Ti trovi qui:
Lightning Login per accessi senza password
L'obiettivo di controllo di limitare Lightning Login solo agli utenti con l'autorizzazione specifica "Utente Lightning Login" è assicurarsi che l'autenticazione senza password venga distribuita come metodo di accesso privilegiato e granulare anziché come impostazione predefinita a livello di organizzazione.
Nome controllo
Lightning Login per Accesso senza password
Configurazione consigliata
Quando Lightning Login è abilitato, consenti solo per gli utenti con l'autorizzazione utente Lightning Login configurata nel profilo utente: Restrizione Imposta Lightning Login: Imposta>Impostazioni di sessione>Quando è abilitato Lightning Login>Impostare l'opzione Consenti solo per gli utenti con l'autorizzazione utente Lightning Login su abilitata.
Panoramica sul controllo
L'obiettivo di controllo di limitare Lightning Login solo agli utenti con l'autorizzazione specifica "Utente Lightning Login" è garantire che l'autenticazione senza password venga distribuita come metodo di accesso privilegiato e granulare anziché come impostazione predefinita a livello di organizzazione. Ciò garantisce che solo il personale autorizzato che è stato controllato e assegnato al profilo di sicurezza appropriato possa ignorare l'immissione tradizionale delle password, riducendo al minimo la superficie di attacco e impedendo l'iscrizione non autorizzata o accidentale all'autenticazione biometrica da parte della popolazione generale degli utenti. Questo viene ridotto quando viene implementato SSO, tuttavia, poiché SSO potrebbe non essere applicato a tutti i profili, quando Lightning Login è abilitato, i profili che non sono configurati con Abilita SSO avranno Lightning Login abilitato.
Rischio per la sicurezza se non configurato
Aumenta il rischio di accesso da parte di un attacco non autorizzato che ha compromesso temporaneamente la sessione di un utente per collegare un dispositivo rogue, creando un percorso High Assurance persistente che ignora le policy sulle password tradizionali e rende l'account significativamente più difficile da proteggere nuovamente.
Scenari di minaccia
Un aggressore che ha eseguito un breve dirottamento della sessione di un utente, o un utente malintenzionato su un computer portatile incustodito, iscrive il proprio dispositivo biometrico a Lightning Login perché la funzione non è limitata da autorizzazioni utente specifiche. Una volta iscritto, l'autore dell'attacco può ignorare tutti i prompt di password futuri per ottenere un accesso persistente e ad alta velocità all'organizzazione Salesforce, creando di fatto una backdoor permanente e non tracciabile nei dati sensibili.
Intervallo di punteggi CVSS stimato
Critico (9.0–10.0).
Considerazioni sull'impatto del rischio
La gravità del rischio dipende dalle dimensioni della popolazione degli utenti e dai privilegi di accesso concessi al momento dell'accesso.
Rischio maggiore quando
- L'autenticazione utente centralizzata (ad esempio SSO) non è disponibile
- La verifica dell'identità dell'utente non è attiva (MFA o altri)
- Per gli utenti amministratori, l'account break glass non è gestito in un Vault protetto
Rischio basso o nullo quando
Quando Lightning Login a livello di organizzazione non è abilitato Questo controllo può essere considerato a basso rischio quando vengono implementate una o più delle seguenti operazioni:
- L'imposizione della MFA o la verifica dell'identità è attiva: La MFA viene applicata per gli utenti Salesforce
- SSO è disponibile per tutti gli utenti: L'autenticazione centralizzata è imposta per tutti i profili utente
- L'account Break Glass è protetto: Gli account degli utenti amministratori sono esclusi da SSO ma protetti in un vault di gestione account con privilegi
- Limitazione di accesso IP a livello di rete: Limitazione di accesso IP per gli utenti con privilegi di modifica dell'impostazione
Considerazioni su Business e integrazione
I clienti devono valutare gli utenti che possono accedere con le credenziali e ridurre al minimo l'accesso diretto con le credenziali.
Rimedio consigliato
Applicare la restrizione Lightning Login agli utenti autorizzati con autorizzazione Lightning Login.
Guida all'esame dello stato della sicurezza
Security Health Review valuta l'impostazione di Lightning Login assicurando che, quando abilitato, Lightning Login sia configurato in modo da consentire solo gli utenti autorizzati o con l'autorizzazione Lightning Login. In linea con le pratiche di zero Trust e di privilegi minimi per proteggere la piattaforma.
