クロスサイトリクエストフォージェリ (CSRF) 保護

コントロール名

CSRF 保護

推奨設定

• 設定ページ以外の GET 要求の CSRF 保護を有効化
• 設定ページ以外の POST 要求の CSRF 保護を有効化

[設定] > [セッション設定] > [クロスサイトリクエストフォージェリ (CSRF) 保護] > [すべてのオプションを有効化]。

制御の概要

Salesforce セッション設定で CSRF 保護を有効にすると、非設定ページで状態を変更するすべての要求 (POST など) に一意の暗号学的にランダムなトークンを挿入することで、環境が保護されます。

次に、プラットフォームはユーザーの有効なセッションに対してこのトークンを検証し、要求が正当なユーザー操作から発信されていることを確認します。これにより、悪意のある Web サイトがブラウザーをだましてユーザーの代理で不正なコマンドを実行できないようにします。

設定されていない場合のセキュリティリスク

CSRF 保護を無効にすると、Salesforce 環境がクロスサイト要求偽造 (CSRF) 攻撃に対して脆弱になります。悪意ある Web サイトでは、ユーザーのブラウザーをだまして、レコードの削除やセキュリティ設定の変更などの不正な状態変更コマンドを Knowledge なしに実行してしまう可能性があります。これらの要求は認証済みユーザーの権限を継承するため、管理アカウントに対する攻撃によって組織のデータと設定が完全に侵害される可能性があります。

脅威のシナリオ

一般的な脅威シナリオでは、攻撃者は認証済み Salesforce ユーザーをだまして悪意のある Web サイトにアクセスさせたり、リンクをクリックして Salesforce インスタンスへの非表示のクロスサイト要求をトリガーしたりします。

ブラウザにはユーザーの有効なセッション Cookie が自動的に含まれるため、要求の発生源を検証するための有効な反 CSRF トークンがない Salesforce は、正当な方法でコマンドを実行します。これにより、攻撃者はユーザーの Knowledge なしにレコードの削除、セキュリティ設定の変更、またはユーザーの権限のエスカレーションを行うことができる可能性があります。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

リスクの影響には、データの機密性と整合性が完全に侵害され、権限のないアクターが管理アクションを実行したり、機密情報を取得したりして、財務上、法律上、および評判上の壊滅的な損害が発生する可能性があります。

より高いリスク

すでに説明した設定以外にも、[セッションをセッションの送信元の IP アドレスにロックする] や [クリックジャック保護を有効化] の無効化などの設定ミスによってリスクプロファイルが大幅に増幅されます。

IP ロックを使用しない場合、乗っ取られたセッション ID やブラウザーの永続的キャッシュから取得されたデータは、攻撃者が任意の場所から使用できます。一方、無効なクリックジャック保護では、悪意のあるサイトが Salesforce 組織で非表示のフレームを重ね、CSRF 保護を迂回するアクションをユーザーに実行させることができます。さらに、セッションタイムアウトを長く維持したり、「セッションタイムアウト時に強制的にログアウト」に失敗したりすると、攻撃者が無人または共有ワークステーションでこれらの脆弱性を悪用する可能性があります。

Low or No Risk When (低リスクまたは無リスクの場合)

プライマリセッションまたはキャッシュコントロールがない場合にこれらのリスクを最小限に抑えるために、多要素認証 (MFA) と IP 範囲制限を実装して、セッションが乗っ取られたりキャッシュされたデータが漏洩したりしても、信頼できないデバイスや場所から簡単に利用できないようにします。

さらに、Salesforce Shieldイベント監視と厳格なオブジェクト/項目レベル セキュリティを使用すると、フロントエンドCSRFまたはキャッシュ ベースの攻撃が試行された場合でも、サーバー側の権限によって不正なアクションを防止しながら、異常なデータのエクスポートをリアルタイムで検出できます。

ビジネスと統合に関する考慮事項

厳格な CSRF とセッション適用では、自動化されたセキュリティトークンをネイティブに処理しない従来のインテグレーション、サードパーティ iFrame、またはカスタム API ワークフローが中断される可能性があるため、これらの制御を実装するには、強化されたセキュリティとシステムの相互運用性のバランスを取る必要があります。

推奨される修復

セッション設定で CSRF 保護を有効にします。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

セキュリティ状態レビューでは、セッション設定を検査して、セキュリティのベストプラクティスに従ってクロスサイト要求フォージェリ保護が有効になっていることを確認します。