管理使用者權限

控制名稱

密碼原則

建議組態

密碼原則是在「密碼原則」中設定的:

• 設定密碼 - 設定>密碼原則
• 所有使用者的密碼到期 - 90 天,請勿選取 - 「永不到期」
• 強制密碼歷程記錄 - 記住 5 個密碼,不選取 - 「不記住任何密碼」
• 密碼長度下限 - 12
• 密碼複雜性需求 - 必須包含下列 3 個項目:數字、大寫字母、小寫字母、特殊字元
• 密碼問題需求 - 無法包含密碼
• 無效登入嘗試次數上限 - 3
• 鎖定有效期間 - 15 分鐘
• 密碼重設的隱藏密碼回答 - 選取
• 需要至少 1 天的密碼留存時間 - 選取
• 允許使用 setPassword() API 進行自我重設 - 取消選取

控制概觀

Salesforce 中的「密碼原則」旨在強制執行強大的驗證標準,例如複雜性、長度和到期時間,以防止透過「原則強制」或「認證填充」攻擊進行未經授權的存取。

未設定安全性風險

弱或未變更的密碼會變成「粗略強制」和「認證填充」攻擊的容易目標,讓未經授權的使用者猜出其進入 CRM 的方式。若沒有嚴格的原則,攻擊者可能會嘗試以更少的精力測試認證,直到成功入侵帳戶並取得您敏感業務資料的無限制存取權為止。

威脅情況

攻擊者使用其他網站的常見或違規密碼清單,對您的 Salesforce 登入頁面執行「認證填充」攻擊,成功猜出無疑使用者的弱密碼。由於沒有強制執行鎖定或複雜性規則,因此攻擊者可以嘗試數千個組合,直到他們獲得進入,最終登入以篩選專屬的客戶清單和內部策略文件。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

風險嚴重性取決於使用者族群大小、登入時授與的存取權限。

風險愈高時機

使用者身分驗證沒有 (MFA 或其他) 且集中驗證 (例如 SSO) 沒有。

低風險或無風險的時機

實作下列一或多個控制項時,可以將此控制項視為低度風險:

• 「MFA 強制執行」或身分驗證已準備就緒:為 Salesforce 使用者強制執行 MFA
• 集中 SSO:已針對平台中的所有使用者設定檔設定 SSO。針對管理員使用者,可透過建立嚴格控制的休息玻璃帳戶 (例如使用「儲存庫」) 來排除 SSO 組態,以解決 SSO 失敗的潛在風險。
• 嚴格密碼原則:固定的密碼原則,包括頻繁的密碼輪換/到期日期

業務與整合考量事項

客戶應評估如何在各種設定檔和整合使用者之間實作其驗證流程。

建議的補救措施

在 Salesforce 或 IdP 組態中設定密碼原則,以符合安全性標準。

安全性健康檢閱指南

「安全性健康檢閱」會識別與在平台中直接設定的密碼原則相關的平台組態。如果將個別的 IdP 與 SSO 組態一起使用,客戶應確保密碼原則符合企業安全性標準和產業最佳作法。