ログイン IP アドレスの制限

コントロール名

ユーザープロファイルのログイン IP アドレスの制限

推奨設定

[ログイン IP アドレスの制限] は、ユーザープロファイルで [設定] [プロファイルのログイン IP アドレスの制限] の順に選択します。

制御の概要

プロファイルレベルのログイン IP アドレスの制限は、Salesforce アクセスを、承認された会社が管理するネットワーク環境 (会社の VPN やオフィスの IP アドレスなど) のみに制限することで、ゼロTrust境界を適用します。このプロファイルとネットワーク層防御の組み合わせにより、ユーザーのログイン情報が盗まれた場合でも、攻撃者は外部の信頼できない場所からログインできず、リモートの不正アクセスの試みを効果的に無効化できます。

設定されていない場合のセキュリティリスク

パスワードが侵害されたり、セッショントークンが盗まれたりすると、攻撃者はあらゆる場所やデバイスからグローバルに使用できます。ログイン IP アドレスの制限がないと、CRM を地理的および論理的に防御することができなくなり、セキュアな企業ネットワークまたは VPN の外部で発生したリモート不正アクセスにデータがさらされます。

脅威のシナリオ

ログイン情報を盗んだ攻撃者は、内部セキュリティ境界を完全に迂回して、外部 IP アドレスまたは公衆 Wi-Fi ネットワークからログインできます。接続をブロックするログイン IP アドレスの制限がないため、機密性の高い CRM データを黙って持ち出したり、世界中のどこからでもシステム設定を変更したりできます。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

リスクの重要度は、ログイン時に付与されるユーザー母集団の規模とアクセス権限によって異なります。

より高いリスク

ユーザー ID 検証が設定されていない (MFA など) セッションが、セッションを制限するセッションコントロールを使用して設定されていない。これには次のものが含まれます。

• 無効なセッションタイムアウトポリシー
• Overly Permissive Access Scope (過度に許可されているアクセス範囲)

Low or No Risk When (低リスクまたは無リスクの場合)

この制御は、次のいずれか 1 つ以上が実装されている場合は、低リスクとみなすことができます。

• MFA の適用または ID 検証が実施されている: Salesforce ユーザーに MFA が適用されている
• ネットワーク層での IP ログイン制限: 設定を変更する権限を持つユーザーの IP ログイン制限
• ログインタイムアウト: ユーザーが Salesforce からログアウトすると、サービスプロバイダーから自動的にログアウトされます。
• シングルログアウト: シングルログアウトは、ユーザーがログアウトした後にすべてのバックグラウンドセッションが確実にログアウトされるように設定します。
• 厳格なパスワードポリシー: 頻繁なパスワードの循環/有効期限を含む厳格なパスワードポリシーを適用

ビジネスと統合に関する考慮事項

顧客は、ユーザーのエンドポイントのエントリポイントと、各ユーザープロファイルが公開されるデータを評価する必要があります。

推奨される修復

組織のプロファイルごとにログイン IP アドレスを設定します。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

Security Health Review では、IP 範囲に関連するプラットフォーム設定が識別されます。IP 範囲の設定は、ネットワーク設定または組織 (信頼済み IP 範囲) またはプロファイルレベル (ログイン IP 範囲) で設定できます。