Proteção contra falsificação de solicitações entre sites (CSRF)

Nome do controle

Proteção CSRF

Configuração recomendada

• Ativar proteção CSRF em solicitações GET em páginas não relacionadas à configuração
• Ativar proteção CSRF em solicitações POST em páginas não relacionadas à configuração

Configuração>Configurações de sessão>Proteção contra falsificação de solicitação entre sites (CSRF)>Habilitar todas as opções.

Visão geral de controle

Habilitar a Proteção CSRF nas configurações de sessão do Salesforce protege seu ambiente injetando um token aleatório criptograficamente exclusivo em cada solicitação de alteração de estado (como POST) em páginas não de configuração.

A plataforma então valida esse token em relação à sessão ativa do usuário para garantir que a solicitação tenha se originado de uma interação de usuário legítima, impedindo de modo eficaz que sites mal-intencionados enganem um navegador para executar comandos não autorizados em nome do usuário.

Risco de segurança, se não configurado

Desabilitar a Proteção CSRF torna seu ambiente do Salesforce vulnerável a ataques de Falsificação de solicitação entre sites (CSRF), em que um site malicioso pode enganar o navegador do usuário para executar comandos não autorizados que mudam de estado, como excluir registros ou modificar configurações de segurança, sem o Knowledge. Como essas solicitações herdam as permissões do usuário autenticado, um ataque contra uma conta administrativa pode resultar em um compromisso total dos dados e da configuração da organização.

Cenários de ameaça

Em um cenário de ameaça típico, um invasor induz um usuário do Salesforce autenticado a visitar um site malicioso ou clicar em um link que aciona uma solicitação oculta entre sites para sua instância do Salesforce.

Como o navegador inclui automaticamente os cookies de sessão ativa do usuário, o Salesforce (sem um token anti-CSRF válido para verificar a origem da solicitação) executa legalmente o comando, possivelmente permitindo ao invasor excluir registros, modificar configurações de segurança ou escalar seus próprios privilégios sem o Knowledge do usuário.

Intervalo de pontuação de CVSS estimado

Crítico (9.0 a 10.0).

Considerações sobre impacto de risco

O impacto do risco engloba um compromisso total de confidencialidade e integridade de dados, em que atores não autorizados podem executar ações administrativas ou coletar informações confidenciais, levando a danos financeiros, legais e de reputação catastróficos.

Risco maior quando

Além das configurações já discutidas, configurações incorretas, como desabilitar "bloquear sessões para o endereço IP do qual elas se originam" e "Ativar proteção contra clickjack", amplificam significativamente seu perfil de risco.

Sem bloqueio de IP, um ID de sessão sequestrado ou dados coletados do cache persistente de um navegador podem ser usados por um invasor de qualquer local, enquanto a proteção contra clickjack desabilitada permite que sites mal-intencionados sobreponham quadros invisíveis em sua organização do Salesforce, enganando os usuários para realizar ações que contornam as proteções CSRF. Além disso, manter tempos limite de sessão longos ou falhar em "Forçar logout no tempo limite de sessão" estende a janela de oportunidade para um invasor explorar essas vulnerabilidades em estações de trabalho compartilhadas ou sem assistência.

Baixo ou Sem risco quando

Para minimizar esses riscos quando os controles de cache ou sessão primária estiverem ausentes, implemente a Autenticação multifator (MFA) e as Restrições de intervalo de IP para garantir que, mesmo que uma sessão seja sequestrada ou dados em cache sejam expostos, eles não possam ser facilmente utilizados de um dispositivo ou local não confiável.

Além disso, o Monitoramento de evento do Salesforce Shield e a segurança de objeto/campo rígida permitem detectar exportações de dados anômalas em tempo real, garantindo que as permissões no lado do servidor impeçam ações não autorizadas mesmo que um ataque CSRF de front-end ou baseado em cache seja tentado.

Considerações de negócios e integração

Implementar esses controles requer equilibrar a segurança aprimorada com a interoperabilidade do sistema, pois a imposição de CSRF e sessão rígida podem interromper integrações legadas, iFrames de terceiros ou fluxos de trabalho de API personalizados que não lidam nativamente com tokens de segurança automatizados.

Remediação recomendada

Habilite a proteção CSRF nas configurações da sessão.

Diretriz de revisão de saúde de segurança

A Análise de integridade de segurança inspeciona as configurações da sessão para verificar se a proteção contra falsificação de solicitação entre sites está habilitada de acordo com as práticas recomendadas de segurança.