Weiterleitung und Richtlinien – Salesforce Edge-Netzwerksteuerung

Steuerelementname

Salesforce Edge-Netzwerk

Empfohlene Konfiguration

Setup>Meine Domäne>Weiterleitung und Richtlinien>Salesforce Edge-Netzwerk verwenden – Mit Weiterleitungsmethode ausgewählt – global oder regional (je nach Anwendungsfall).

Steuerelementübersicht

Aktivieren Sie zum Verbessern der globalen Konnektivität und Sicherheit das Salesforce Edge-Netzwerk, indem Sie im Setup für "Meine Domäne" die Einstellung "Meine Domäne durch Salesforce Edge-Netzwerk weiterleiten" konfigurieren. Durch diese Steuerung wird sichergestellt, dass Benutzeranforderungen intelligent an den nächstgelegenen Salesforce-Präsenzpunkt weitergeleitet werden, wodurch die Latenz durch die randseitige TLS-Beendigung und statische Zwischenspeicherung von Inhalten reduziert wird. Gleichzeitig wird die Sicherheit der vertrauenswürdigen Salesforce-Infrastruktur gewahrt, die DDoS-Angriffe (Distributed Denial of Service) mithilfe der integrierten Web Application Firewall (WAF) verwaltet.

Sicherheitsrisiko, wenn nicht konfiguriert

Wenn das Salesforce Edge-Netzwerk nicht aktiviert ist, muss der gesamte Datenverkehr zur TLS-Beendigung und -Verarbeitung in ein zentrales Rechenzentrum gelangen, was die Latenz erheblich erhöht und das Risiko von Sitzungs-Timeouts oder Verbindungsfehlern für globale Benutzer erhöht. Durch diese Verzögerung bei der sicheren Handshake-Verarbeitung fehlt das Unternehmen an den modernen, kantenbasierten Netzwerkoptimierungen, die eine höhere Widerstandsfähigkeit gegen leistungsgesteuerte Sicherheitsengpässe bieten.

Bedrohungsszenarien

Ein böswilliger Akteur zielt auf Benutzer in abgelegenen geografischen Regionen ab, die während der durch die Langstrecken-Rechenzentrumsweiterleitung verursachten längeren Latenzzeiträume von einem Man-in-the-Middle- oder Session-Hijacking-Angriff betroffen sind. Da der Verbindung die schnelle, Edge-basierte TLS-Beendigung fehlt, die vom Salesforce Edge-Netzwerk bereitgestellt wird, bieten die erhöhte "Zeit bis zum ersten Byte" und die verlängerte Dauer des Handshakes Angreifern ein größeres Zeitfenster, um sensiblen Benutzerdatenverkehr abzufangen oder zu unterbrechen.

Geschätzter CVSS-Bewertungsbereich

Kritisch (9.0–10.0).

Überlegungen zu Risikoauswirkungen

Das Risiko hängt von den Daten in den Organisationsinstanzen ab.

Höheres Risiko, wenn

Der Zugriff auf die Organisation wird nicht eingeschränkt, indem IP-Bereiche für vertrauenswürdige IP-Bereiche oder IP-Bereiche für die Anmeldung verwendet werden.

Geringes oder kein Risiko, wenn

Erzwingung von IP-Bereichen für Anmeldungen oder vertrauenswürdigen IP-Bereichen: Erzwingen Sie IP-Bereiche für Anmeldungen auf Profilebene oder vertrauenswürdige IP-Bereiche im Netzwerk-Setup, um sicherzustellen, dass der Zugriff über ein vertrauenswürdiges Netzwerk erfolgt.

Überlegungen zu Unternehmen und Integration

Wenn Sie das Salesforce Edge-Netzwerk aktivieren, werden die meisten URLs für "Meine Domäne" durch das Netzwerk geleitet. Beachten Sie jedoch die folgenden Ausnahmen:

• URLs, die Ihren Salesforce-Instanznamen enthalten. Erfahren Sie, welche URLs für "Meine Domäne" Ihren Instanznamen in den URL-Formaten für "Meine Domäne" enthalten.
• URLs, die benutzerdefinierten Domänen wie https://www.example.com zugeordnet sind, die Salesforce-Sites oder Experience Cloud-Sites Ihrer Organisation bereitstellen und die HTTPS-Option nicht verwenden: Stellen Sie die Domäne mit Ihrem HTTPS-Zertifikat auf Salesforce-Servern bereit.
• Salesforce-Sites und Experience Cloud-Sites mit Domänen, die auf .force.com enden
• Dem Customer 360 Data Manager zugeordnete URLs, die auf .admin.salesforce-hub.com und .my.salesforce-hub.com enden
• Mit Live Agent-Chat verknüpfte URLs, die auf .my.salesforcescrt.com oder .my.salesforce-scrt.com enden
• Nicht vertrauenswürdigen Inhaltsdomänen zugeordnete URLs
• Den Organisationen in Rechenzentren der Government Isolated Architecture (GIA) zugeordnete URLs

Empfohlene Sanierung

Aktivieren Sie Salesforce CDN.

Anleitung zur Sicherheitsintegritätsprüfung

Die Sicherheitsintegritätsprüfung identifiziert, ob Salesforce Edge so konfiguriert wurde, dass Kunden den Datenverkehr zu ihren Organisationen schützen, da der Benutzerdatenverkehr basierend auf Echtzeit-Netzwerkbedingungen an das nächstgelegene und optimale Salesforce-Rechenzentrum weitergeleitet wird, was die Leistung und Reaktionsfähigkeit verbessert. Darüber hinaus schützt sie Salesforce-Organisationen mithilfe der integrierten Web Application Firewall (WAF) vor DDoS-Angriffen (Distributed Denial of Service).