Sie befinden sich hier:
Lightning Login für Anmeldungen ohne Kennwort
Das Steuerziel der Beschränkung von Lightning Login auf Benutzer mit der speziellen Berechtigung "Lightning Login-Benutzer" besteht darin, sicherzustellen, dass die Authentifizierung ohne Kennwort als privilegierte, granulare Zugriffsmethode und nicht als organisationsweite Standardeinstellung bereitgestellt wird.
Steuerelementname
Lightning Login für die Anmeldung ohne Kennwort
Empfohlene Konfiguration
Wenn Lightning Login aktiviert ist, lassen Sie dies nur für Benutzer zu, für die die Lightning Login-Benutzerberechtigung im Benutzerprofil konfiguriert ist: Einschränkung für Setup Lightning Login: Setup>Sitzungseinstellungen>Wenn Lightning Login zulassen aktiviert ist>Setzen Sie die Option Nur für Benutzer mit der Benutzerberechtigung Lightning Login zulassen auf aktiviert.
Steuerelementübersicht
Das Steuerziel der Beschränkung von Lightning Login auf Benutzer mit der speziellen Berechtigung "Lightning Login-Benutzer" besteht darin, sicherzustellen, dass die Authentifizierung ohne Kennwort als privilegierte, granulare Zugriffsmethode und nicht als organisationsweite Standardeinstellung bereitgestellt wird. Dadurch wird sichergestellt, dass nur autorisiertes Personal, das überprüft und mit dem entsprechenden Sicherheitsprofil ausgestattet wurde, die herkömmliche Kennworteingabe umgehen kann. Dadurch wird die Angriffsfläche minimiert und eine unbefugte oder versehentliche Registrierung bei der biometrischen Authentifizierung durch die allgemeine Benutzerpopulation verhindert. Dies wird jedoch reduziert, wenn SSO implementiert wird, da SSO möglicherweise nicht auf alle Profile angewendet wird. Wenn Lightning Login aktiviert ist, wird Lightning Login für Profile aktiviert, die nicht mit "SSO aktivieren" konfiguriert sind.
Sicherheitsrisiko, wenn nicht konfiguriert
Erhöhtes Risiko des Zugriffs durch nicht autorisierte Angreifer, die vorübergehend die Sitzung eines Benutzers zum Verknüpfen eines Schurkengeräts kompromittiert haben, wodurch ein persistenter Pfad mit hoher Sicherung geschaffen wird, der herkömmliche Kennwortrichtlinien umgeht und die erneute Sicherung des Accounts erheblich erschwert.
Bedrohungsszenarien
Ein Angreifer, der die Sitzung eines Benutzers kurzzeitig gekapert hat (oder ein bösartiger Insider auf einem unbeaufsichtigten Laptop), registriert sein eigenes biometrisches Gerät für Lightning Login, da die Funktion nicht durch bestimmte Benutzerberechtigungen eingeschränkt ist. Nach der Registrierung kann der Angreifer alle künftigen Kennwortaufforderungen umgehen, um dauerhaften Hochgeschwindigkeitszugriff auf die Salesforce-Organisation zu erhalten und so effektiv einen dauerhaften und nicht auffindbaren Hintergrund für sensible Daten zu schaffen.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Der Risikoschweregrad hängt von der Benutzerpopulationsgröße und den Zugriffsberechtigungen ab, die bei der Anmeldung gewährt werden.
Höheres Risiko, wenn
- Zentrale Benutzerauthentifizierung (z. B. SSO) ist nicht vorhanden
- Benutzeridentitätsüberprüfung ist nicht vorhanden (MFA oder andere)
- Für Administratorbenutzer wird der Bruchglasaccount nicht in einem sicheren Tresor verwaltet.
Geringes oder kein Risiko, wenn
Wenn Lightning Login auf Organisationsebene nicht aktiviert ist, kann dieses Steuerelement als gering eingestuft werden, wenn eine oder mehrere der folgenden Aktionen implementiert sind:
- Die MFA-Erzwingung oder Identitätsüberprüfung ist vorhanden: Die MFA wird für Salesforce-Benutzer erzwungen
- SSO ist für alle Benutzer verfügbar: Die zentralisierte Authentifizierung wird für alle Benutzerprofile erzwungen
- Break Glass-Account ist geschützt: Accounts von Administratorbenutzern werden aus SSO ausgeschlossen, jedoch in einem Tresorfach für die Accountverwaltung geschützt
- IP-Anmeldeeinschränkung auf Netzwerkebene: IP-Anmeldeeinschränkung für Benutzer mit Berechtigungen zum Ändern des Setups
Überlegungen zu Unternehmen und Integration
Kunden sollten Benutzer auswerten, die sich mit Anmeldeinformationen anmelden können, und die direkte Anmeldung mit Anmeldeinformationen minimieren.
Empfohlene Sanierung
Lightning Login Einschränkung auf autorisierte Benutzer mit Lightning Login Berechtigung erzwingen.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung wertet das Lightning Login Setup aus, um sicherzustellen, dass bei Aktivierung der Lightning Login nur autorisierte Benutzer oder Benutzer mit der Berechtigung "Lightning Login" zugelassen sind. Im Einklang mit Zero Trust und Vorgehensweisen mit den geringsten Berechtigungen zum Schützen der Plattform.
