免密碼登入的 Lightning Login

控制名稱

免密碼登入的 Lightning Login

建議組態

啟用 Lightning Login 時,僅允許在使用者設定檔中設定具有 Lightning Login 使用者權限的使用者:設定 Lightning Login 限制:設定>工作階段設定>允許 Lightning Login 啟用時>設定「僅允許具有 Lightning Login 使用者權限的使用者」啟用。

控制概觀

將 Lightning Login 限制為僅限具有特定「Lightning Login 使用者」權限的使用者的控制目標是確保以特權且細微的存取方法部署無密碼驗證,而非組織範圍預設值。這可確保只有經檢查且獲指派適當安全性設定檔的授權人員可以略過傳統密碼輸入,進而將攻擊的出現降到最低,並防止一般使用者族群未經授權或不小心註冊以生物特徵為基礎的驗證。實作 SSO 時會減少此數量,不過,由於 SSO 可能不會套用至所有設定檔,因此當啟用 Lightning Login 時,未使用「啟用 SSO」設定的設定檔將會啟用 Lightning Login。

未設定安全性風險

已暫時破壞使用者工作階段以連結惡意裝置的未經授權攻擊者存取的風險增加,進而建立可略過傳統密碼原則且難以重新保護帳戶的永久性高度保證路徑。

威脅情況

攻擊者短暫劫持使用者的工作階段 (或無人陪同的筆記型電腦上的惡意內部人員) 會為 Lightning Login 註冊自己的生物識別功能裝置,因為該功能不受特定使用者權限的限制。註冊後,攻擊者可以略過所有未來密碼提示,以獲得 Salesforce 組織的永久且快速存取權,有效地建立對敏感資料的永久、無法追蹤後端。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

風險嚴重性取決於登入時授與的使用者族群大小和存取權限。

風險愈高時機

• 沒有集中化使用者驗證 (例如 SSO)
• 使用者身分驗證未準備就緒 (MFA 或其他)
• 針對管理員使用者,不會在安全的「庫存」中管理休息玻璃帳戶

低風險或無風險的時機

當組織層級的 Lightning Login 未啟用時,當實作下列一或多個項目時,此控制項可視為低度風險:

• 「MFA 強制執行」或身分驗證已準備就緒:為 Salesforce 使用者強制執行 MFA
• SSO 已適用於所有使用者:針對所有使用者設定檔強制執行集中驗證
• Break Glass 帳戶受到保護:管理員使用者帳戶會從 SSO 中排除,但會在「特權帳戶管理」庫中保護
• 網路層的 IP 登入限制:具有修改設定權限之使用者的 IP 登入限制

業務與整合考量事項

客戶應評估可使用認證登入的使用者,並將使用認證的直接登入最小化。

建議的補救措施

對具有 Lightning Login 權限的已授權使用者強制執行 Lightning Login 限制。

安全性健康檢閱指南

Security Health Review 會評估 Lightning Login 設定,確保當啟用時,Lightning Login 設定為僅允許授權使用者或具有 Lightning Login 權限的使用者。遵循零 Trust 與最低權限作法來保護平台的安全。