Sessionsäkerhetsnivåpolicyer

Kontrollnamn

Sessionsäkerhetsnivå - Sessionssäkerhet med hög garanti

Rekommenderad konfiguration

Aktivera Inställningar för hög garanti genom Inställningar>Identitetsbekräftelse för dessa:

• Rapporter och instrumentpaneler — Styr åtkomst till rapporter och instrumentpaneler. Denna inställning är också tillgänglig på sidan Åtkomstpolicyer för rapporter och instrumentpaneler. Du kan ändra denna inställning på båda platserna.
• Hantera krypteringsnycklar — Styr åtkomst till inställningssidorna för Plattformskryptering och Certifikat och nyckelhantering, och objektet TenantSecret.
• Hantera autentiseringsleverantörer — Styr åtkomst till inställningssidorna för Autentiseringsleverantör och Användardetaljer, och objektet AuthProvider.
• Hantera certifikat—Styr åtkomst till inställningssidan Certifikat och nyckelhantering, inställningssidan för Enkel inloggning, och objektet Certifikat.
• Hantera anslutna appar—Styr åtkomst till inställningssidorna för anslutna appar och inställningssidan för Apphanteraren.
• Hantera dataexport—Styr åtkomst till inställningssidan för dataexport.
• Hantera IP-adresser — Styr åtkomst till inställningssidan för Nätverksåtkomst.
• Hantera inloggningsåtkomstpolicyer — Styr åtkomst till inställningssidan för Inloggningsåtkomstpolicy.
• Hantera lösenordspolicyer — Styr åtkomst till inställningssidan för Lösenordspolicyer och profildetaljer.
• Hantera behörighetsuppsättningar och profiler—Styr åtkomst till inställningssidorna för behörighetsuppsättningar och profilinställningar och relaterade objekt.
• Hantera roller—Styr åtkomst till konfigurering av Roller, objektet UserRole och objekt Roll i Metadata API.
• Hantera delning — Styr åtkomst till inställningssidan för delningsinställningar, objektet SharingRules och CustomObject:s sharingModel-fält i Metadata API.
• Hantera flerfaktorsautentisering i API—Styr åtkomst till objekten VerificationHistory, TwoFactorInfo och TwoFactorTempCode.
• Hantera flerfaktorsautentisering i användargränssnitt—Styr åtkomst till inställningssidan för Identitetsbekräftelsehistorik och objekten VerificationHistory, TwoFactorInfo och TwoFactorTempCode.
• Hantera användare—Styr åtkomst till sidan för användarinställningar.
• Lås upp användare och återställ lösenord—Styr behörigheten att återställa lösenord och låsa upp användare på sidan för användarinställningar.
• Visa Hälsokontroll—Styr åtkomst till inställningssidan för Hälsokontroll

Kontrollöversikt

Kontrollmålet för sessionssäkerhet med hög garanti är att tillämpa "Steg-upp-autentisering" för högriskoperationer, vilket säkerställer att känsliga åtgärder som dataexporter eller administrativa ändringar kräver en sekundär flerfaktorsutmaning även inom en aktiv session. Denna detaljerade åtkomstkontroll förhindrar en enskild framgångsrik inloggning från att bevilja ovillkorlig kraft, vilket effektivt neutraliserar hot från sessionsövertaganden eller obehörig fysisk åtkomst till en olåst arbetsstation.

Säkerhetsrisk om den inte är konfigurerad

Utan sessionssäkerhet med hög garanti ger en enskild framgångsrik inloggning—även från en betrodd enhet—en användare åtkomstbehörighet till känsliga åtgärder som att exportera rapporter eller hantera kryptering.

Hotscenarier

En attackerare som kapar en aktiv användarsession—eller en skadlig insider på en olåst terminal—kan tyst utföra åtgärder med hög påverkan som massdataexporter eller behörighetsändringar eftersom ingen sekundär autentisering krävs för dessa specifika operationer.

Uppskattat CVSS-betygintervall

Hög (7,0-8,9).

Att tänka på vad gäller riskpåverkan

Riskernas svårighetsgrad beror på användarbehörighetsnivåer, delningsregler och de autentiseringsmekanismer som används.

Högre risk när

Avsaknad av säker autentisering för Salesforce-autentisering används med svaga lösenordsstandarder, MFA tillämpas inte, betrodda IP-intervall konfigureras inte.

Låg risk när

Denna kontroll kan anses vara låg risk när en eller flera kompenserande kontroller implementeras, inklusive:

• Flerfaktorsautentisering: MFA tillämpas vid IdP eller via Salesforces autentiseringspolicyer med hög garanti.
• Tillåtelselista för inloggnings-IP: Begränsa IP-adressen för användarprofilen för att säkerställa att den kommer från ett pålitligt nätverk.
• Enkel utloggning: Avsluta alla sessioner när en användare loggar ut.

Att tänka på vad gäller affärer och integration

Kunder bör överväga sin verksamhetsprocess och känsliga verksamhetspolicyer och standarder inom sina företag.

Rekommenderad åtgärd

Implementera inställningarna för Hög garanti efter behov för att säkra känsliga åtgärder och för att anpassa dem till företagets säkerhetspolicyer och standarder.

Vägledning för granskning av säkerhetshälsa

Implementera inställningarna för Hög garanti efter behov.