Você está aqui:
Gerenciar políticas de sessão para um aplicativo conectado: Tempo de expiração da sessão
Esse controle define a duração máxima pela qual uma sessão do aplicativo pode permanecer ociosa antes de o token de acesso expirar e o usuário ou o sistema precisar se autenticar novamente ou usar um token de atualização.
Nome do controle
Aplicativos conectados: Gerenciar políticas de sessão para um aplicativo conectado: Tempo de expiração da sessão
Configuração recomendada
Valor de tempo limite – selecione "1hora".
Visão geral de controle
Esse controle define a duração máxima pela qual uma sessão do aplicativo pode permanecer ociosa antes de o token de acesso expirar e o usuário ou o sistema precisar se autenticar novamente ou usar um token de atualização.
Risco de segurança, se não configurado
Valores de tempo limite longos ou indefinidos deixam sessões ativas em dispositivos ou servidores, aumentando significativamente a janela de oportunidade para um usuário não autorizado sequestrar uma estação de trabalho não controlada ou dispositivo móvel comprometido.
Cenários de ameaça
Um funcionário deixa seu tablet em uma área pública ou uma sessão é interceptada por meio de um ataque baseado em navegador, permitindo que um adversário continue acessando dados confidenciais por horas ou dias porque a sessão nunca atingiu o tempo limite.
Intervalo de pontuação de CVSS estimado
Crítico (9.0 a 10.0).
Considerações sobre impacto de risco
Os tempos de vida excessivos da sessão facilitam a exposição prolongada de dados não autorizados e complicam a resposta a incidentes, pois um token roubado permanece uma chave "ativa" para o ambiente por um período prolongado.
Risco maior quando
"Forçar logout no tempo limite da sessão" é desabilitado ou quando o aplicativo é usado em dispositivos compartilhados, públicos ou não gerenciados em que a segurança física não é garantida.
Baixo risco quando
O aplicativo é acoplado a requisitos de MFA de alta garantia e políticas de login restritas por IP que impedem que uma sessão sequestrada seja movida para uma rede diferente.
Considerações de negócios e integração
Definir um tempo limite de 1 hora pode afetar a experiência do usuário causando interrupções de sessão mais frequentes, exigindo que os desenvolvedores garantam que o aplicativo possa lidar perfeitamente com atualizações de token de segundo plano sem incomodar o usuário.
Remediação recomendada
Vá para Políticas do OAuth do aplicativo conectado, localize o menu suspenso Valor de tempo limite e selecione "1 hora" para impor o encerramento da sessão mais rígido.
Diretriz de revisão de saúde de segurança
A Análise de integridade de segurança identifica um tempo limite de sessão de 1 hora como a linha de base para "Persistência mínima de privilégios", de modo que o acesso seja revalidado com frequência para manter uma postura de alta segurança.
