Du är här:
Hantera sessionspolicyer för en ansluten app: Sessionstimeout
Denna kontroll definierar den maximala varaktigheten som en programsession kan förbli inaktiv innan åtkomsttoken går ut och användaren eller systemet måste återautentisera eller använda en uppdateringstoken.
Kontrollnamn
Anslutna appar: Hantera sessionspolicyer för en ansluten app: Sessionstimeout
Rekommenderad konfiguration
Timeoutvärde - Välj "1 timme".
Kontrollöversikt
Denna kontroll definierar den maximala varaktigheten som en programsession kan förbli inaktiv innan åtkomsttoken går ut och användaren eller systemet måste återautentisera eller använda en uppdateringstoken.
Säkerhetsrisk om den inte är konfigurerad
Långa eller obestämda timeoutvärden lämnar aktiva sessioner på enheter eller servrar, vilket avsevärt ökar möjligheten för en oauktoriserad användare att kapa en obevakad arbetsstation eller komprometterad mobilenhet.
Hotscenarier
En anställd lämnar sin surfplatta i ett offentligt område eller en session avlyssnas via en webbläsarbaserad attack, vilket låter en motståndare fortsätta komma åt känsliga data i timmar eller dagar eftersom sessionen aldrig avslutades.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Överdrivna sessionslivslängder underlättar långvarig oauktoriserad dataexponering och försvårar incidentsvar, eftersom en stulen token förblir en "live"-nyckel till miljön under en längre period.
Högre risk när
"Tvinga utloggning vid sessionstimeout" är inaktiverat eller när appen används på delade, offentliga eller ohanterade enheter där fysisk säkerhet inte garanteras.
Låg risk när
Appen är kopplad till MFA-krav med hög garanti och IP-begränsade inloggningspolicyer som förhindrar att en kapad session flyttas till ett annat nätverk.
Att tänka på vad gäller affärer och integration
Att ange en timeout på 1 timme kan påverka användarupplevelsen genom att orsaka mer frekventa sessionsavbrott, vilket kräver att utvecklare ser till att programmet sömlöst kan hantera bakgrundstokenuppdateringar utan att störa användaren.
Rekommenderad åtgärd
Gå till OAuth-policyer för den anslutna appen, hitta rullmenyn Timeoutvärde och välj "1 timme" för att tillämpa striktare sessionsavslut.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar en sessionstimeout på 1 timme som baslinjen för "Minsta varaktighet för behörighet", så att åtkomst ofta valideras igen för att upprätthålla en högsäkerhetshållning.
