U bent hier:
Sessiebeleid beheren voor een verbonden app: Sessietime-out
Dit besturingselement definieert de maximale duur dat een toepassingssessie inactief kan blijven voordat het toegangstoken verloopt en de gebruiker of het systeem opnieuw moet authenticeren of een vernieuwingstoken moet gebruiken.
Controlenaam
Verbonden apps: Sessiebeleid beheren voor een verbonden app: Sessietime-out
Aanbevolen configuratie
Time-outwaarde - Selecteer "1 uur".
Overzicht van besturingselementen
Dit besturingselement definieert de maximale duur dat een toepassingssessie inactief kan blijven voordat het toegangstoken verloopt en de gebruiker of het systeem opnieuw moet authenticeren of een vernieuwingstoken moet gebruiken.
Beveiligingsrisico indien niet geconfigureerd
Lange of onbepaalde time-outwaarden verlaten actieve sessies op apparaten of servers, waardoor de kans voor een niet-geverifieerde gebruiker om een onbewaakt werkstation of gecompromitteerd mobiel apparaat te kapen aanzienlijk wordt vergroot.
Dreigingsscenario's
Een medewerker laat zijn tablet achter in een openbare ruimte of een sessie wordt onderschept via een op een browser gebaseerde aanval, waardoor een tegenstander uren of dagen toegang heeft tot gevoelige gegevens omdat de sessie nooit een time-out heeft gehad.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
Overmatige sessielevensduur maakt langdurige ongeoorloofde blootstelling van gegevens mogelijk en bemoeilijkt incidentrespons, aangezien een gestolen token gedurende een langere periode een "live" sleutel tot de omgeving blijft.
Hoger risico wanneer
"Uitloggen bij sessietime-out afdwingen" is uitgeschakeld of wanneer de app wordt gebruikt op gedeelde, openbare of onbeheerde apparaten waar fysieke beveiliging niet is gegarandeerd.
Laag risico wanneer
De app is gekoppeld aan MFA-vereisten met grote zekerheid en IP-beperkt inlogbeleid dat voorkomt dat een gekaapte sessie naar een ander netwerk wordt verplaatst.
Overwegingen bij bedrijf en integratie
Als u een time-out van 1 uur instelt, kan dit van invloed zijn op de gebruikerservaring doordat de sessie vaker wordt onderbroken, waardoor ontwikkelaars ervoor moeten zorgen dat de toepassing naadloos achtergrondtokenvernieuwingen kan afhandelen zonder de gebruiker te hinderen.
Aanbevolen oplossing
Ga naar het OAuth-beleid van de verbonden app, zoek de vervolgkeuzelijst Time-outwaarde en selecteer "1 uur" om een striktere sessiebeëindiging af te dwingen.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert een sessietime-out van 1 uur als de baseline voor "Minimale machtigingscontinuïteit", zodat toegang vaak opnieuw wordt gevalideerd om een beveiligingspositie te behouden.
