內容探查保護

控制名稱

內容探查保護

建議組態

• 啟用內容探查保護

設定>工作階段設定>內容探查保護。

控制概觀

為了防止瀏覽器將檔案錯誤解譯為可執行指令檔,Salesforce 管理員應在「工作階段設定」功能表中啟用「啟用內容探查保護」,以強制執行 X-Content-Type-Options:nosniff 標頭。

未設定安全性風險

不啟用「內容探查保護」可讓瀏覽器忽略伺服器的宣告檔案類型,並根據檔案內容「猜出」MIME 類型,進而造成瀏覽器以惡意指令檔執行無害的檔案 (例如影像或文字檔案) 的漏洞。此監視會大幅增加「跨網站指令檔」(XSS) 和驅動式下載攻擊的風險。

威脅情況

攻擊者將偽裝為無害 .png 或 .txt 檔案的惡意 JavaScript 裝載上載至 Salesforce Case 或 Experience Cloud 入口網頁。在未啟用內容探查保護的情況下,無疑的使用者瀏覽器會「猜出」檔案的真實性質並執行隱藏的指令檔,讓攻擊者無聲地竊取使用者啟用的工作階段 Cookie 並篩選敏感資料。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

無

風險愈高時機

由於缺乏強大的內容安全性原則 (CSP),否則會作為封鎖執行未經授權指令檔的次要防禦措施,因此 MIME 探查的風險會大幅增加。

低風險或無風險的時機

為了抵銷內容探查保護的缺少,組織應實作嚴格的內容安全性原則 (CSP),以明確封鎖未經授權或內嵌指令檔的執行,作為針對「探查」裝載的次要防火牆。

此外,針對所有上載部署自動化惡意軟體和檔案類型掃描,可確保在瀏覽器有機會誤解惡意檔案之前,會攔截和中斷偽裝成影像的指令檔案。

業務與整合考量事項

無

建議的補救措施

啟用內容探查保護。

安全性健康檢閱指南

「安全性健康檢閱」會檢查「工作階段設定」組態,確認已啟用「內容探查保護」,並符合產業最佳作法。