Control Gestionar contraseñas de usuario

Nombre de control

Políticas de contraseña

Configuración recomendada

Las políticas de contraseña están configuradas en las Políticas de contraseña:

• Configuración Contraseña - Configuración>Políticas de contraseña
• Caducar contraseñas para todos los usuarios - 90 días, no seleccione - "Nunca caduca"
• Aplicar historial de contraseñas - 5 contraseñas recordadas, no seleccionar - "No se recuerda ninguna contraseña"
• Longitud mínima de contraseña: 12
• Requisito de complejidad de contraseña: debe incluir 3 de los siguientes elementos: números, letras mayúsculas, letras minúsculas, caracteres especiales
• Requisito de pregunta de contraseña: no puede contener contraseña
• Máximo de intentos de inicio de sesión no válidos: 3
• Periodo de vigencia del bloqueo: 15 minutos
• Ocultar respuesta secreta para restablecimientos de contraseñas: Seleccionar
• Requerir un mínimo de 1 día de duración de contraseña - Seleccionar
• Permitir el uso de la API setPassword() para restablecimientos automáticos - Anular selección

Descripción general de control

Las políticas de contraseña en Salesforce son para aplicar estándares de autenticación sólidos (como complejidad, longitud y caducidad) para evitar el acceso no autorizado a través de ataques de "Fuerza bruta" o "Relleno de credenciales".

Riesgo de seguridad si no está configurado

Las contraseñas débiles o sin cambiar se convierten en un destino fácil para ataques de "Fuerza bruta" y "Relleno de credenciales", permitiendo a los usuarios no autorizados adivinar su camino en su CRM. Sin políticas estrictas, un atacante puede intentar probar la credencial con menor esfuerzo hasta que comprometa con éxito una cuenta y obtenga acceso sin restricciones a sus datos de negocio confidenciales.

Escenarios de amenazas

Un atacante utiliza una lista de contraseñas comunes o infringidas de otros sitios web para realizar un ataque de relleno de credenciales contra su página de inicio de sesión de Salesforce, adivinando con éxito la contraseña débil de un usuario desprevenido. Como no se aplican bloqueos ni reglas de complejidad, el atacante puede probar miles de combinaciones hasta que obtiene la entrada, iniciando sesión finalmente para exfiltrar listas de clientes propias y documentos de estrategia internos.

Intervalo de puntuaje de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones de impacto de riesgo

La gravedad del riesgo depende del tamaño de la población de usuarios, los privilegios de acceso otorgados al iniciar sesión.

Mayor riesgo cuando

La verificación de identidad de usuario no está establecida (MFA u otros) y la autenticación centralizada (como SSO) no está establecida.

Bajo o ningún riesgo cuando

Este control se puede considerar de bajo riesgo cuando se implementa uno o más de los elementos siguientes:

• Aplicación de MFA o verificación de identidad está vigente: MFA se aplica para usuarios de Salesforce
• SSO centralizado: SSO está configurado para todos los perfiles de usuario en la plataforma. Para usuarios administradores, la configuración de SSO puede excluirse para abordar el riesgo potencial de fallo de SSO, creando una cuenta de cristal rota estrechamente controlada (como utilizando Vault).
• Política de contraseña estricta: Política de contraseñas estricta que incluye rotación frecuente/fecha de caducidad de contraseñas

Consideraciones de negocio e integración

Los clientes deben evaluar cómo se implementa su proceso de autenticación entre varios perfiles y usuarios de integración.

Remediación recomendada

Configure políticas de contraseñas en la configuración de Salesforce o IdP para alinearse con los estándares de seguridad.

Directrices de revisión del estado de seguridad

Security Health Review identifica la configuración de plataforma relacionada con políticas de contraseña que está configurada en la plataforma directamente. Si se utiliza un IdP separado con la configuración de SSO establecida, los clientes deben asegurarse de que las políticas de contraseña están en sintonía con los estándares de seguridad de la compañía y las mejores prácticas de la industria.