針對連線的應用程式管理 OAuth 存取原則:放寬 IP 限制

控制名稱

針對連線的應用程式管理 OAuth 存取原則 – 放寬 IP 限制

建議組態

選取「強制執行 IP 限制」。

控制概觀

此控制會決定核發給連線的應用程式的 OAuth 存取權杖是否會限制為信任的 IP 範圍。強制執行 IP 限制會新增以網路為基礎的安全性層級,將權杖用量限制為已批准的位置。

未設定安全性風險

如果未強制執行 IP 限制,則可從任何網路位置使用 OAuth 權杖。入侵權杖可能會從不受信任的網路重新執行,進而增加未經授權的 API 存取和資料曝光風險。

威脅情況

來自外部網路的權杖重新執行、濫用長期 OAuth 權杖、透過入侵的整合進行未經授權的存取。

估計 CVSS 分數範圍

中至高 (6.0–8.5)。

風險影響考量事項

風險嚴重性取決於「連線的應用程式」權限、權杖留存時間、整合曝光度,以及整合為網際網路或內部限制。

風險愈高時機

連線的應用程式擁有廣泛或特權的權限、權杖的存留時間很長,整合可透過公用網際網路運作,無需額外的保護。

低度風險時機

實作一或多個補償控制,包括:

• 強制執行數位憑證:連線的應用程式需要用戶端憑證,以防止在沒有私人金鑰存取權的情況下使用竊取的權杖。
• 短存與旋轉權杖:重新整理權杖的留存時間短,且會頻繁輪換,進而限制機會的誤用時段。
• 高度保證連線的應用程式原則:在核發 OAuth 權杖給使用者之前,需要多因素驗證 (MFA)。
• 私人連線:流量會透過「私人連線」或私人連結路由,避免透過公用網際網路進行曝光。

業務與整合考量事項

客戶應驗證整合 IP 範圍,並與第三方廠商協調,以避免在強制執行 IP 限制時發生服務中斷。

建議的補救措施

在可行情況下強制執行 IP 限制、將最低權限權限套用至連線的應用程式、在無法強制執行 IP 時實作補償控制,以及透過記錄和安全性監視來監視連線的應用程式活動。

安全性健康檢閱指南

「安全性健康審查」會醒目提示此控制項,以協助客戶在內容中評估 OAuth 存取風險、考慮組態缺口和現有補償控制項,並指引符合 Salesforce 安全性最佳作法的優先順序修復。