Вы находитесь здесь:
Предотвращение загрузки вложения посредством функции управления файлами типа «Высокий риск»
Блокирует загрузку исполняемых и высокорисковых типов файлов (HTML, HTM, JS, EXE и т. д.) в виде записей «Вложения», «Документы» или ContentVersion, предотвращая распространение сохраненного XSS и вредоносного ПО посредством Salesforce-файлов.
Управление именем
Безопасность загрузки файлов (Запрет на загрузку вложений посредством файлов типа «Высокий риск»)
Общие сведения о контроле
Блокирует загрузку исполняемых и высокорисковых типов файлов (HTML, HTM, JS, EXE и т. д.) в виде записей «Вложения», «Документы» или ContentVersion, предотвращая распространение сохраненного XSS и вредоносного ПО посредством Salesforce-файлов.
Описание
Единый параметр в меню «Настройка»>Безопасность>Загрузка файла и безопасность загрузки» фильтрует расширения файлов во время загрузки. Поддерживает блокировку загрузки HTML специально для порталов Experience Cloud и классического хранилища файлов.
Рекомендованная конфигурация
Безопасность>Безопасность загрузки файлов и файлов>Не разрешайте загрузки HTML в качестве вложений или записей документов, установленных для включения.
Влияние на безопасность
Устраняет основной вектор для клиентских атак (XSS посредством HTML-вложений, выполнение JavaScript в распространениях содержимого); защищает пользователей Salesforce и внешних получателей от вредоносных файлов.
Влияние на бизнес
Сохраняет законные бизнес-правила документа, блокируя только опасные типы. Обучение пользователей не требуется. Поддерживает требования соответствия для безопасного общего доступа к файлам.
Риск безопасности, если он не настроен
Неограниченная загрузка типов файлов высокого риска (HTML/JS) в виде вложений или записей документов обеспечивает постоянное сохранение XSS и вредоносного программного обеспечения в Salesforce.
Сценарии угроз
Существенный риск вредоносных программ и вредоносных выполняемых загрузок, создающих риск компрометации конечной точки; злоумышленники загружают HTML/JS-файлы, замаскированные под документы, которые выполняются при предварительном просмотре/загрузке, компрометируя обозреватели/сеансы пользователей.
Примерный диапазон оценки CVSS
Высокий (7,0-8,9).
Рекомендации по влиянию риска
Внешние пользователи/пользователи сообщества увеличивают риск; законные сценарии использования HTML (счета, отчеты) требуют ContentVersion или альтернативного хранилища; антивирусное сканирование рекомендуется в качестве защиты.
Повышенный риск при
Порталы Experience Cloud и Community включены, внешний общий доступ к файлам активный, компоненты загрузки настраиваемых файлов или большой объем загрузки файлов руководителя/клиента.
Низкий риск при
Только внутренние пользователи, строгие политики безопасности содержимого, отключенные файлы или развернутые в конечных точках комплексные антивирусы/EDR.
Рекомендации по бизнесу и интеграции
Тестирование законных типов файлов постконфигурации; совместно с заголовками CSP и Lightning Locker для комплексной защиты со стороны клиента.
Руководство по проверке состояния безопасности
Настоятельно рекомендуем.
На кого влияет
Все пользователи с полномочиями на загрузку файлов, пользователи портала Experience Cloud, группы безопасности, отслеживающие схемы загрузки, сотрудники по вопросам соответствия, проверяющие безопасность обработки файлов.
