breadcrumbDescription
Administrer sessionspolitikker for en tilsluttet app: Sessionstimeout
Denne kontrol definerer den maksimale varighed, som en applikationssession kan forblive ledig, før adgangstokenet udløber, og brugeren eller systemet skal godkende eller bruge et opdateringstoken igen.
Kontrolnavn
Tilsluttede apps: Administrer sessionspolitikker for en tilsluttet app: Sessionstimeout
Anbefalet konfiguration
Timeoutværdi - Vælg "1time".
Kontroller oversigt
Denne kontrol definerer den maksimale varighed, som en applikationssession kan forblive ledig, før adgangstokenet udløber, og brugeren eller systemet skal godkende eller bruge et opdateringstoken igen.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Lange eller ubestemte timeoutværdier efterlader aktive sessioner på enheder eller servere, hvilket øger vinduet med mulighed for, at en uautoriseret bruger overtager en ikke-overvåget arbejdsstation eller kompromitteret mobilenhed.
Trusselscenarier
En medarbejder forlader sin tablet i et offentligt område, eller en session opfanges via et browserbaseret angreb, hvilket tillader en modstander at fortsætte med at få adgang til følsomme data i timer eller dage, fordi sessionen aldrig udløb.
Estimeret CVSS-scoringsinterval
Kritisk (9,0-10,0).
Overvejelser i forbindelse med risikopåvirkning
Overdreven sessionslivstider gør det nemmere at udsende uautoriserede data i længere tid og komplicerer hændelsessvar, da et stjålet token forbliver en "live"-nøgle til miljøet i en længere periode.
Højere risiko når
"Gennemtving logout ved sessionstimeout" er inaktiveret, eller når appen bruges på delte, offentlige eller ikke-administrerede enheder, hvor fysisk sikkerhed ikke er garanteret.
Lav risiko når
Appen er knyttet til MFA-krav med høj sikring og IP-begrænsede loginpolitikker, der forhindrer, at en overtaget session flyttes til et andet netværk.
Overvejelser i forbindelse med forretning og integration
Angivelse af en 1-timers timeout kan påvirke brugeroplevelsen ved at forårsage hyppigere sessionsafbrydelser, hvilket kræver, at udviklere sikrer, at applikationen kan håndtere opdateringer af baggrundstoken uden at forstyrre brugeren.
Anbefalet rettelse
Gå til OAuth-politikker for den tilsluttede app, find rullelisten Timeoutværdi, og vælg "1 time" for at håndhæve strengere sessionsafslutning.
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandscheck identificerer en 1-timers sessionstimeout som basislinjen for "Mindste rettighedsopbevarelse", så adgangen ofte valideres igen for at vedligeholde en høj sikkerhedstilstand.
