сценариев.
Низкий или нулевой риск при
Чтобы компенсировать отсутствие защиты от прослушивания содержимого, организации должны внедрить строгую политику безопасности содержимого (CSP), которая четко блокирует выполнение несанкционированных или встроенных сценариев, выступая в качестве дополнительного брандмауэра против «пронюханных» полезных данных.
Кроме того, развертывание автоматических вредоносных программ и сканирование типов файлов для всех загрузок обеспечивает перехват и нейтрализацию вредоносных файлов — сценариев, замаскированных под изображения, — прежде чем обозреватель сможет их неправильно интерпретировать.
Рекомендации по бизнесу и интеграции
—
Рекомендованное исправление
Включите защиту от прослушивания содержимого.
Руководство по проверке состояния безопасности
Проверка состояния безопасности проверяет конфигурацию параметров сеанса для проверки включения защиты от нюха содержимого, в соответствии с рекомендациями отрасли.
