Usted está aquí:
Lightning Login para inicios de sesión sin contraseña
El objetivo de control de restringir Lightning Login solo a usuarios con el permiso específico "Lightning Login User" es asegurarse de que la autenticación sin contraseña se implementa como un método de acceso granular privilegiado en vez de un valor predeterminado de toda la organización.
Nombre de control
Lightning Login para inicio de sesión sin contraseña
Configuración recomendada
Cuando Lightning Login está activado, permita solo para usuarios con el permiso de usuario Lightning Login configurado en el perfil de usuario: Restricción de Configuración Lightning Login: Configuración>Configuración de sesión>Cuando permitir Lightning Login activado>Establezca Permitir solo para usuarios con el permiso de usuario Lightning Login como activado.
Descripción general de control
El objetivo de control de restringir Lightning Login solo a usuarios con el permiso específico "Lightning Login User" es garantizar que la autenticación sin contraseña se implemente como un método de acceso granular privilegiado en vez de un valor predeterminado de toda la organización. Esto garantiza que solo el personal autorizado que ha sido examinado y asignado el perfil de seguridad apropiado pueda omitir la introducción de contraseñas tradicional, minimizando así la superficie de ataque y evitando la inscripción no autorizada o accidental en autenticación basada en datos biométricos por la población de usuarios general. Esto se reduce cuando se implementa SSO, sin embargo, como SSO puede no aplicarse a todos los perfiles, cuando Lightning Login está activado, los perfiles que no están configurados con Activar SSO tendrán Lightning Login activado.
Riesgo de seguridad si no está configurado
Mayor riesgo de acceso por atacantes no autorizados que han comprometido temporalmente la sesión de un usuario para vincular un dispositivo erróneo, creando una ruta persistente de alta seguridad que omite las políticas de contraseña tradicionales y hace que la cuenta sea significativamente más difícil de volver a proteger.
Escenarios de amenazas
Un atacante que ha secuestrado brevemente la sesión de un usuario (o un usuario privilegiado malicioso en un portátil desatendido) inscribe su propio dispositivo con capacidad biométrica para Lightning Login porque la función no está restringida por permisos de usuario específicos. Una vez inscrito, el atacante puede omitir todas las solicitudes de contraseña futuras para obtener acceso persistente y de alta velocidad a la organización de Salesforce, creando de forma efectiva una puerta trasera permanente no rastreable en datos confidenciales.
Intervalo de puntuación de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones sobre el impacto del riesgo
La gravedad del riesgo depende del tamaño de la población de usuarios y los privilegios de acceso otorgados al iniciar sesión.
Riesgo más alto cuando
- La autenticación de usuario centralizada (como SSO) no está establecida
- La verificación de identidad de usuario no está establecida (MFA u otros)
- Para usuarios administradores, la cuenta de break glass no se gestiona en una bóveda segura
Riesgo bajo o nulo cuando
Cuando Lightning Login a nivel de organización no está activado Este control puede considerarse de bajo riesgo cuando se implementa una o más de las siguientes opciones:
- Aplicación de MFA o verificación de identidad está en vigor: MFA se aplica para usuarios de Salesforce
- SSO está vigente para todos los usuarios: La autenticación centralizada está en vigor para todos los perfiles de usuario
- La cuenta de Break Glass está protegida: Las cuentas de usuarios administradores se excluyen de SSO, pero se protegen en un Bóveda de gestión de cuentas privilegiada
- Restricción de inicio de sesión de IP en la capa de red: Restricción de inicio de sesión de IP para usuarios con privilegios para modificar la configuración
Consideraciones comerciales y de integración
Los clientes deben evaluar los usuarios que pueden iniciar sesión utilizando credenciales y minimizar el inicio de sesión directo con credenciales.
Remediación recomendada
Aplique la restricción Lightning Login a usuarios autorizados con permiso Lightning Login.
Directrices de revisión del estado de seguridad
Security Health Review evalúa la configuración Lightning Login garantizando que cuando se activa, Lightning Login está configurado para permitir solo usuarios autorizados o usuarios con el permiso Lightning Login. En alineación con prácticas de Trust cero y menos privilegios para proteger la plataforma.
