Sikker logoutsidekontrol

Kontrolnavn

Sikker logout

Anbefalet konfiguration

• Logout-URL - Angiv logout-URL'en
• Aktiver lagring af omdirigerings-logout-URL'en i din lokale browser

Opsætning>Sessionsindstillinger>Logout-URL |Gem omdiriger logout-URL'en i din lokale browser.

Kontroller oversigt

Denne kontrol sikrer, at når en Salesforce-session udløber på en browserfane, omdirigeres brugeren automatisk til en foruddefineret, sikker URL – typisk SSO-logoutslutpunktet – snarere end standardloginsiden. Ved at håndhæve denne omdirigering sikrer organisationen et globalt logout på tværs af hele identitetsøkosystemet, hvilket forhindrer uautoriserede brugere i at få adgang til miljøet igen gennem vedvarende sessionstokener på identitetsudbyderniveau.

Sikkerhedsrisiko, hvis den ikke er konfigureret

Hvis du ikke aktiverer omdirigering af udløbne faner til en tilpasset logout-URL, øges risikoen for uautoriseret sessionopbevaring, da brugere dirigeres til Salesforce-standardloginsiden i stedet for IdP-logoutslutpunktet (Identity Provider) når en session udløber. Dette tilsidesætter den globale logoutproces og efterlader potentielt SSO-sessionen (Single Sign-On) aktiv på IdP-niveau og tillader en efterfølgende bruger på den samme enhed at få adgang til miljøet igen uden at godkende igen.

Trusselscenarier

I et delt arbejdsstation eller et offentligt terminalmiljø kan en bruger forlade sin Salesforce-session til timeout, hvis sessionen er død. Men da den udløbne fane ikke udløser et globalt logout på identitetsudbyderen (IdP), forbliver den underliggende SSO-session aktiv. En opportunistisk angriber kan derefter blot klikke på loginknappen for straks at blive godkendt igen som den tidligere bruger og få fuld adgang til følsomme data uden nogensinde at blive bedt om legitimationsoplysninger.

Estimeret CVSS-scoringsinterval

Kritisk (9,0-10,0).

Overvejelser i forbindelse med risikopåvirkning

Afhængig af antallet af forekomster i firmaet.

Højere risiko når

Risikoen for uautoriseret sessionsgenoprettelse forstærkes væsentligt af overdrevent lange sessionstimeoutvarigheder, som udvider vinduet med mulighed for, at en angriber får adgang til en ikke-overvåget arbejdsstation, før sessionen udløber.

Endvidere gør manglen på tvunget godkendelse igen på IdP-niveau det muligt for browseren at stille genoprette en Salesforce-session ved brug af en vedvarende IdP-cookie, hvilket tilsidesætter behovet for et nyt login eller en MFA-udfordring, når brugeren klikker på knappen "Login" på den udløbne fane.

Lav eller ingen risiko når

For at minimere risikoen for uautoriseret sessiongendannelse skal organisationer implementere Single Logout (SLO), hvilket sikrer, at logning ud af Salesforce (eller en sessionstimeout) også effektivt afslutter sessionen på IdP-niveau (Identity Provider).

Endvidere vil håndhævelse af korte sessionstimeoutvarigheder (f.eks. 15-30 minutter) og kræve Godkendelse med flere faktorer (MFA) for hver loginsession give kritisk dybdegående forsvar, hvilket sikrer, at selv hvis en session forbliver teknisk aktiv, kræves der en anden faktor eller ny godkendelse for at få adgang til følsomme data igen.

Overvejelser i forbindelse med forretning og integration

Ikke gældende

Anbefalet rettelse

Omdiriger login til din virksomhedsside.

Vejledning til sikkerhedstilstandsgennemgang

Kontroller Sikkerhedstilstandsgennemgang for at sikre, at organisationen er konfigureret med en foruddefineret omdiriger logout-URL i browseren, så den justeres med din virksomhedspolitik.