Gérer le contrôle des mots de passe utilisateur

Nom du contrôle

Stratégies de mot de passe

Configuration recommandée

Les stratégies de mot de passe sont configurées dans Stratégies de mot de passe :

• Configuration Mot de passe - Configuration>Stratégies de mot de passe
• Expiration des mots de passe pour tous les utilisateurs - 90 jours, ne pas sélectionner - "N'expire jamais"
• Forcer l'historique des mots de passe - 5 mots de passe mémorisés, ne pas sélectionner - "Aucun mot de passe mémorisé"
• Longueur minimale du mot de passe - 12
• Exigence de complexité du mot de passe - doit inclure 3 des éléments suivants : chiffres, lettres majuscules, lettres minuscules, caractères spéciaux
• Exigence de la question Mot de passe - Ne peut pas contenir de mot de passe
• Nombre maximal de tentatives de connexion non valides - 3
• Période effective de verrouillage - 15 minutes
• Réponse secrète occulte pour les réinitialisations de mot de passe - Sélectionner
• Nécessite une durée de vie minimale d'un jour du mot de passe - Sélectionnez
• Autoriser l'utilisation de l'API setPassword() pour les auto-réinitialisations - Désélectionner

Vue d'ensemble du contrôle

Dans Salesforce, les stratégies de mot de passe appliquent des normes d'authentification robustes, telles que la complexité, la longueur et l'expiration, afin d'empêcher tout accès non autorisé via des attaques « Brute Force » ou « bourrage d'identifiants ».

Risque de sécurité s'il n'est pas configuré

Les mots de passe faibles ou inchangés deviennent une cible facile pour les attaques « Brute Force » et « bourrage d'identifiants », permettant aux utilisateurs non autorisés de deviner leur chemin dans votre CRM. Sans stratégie stricte, un assaillant peut essayer de tester l'identifiant avec moins d'efforts jusqu'à ce qu'il compromette un compte et obtienne un accès illimité à vos données commerciales confidentielles.

Scénarios de menace

Un assaillant utilise une liste de mots de passe courants ou violés d'autres sites Web pour effectuer une attaque par bourrage d'identifiants contre votre page de connexion Salesforce, en devinant avec succès le mot de passe faible d'un utilisateur sans méfiance. Comme aucun verrou ou règle de complexité n'est appliqué, l'assaillant peut essayer des milliers de combinaisons jusqu'à ce qu'il entre, se connectant éventuellement pour exfiltrer les listes de clients propriétaires et les documents de stratégie interne.

Plage de score CVSS estimée

Critique (9,0 à 10,0).

Considérations relatives à l'impact sur le risque

La sévérité du risque dépend de la taille de la population d'utilisateurs, des privilèges d'accès accordés lors de la connexion.

Risque plus élevé quand

La vérification de l'identité des utilisateurs n'est pas en place (MFA ou autres) et l'authentification centralisée (telle que l'authentification unique) n'est pas en place.

Risque faible ou nul

Ce contrôle peut être considéré comme à faible risque lorsqu'un ou plusieurs des éléments suivants sont mis en œuvre :

• L'application automatique de la MFA ou la vérification de l'identité est en place : Application automatique de la MFA pour les utilisateurs de Salesforce
• SSO centralisé : L'authentification unique est configurée pour tous les profils utilisateur de la plate-forme. Pour les utilisateurs administrateurs, la configuration de l'authentification unique peut être exclue afin de traiter le risque potentiel d'échec de l'authentification unique, en créant un compte en verre de rupture étroitement contrôlé (par exemple en utilisant Vault).
• Stratégie de mot de passe stricte : Politique de mot de passe stricte en place, qui inclut une rotation/date d'expiration fréquente des mots de passe

Considérations relatives à l'entreprise et à l'intégration

Les clients doivent évaluer comment leur processus d'authentification est implémenté entre divers profils et utilisateurs de l'intégration.

Remédiation recommandée

Configurez des stratégies de mot de passe dans la configuration Salesforce ou IdP pour les aligner sur les normes de sécurité.

Guide d'examen sanitaire de sécurité

Security Health Review identifie la configuration de la plate-forme associée aux stratégies de mot de passe qui est configurée directement sur la plate-forme. Si un fournisseur d'identité séparé est utilisé avec la configuration SSO en place, les clients doivent s'assurer que les stratégies de mot de passe sont conformes aux normes de sécurité de l'entreprise et aux meilleures pratiques de l'industrie.