Sie befinden sich hier:
Verwalten von OAuth-Zugriffsrichtlinien für eine verbundene Anwendung: IP-Relaxation
Diese Steuerung bestimmt, ob für eine verbundene Anwendung ausgestellte OAuth-Zugriffstoken auf vertrauenswürdige IP-Bereiche beschränkt sind.
Steuerelementname
Verwalten von OAuth-Zugriffsrichtlinien für verbundene Anwendungen – IP-Relaxation
Empfohlene Konfiguration
Wählen Sie "IP-Einschränkungen erzwingen" aus.
Steuerelementübersicht
Diese Steuerung bestimmt, ob für eine verbundene Anwendung ausgestellte OAuth-Zugriffstoken auf vertrauenswürdige IP-Bereiche beschränkt sind. Durch das Erzwingen von IP-Einschränkungen wird eine netzwerkbasierte Sicherheitsebene hinzugefügt, die die Tokennutzung auf genehmigte Standorte begrenzt.
Sicherheitsrisiko, wenn nicht konfiguriert
Wenn IP-Einschränkungen nicht erzwungen werden, können OAuth-Token von jedem Netzwerkstandort aus verwendet werden. Ein kompromittiertes Token könnte aus nicht vertrauenswürdigen Netzwerken wiedergegeben werden, was das Risiko von nicht autorisiertem API-Zugriff und Datenoffenlegung erhöht.
Bedrohungsszenarien
Tokenwiedergabe aus externen Netzwerken, Missbrauch langlebiger OAuth-Token, nicht autorisierter Zugriff durch kompromittierte Integrationen.
Geschätzter CVSS-Bewertungsbereich
Mittel bis Hoch (6,0–8,5).
Überlegungen zu Risikoauswirkungen
Der Risikoschweregrad hängt von den Berechtigungen der verbundenen Anwendung, der Tokenlebensdauer, der Integrationsexponierung und davon ab, ob die Integration dem Internet zugewandt oder intern eingeschränkt ist.
Höheres Risiko, wenn
Verbundene Anwendungen verfügen über allgemeine oder berechtigte Berechtigungen, Token sind langlebig und Integrationen funktionieren ohne zusätzliche Schutzmaßnahmen über das öffentliche Internet.
Geringes Risiko, wenn
Diese Regelung kann als risikoarm angesehen werden, wenn eine oder mehrere Ausgleichsregelungen implementiert werden, einschließlich:
- Durchsetzung digitaler Zertifikate: Für die verbundene Anwendung ist ein Clientzertifikat erforderlich, wodurch die Verwendung eines gestohlenen Tokens ohne Zugriff auf den privaten Schlüssel verhindert wird.
- Kurzlebige und rotierende Token: Aktualisierungstoken sind kurzlebig und werden häufig rotiert, wodurch das Zeitfenster für die missbräuchliche Verwendung begrenzt wird.
- Richtlinien für verbundene Anwendungen mit hoher Sicherung: Die Multi-Faktor-Authentifizierung (MFA) ist erforderlich, bevor OAuth-Token für Benutzer ausgestellt werden.
- Private Konnektivität: Der Datenverkehr wird über Private Connect oder einen privaten Link weitergeleitet, wodurch die Offenlegung über das öffentliche Internet vermieden wird.
Überlegungen zu Unternehmen und Integration
Kunden sollten Integrations-IP-Bereiche validieren und sich mit Drittanbietern abstimmen, um Serviceunterbrechungen beim Erzwingen von IP-Einschränkungen zu vermeiden.
Empfohlene Sanierung
Erzwingen Sie nach Möglichkeit IP-Einschränkungen, wenden Sie Berechtigungen mit den geringsten Berechtigungen auf verbundene Anwendungen an, implementieren Sie Ausgleichssteuerungen, wenn die Erzwingung von IP nicht möglich ist, und überwachen Sie die Aktivität verbundener Anwendungen durch Protokollierung und Sicherheitsüberwachung.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung hebt diese Kontrolle hervor, damit Kunden OAuth-Zugriffsrisiken im Kontext bewerten können, wobei sowohl Konfigurationslücken als auch vorhandene Ausgleichssteuerungen berücksichtigt werden, und um die priorisierte Behebung entsprechend den bewährten Vorgehensweisen für Salesforce-Sicherheit zu leiten.
