新規ユーザーお知らせメール設定コントロール

コントロール名

新規ユーザーの有効化

推奨設定

• [新規ユーザーお知らせメール] 設定の [有効期限] が 1 日に設定されている

[設定] > [セッション設定] > [新規ユーザーお知らせメール設定] > [リンクの有効期限は 1 日]。

制御の概要

お知らせメールの Salesforce の [リンクの有効期限] 設定は、新規ユーザーの有効化リンクが有効な期間を定義するセキュリティ制御です。このウィンドウを制限することで、システム管理者は、未使用のリンクや傍受されたリンクが短期間使用不能にならないようにし、古いログイン情報による不正なアカウントアクセスのリスクを最小限に抑えます。

設定されていない場合のセキュリティリスク

ユーザー アクティベーション メールの有効期限に厳格な制限を設けないと、「ようこそ」リンクが侵害されたEメールInboxで送信されてから長い時間が経過した後に傍受またはアクセスされた場合、組織は不正なアカウントの乗っ取りのリスクが高まります。この延長された商談期間により、脅威アクターはアカウントを有効化して独自のログイン情報を設定できるため、意図するセキュリティウィンドウをスキップして、Salesforce 環境への侵入を検知できない可能性があります。

脅威のシナリオ

脅威アクターがユーザーのInboxにアクセスし、厳格な有効期限の制限がないために数日または数週間前に送信された期限切れになっていないアクティベーション リンクを見つけます。このリンクを使用して自分のログイン情報を設定し、アカウントを乗っ取ることで、実際のユーザー (またはセキュリティチーム) が問題を認識する前に Salesforce 環境で正当な足がかりを得ることができます。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

ユーザーアクセス範囲に応じてリスクが増大する。

より高いリスク

有効化リンクの存続期間が長い場合のリスクは、最初のログインに多要素認証 (MFA) が適用されないため、リンクを傍受した攻撃者が 1 つの要素だけでフルアクセスできてしまうため、さらに悪化します。

さらに、リモート脅威行為者が未承認の場所から有効化リンクを使用するのを防ぐ地理的またはネットワークベースの障壁がないため、新規ユーザーのログイン IP アドレスの制限や信頼済みネットワークの制限がないため、攻撃対象領域が広がります。

Low or No Risk When (低リスクまたは無リスクの場合)

長期間有効な有効化リンクのリスクを最小限に抑えるために、組織はすべての新規ユーザーに多要素認証 (MFA) を適用し、傍受されたリンクだけでは 2 つ目の検証要素なしではアクセスできないことを確認する必要があります。

さらに、ログイン IP アドレスの制限をプロファイルまたは組織レベルで実装すると、有効化プロセスが信頼できる企業ネットワークに制限され、リモート脅威行為者が不正な場所から盗んだリンクを使用することを効果的にブロックできます。

ビジネスと統合に関する考慮事項

システム管理者は、プラットフォームにアクセスする社内のユーザー数とユーザーの環境を考慮する必要があります。

推奨される修復

ユーザー有効化メールのリンクの有効期限を定義します。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

[セキュリティ状態レビュー] で、[新規ユーザーお知らせメールの有効期限] 設定が 1 日に設定されていることを確認します。