Identiteitsleverancier

Controlenaam

Configuratie en validatie van identiteitsleveranciers

Aanbevolen configuratie

Configureer, valideer en controleer regelmatig de set-up van Salesforce Identity Provider om ervoor te zorgen dat ze correct worden bereikt en veilig worden geïntegreerd.

Overzicht van besturingselementen

Met de set-up van Identiteitsleverancier kan Salesforce de IdP zijn waarmee gebruikers kunnen inloggen bij Salesforce en vervolgens toegang hebben tot de andere externe toepassingen die als Serviceproviders worden vermeld zonder opnieuw in te loggen. De juiste configuratie zorgt ervoor dat authenticatiedefinities veilig worden verzonden via veilige ondertekeningsalgoritmen, toegangsbereiken worden geconfigureerd met de juiste toegangscontrole.

Beveiligingsrisico indien niet geconfigureerd

Verkeerd geconfigureerde IdP-instellingen kunnen Salesforce in staat stellen buitensporige toegang, onvolledige offboarding met ongeoorloofde accountovername of toegang tot de verbonden serviceproviders en ook Salesforce via zijdelingse verplaatsing te bieden.

Dreigingsscenario's

Acceptatie van vervalste of opnieuw afgespeelde authenticatietokens, ongeautoriseerde gebruikersprofielen via verkeerd geconfigureerde IdP-toewijzingen, Trust relaties met verouderde of gecompromitteerde IdP's, misbruik van te tolerante providerconfiguraties.

Geschatte CVSS-scorebereik

Kritiek (9,0–10,0).

Overwegingen bij risico-impact

De ernst van het risico is afhankelijk van het aantal externe toepassingen dat is verbonden als Serviceproviders geconfigureerd, de grootte van de gebruikerspopulatie, toegangsprivileges die zijn verleend bij inloggen, en of aanbieders extern worden beheerd of op de consument zijn gericht.

Hoger risico wanneer

De set-up van de identiteitsleverancier is niet geconfigureerd met een sterk definitiebeveiligingsalgoritme en buitensporige machtigingenbereiken.

Laag of geen risico wanneer

Deze controle kan als laag risico worden beschouwd wanneer een of meer van de volgende zaken worden geïmplementeerd:

• Periodieke beoordeling van serviceproviders: Controleer toepassingen die zijn verbonden met Salesforce als serviceproviders en krijg inzicht in de risico's.
• Certificaatbeheer: Controleer periodiek het certificaat dat wordt gebruikt om uw organisatie in staat te stellen te communiceren met de serviceprovider. Gebruik vertrouwde CA voor certificaat.
• Geforceerde authenticatie geconfigureerd: Ervoor zorgen dat gebruikers die al zijn ingelogd bij Salesforce, hun inloggegevens opnieuw moeten opgeven wanneer ze toegang proberen te krijgen tot de serviceprovider.
• Veilige kenmerktoewijzing: Gebruikerskenmerken en leveringsregels zijn strikt gericht op het afdwingen van de minste rechten.
• Time-out bij inloggen: Log gebruikers automatisch uit bij de serviceprovider wanneer ze uitloggen bij Salesforce.
• Metagegevensbeheer: Eindpunten voor ontdekking van metagegevens worden actueel gehouden en periodiek beoordeeld.
• MFA-afdwinging: MFA wordt afgedwongen voor Salesforce-gebruikers
• IP-inlogbeperking: IP-inlogbeperking voor gebruikers met machtigingen om de set-up te wijzigen
• Besturingselementen voor governance: Salesforce Set-up wordt centraal beheerd, gedocumenteerd en beoordeeld als onderdeel van identiteitslevenscyclusbeheer.

Overwegingen bij bedrijf en integratie

Klanten moeten de zakelijke rechtvaardiging voor elke authenticatieleverancier evalueren, met name voor consumentenidentiteitsplatforms, en ervoor zorgen dat deze overeenkomt met het toegangsbeleid, de wettelijke vereisten en de verwachtingen van de gebruikerservaring.

Aanbevolen oplossing

Controleer alle geconfigureerde IdP-instellingen, verbonden serviceproviders, schakel ongebruikte of niet-vertrouwde aanbieders uit, valideer metagegevens en certificaten van aanbieders, beperk kenmerktoewijzingen, dwing MFA af en stel periodieke governancebeoordelingen op.

Begeleiding bij beoordeling van beveiligingstoestand

Beoordeling van beveiligingstoestand identificeert een IdP-set-up die is geconfigureerd in Salesforce om klanten te helpen het risico van identiteitsbundeling te verminderen, ongeoorloofde toegang te voorkomen met door Salesforce aanbevolen beveiligingsbaselines en Zero Trust principes door verbonden serviceproviders en IdP-set-up te identificeren.