工作階段安全性層級原則

控制名稱

工作階段安全性層級 - 高度保證工作階段安全性

建議組態

針對以下項目,透過「設定」>「身分驗證」啟用「高度保證設定」:

• 報告和顯示面板—控制對報告與顯示面板的存取權。此設定也可在「報告和顯示面板存取原則」頁面上取得。您可在任一地點變更此設定。
• 管理加密金鑰—控制對平台加密頁面、憑證和金鑰管理設定頁面，以及 TenantSecret 物件的存取權。
• 管理驗證提供者—控制對「驗證提供者」頁面、「使用者詳細資料設定」頁面，以及 AuthProvider 物件的存取權。
• 管理憑證—控制「憑證與金鑰管理設定」頁面、「單一登入設定」頁面以及「憑證」物件的存取權。
• 管理已連線應用程式：控制「已連線應用程式設定」頁面和「應用程式管理員設定」頁面的存取權。
• 管理資料匯出—控制「資料匯出設定」頁面的存取權。
• 管理 IP 位址—控制「網路存取設定」頁面的存取權。
• 管理登入存取原則—控制「登入存取原則設定」頁面的存取權。
• 管理密碼原則—控制「密碼原則設定」頁面和設定檔詳細資料的存取權。
• 管理權限集與設定檔—控制「權限集」與「設定檔設定」頁面和相關物件的存取權。
• 管理角色—控制對「角色設定」頁面、UserRole 物件及中繼資料 API 中「角色」物件的存取權。
• 管理共用—控制對「共用設定設置」頁面、SharingRules 物件，以及中繼資料 API 中自訂物件 sharingModel 欄位的存取權。
• 管理 API 中的多因素驗證—控制 VerificationHistory、TwoFactorInfo 和 TwoFactorTempCode 物件的存取權。
• 管理使用者介面中的多因素驗證—控制「身分驗證歷程記錄設定」頁面與 VerificationHistory、TwoFactorInfo 和 TwoFactorTempCode 物件的存取權。
• 管理使用者—控制「使用者設定」頁面的存取。
• 解鎖使用者並重設密碼—控制「使用者設定」頁面上重設密碼與解鎖使用者的權限。
• 檢視健康檢查—控制「健康檢查設定」頁面的存取權

控制概觀

「高度保證工作階段安全性」的控制目標是針對高風險作業強制執行「逐步驗證」,確保如資料匯出或管理變更等敏感動作需要次要的多因素挑戰,即使是在啟用的工作階段內也是如此。此細微的存取控制可防止單一成功登入授與無條件權限,有效地中斷工作階段劫持或未經授權對解除鎖定工作站進行實體存取的威脅。

未設定安全性風險

若沒有「高度保證」工作階段安全性,單一成功登入 (即使是從信任的裝置登入) 也會授與使用者對敏感作業 (例如匯出報告或管理加密) 的存取權限。

威脅情況

劫持作用中使用者工作階段的攻擊者 (或解除鎖定終端上的惡意內部人員) 可以無聲執行如大量資料匯出或權限變更等高影響動作,因為這些特定作業不需要次要驗證。

估計 CVSS 分數範圍

高 (7.0–8.9)。

風險影響考量事項

風險嚴重性取決於使用者權限層級、共用規則和使用的驗證機制。

風險愈高時機

缺少 Salesforce 驗證的安全驗證會與弱密碼標準搭配使用、未強制執行 MFA、未設定信任的 IP 範圍。

低度風險時機

實作一或多個補償控制,包括:

• 多因素驗證:MFA 會在 IdP 或透過 Salesforce 高保證驗證原則強制執行。
• 登入 IP 允許清單:限制使用者設定檔的 IP 位址,以確保其來自信任網路。
• 單一登出:使用者登出時終止所有工作階段。

業務與整合考量事項

客戶應考量其業務流程和公司內敏感的作業原則和標準。

建議的補救措施

視需要實作「高度保證」設定以保護敏感性作業,並符合企業安全性原則與標準。

安全性健康檢閱指南

視需要實作「高度保證」設定。