Gestionar contraseñas de usuario

Nombre de control

Políticas de contraseña

Configuración recomendada

Las políticas de contraseña están configuradas en las Políticas de contraseña:

• Configuración Contraseña - Configuración>Políticas de contraseña
• Caducar contraseñas para todos los usuarios - 90 días, no seleccione - "Nunca caduca"
• Aplicar historial de contraseñas - 5 contraseñas recordadas, no seleccionar - "No se recuerdan contraseñas"
• Longitud mínima de contraseña: 12
• Requisito de complejidad de contraseña - Debe incluir 3 de los siguientes: números, letras mayúsculas, letras minúsculas, caracteres especiales
• Requisito de pregunta de contraseña - No puede contener contraseña
• Máximo de intentos de inicio de sesión no válidos: 3
• Periodo de vigencia del bloqueo: 15 minutos
• Respuesta secreta oculta para restablecimientos de contraseñas: Seleccione
• Requerir un mínimo de 1 día de vida de contraseña - Seleccionar
• Permitir el uso de la API setPassword() para los restablecimientos automáticos - Anular selección

Descripción general de control

Las políticas de contraseña en Salesforce son para aplicar estándares de autenticación sólidos, como complejidad, longitud y caducidad, para evitar accesos no autorizados a través de ataques de "Fuerza bruta" o "Relleno de credenciales".

Riesgo de seguridad si no está configurado

Las contraseñas débiles o sin cambiar se convierten en un destino fácil para ataques de "Fuerza bruta" y "Relleno de credenciales", permitiendo a los usuarios no autorizados adivinar su camino en su CRM. Sin políticas estrictas, un atacante puede intentar probar la credencial con menor esfuerzo hasta que comprometa con éxito una cuenta y obtenga acceso sin restricciones a sus datos comerciales confidenciales.

Escenarios de amenazas

Un atacante utiliza una lista de contraseñas comunes o infringidas de otros sitios web para realizar un ataque de relleno de credenciales contra su página de inicio de sesión de Salesforce, adivinando con éxito la contraseña débil de un usuario desprevenido. Debido a que no se aplican bloqueos o reglas de complejidad, el atacante puede probar miles de combinaciones hasta que obtiene la entrada, iniciando sesión finalmente para exfiltrar listas de clientes propias y documentos de estrategia interna.

Intervalo de puntuación de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones sobre el impacto del riesgo

La gravedad del riesgo depende del tamaño de la población de usuarios, los privilegios de acceso otorgados al iniciar sesión.

Riesgo más alto cuando

La verificación de identidad de usuario no está establecida (MFA u otros) y la autenticación centralizada (como SSO) no está establecida.

Riesgo bajo o nulo cuando

Este control puede considerarse de bajo riesgo cuando se implementa uno o más de los siguientes elementos:

• Aplicación de MFA o verificación de identidad está en vigor: MFA se aplica para usuarios de Salesforce
• SSO centralizado: SSO está configurado para todos los perfiles de usuario en la plataforma. Para usuarios administradores, la configuración de SSO puede excluirse para tratar el riesgo potencial de fallo de SSO, creando una cuenta de rotura de vidrio estrechamente controlada (como utilizando Vault).
• Política de contraseña estricta: Política de contraseña estricta en vigor que incluye, rotación de contraseña frecuente / fecha de caducidad

Consideraciones comerciales y de integración

Los clientes deben evaluar cómo se implementa su proceso de autenticación entre varios perfiles y usuarios de integración.

Remediación recomendada

Configure políticas de contraseña en Salesforce o la configuración de IdP para alinearse con estándares de seguridad.

Directrices de revisión del estado de seguridad

Security Health Review identifica la configuración de plataforma relacionada con políticas de contraseña que está configurada en la plataforma directamente. Si se utiliza un IdP separado con la configuración de SSO establecida, los clientes deben asegurarse de que las políticas de contraseñas están en sintonía con los estándares de seguridad empresarial y las prácticas recomendadas del sector.