Configuración de sesión

Nombre de control

Configuración de sesión

Configuración recomendada

• Activar sesiones de bloqueo en la dirección IP de la que se originaron
• Activar finalizar todas las sesiones de un usuario cuando un administrador restablece las contraseñas de usuario
• Activar sesiones de bloqueo en el dominio en el que se utilizaron por primera vez

Configuración>Configuración de sesión>Bloquear sesiones en la dirección IP de origen|finalizar todas las sesiones de un usuario cuando un administrador restablece las contraseñas de usuario|bloquear sesiones en el dominio en el que se utilizaron por primera vez.

Descripción general de control

Bloquear sesiones en dirección IP de origen.

Este control evita el secuestro de sesiones asegurándose de que el Id. de sesión de un usuario permanece válido solo cuando se accede desde la dirección IP específica donde se estableció por primera vez. Si un atacante intenta reproducir el token de sesión desde una ubicación de red diferente, Salesforce denegará automáticamente el acceso y finalizará la conexión. Finalizar sesiones al restablecer contraseña Para garantizar la seguridad inmediata de la cuenta, este parámetro invalida automáticamente todas las sesiones activas para un usuario en el momento en que un administrador realiza un restablecimiento manual de contraseña. Esto evita que un usuario potencialmente comprometido mantenga el acceso a través de una sesión existente después de actualizar sus credenciales. Bloquear sesiones en dominio inicial Esta configuración restringe la validez de una sesión al dominio específico de Salesforce (como Lightning, Visualforce o Experience Cloud) donde se autenticó originalmente el usuario. Sirve como defensa contra ataques de secuencias de comandos de sitio cruzadas (XSS) y fijación de sesiones evitando que una cookie de sesión se reutilice entre diferentes dominios funcionales dentro de la plataforma.

Riesgo de seguridad si no está configurado

Al no activar estos controles de seguridad de sesión aumenta la vulnerabilidad al secuestro de sesiones y la persistencia de datos no autorizada, ya que los atacantes pueden explotar tokens robados entre diferentes redes o dominios no de confianza. Del mismo modo, sin finalización de sesión tras restablecimientos de contraseña, una cuenta comprometida puede permanecer activa incluso después de la solución administrativa, lo que lleva a un acceso no autorizado prolongado a información confidencial.

Escenarios de amenazas

Un atacante que intercepta un token de sesión puede omitir los límites de red para acceder a datos confidenciales desde cualquier ubicación o subdominio sin ser detectado. Además, incluso si se descubre la brecha y se cambia la contraseña del usuario, el atacante conserva un "pase de acceso completo" porque su sesión existente permanece activa y sin impugnar.

Intervalo de puntuación de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones sobre el impacto del riesgo

El riesgo aumenta para organizaciones con muchos usuarios remotos, usuarios de integración, usuarios de API o acceso a procesos comerciales confidenciales.

Riesgo más alto cuando

El riesgo se amplifica significativamente por la falta de Intervalos de direcciones IP de inicio de sesión y Supervisión de eventos en tiempo real, lo que deja a la organización sin conocer el secuestro de sesiones desde ubicaciones geográficas no autorizadas. Sin la autenticación de múltiples factores (MFA) para validar el inicio de sesión, una sesión robada se convierte en una ruta de acceso que permanece válida y sin impugnar incluso después de identificar una brecha de seguridad y restablecer una contraseña.

Riesgo bajo o nulo cuando

Para reducir el riesgo cuando estos controles de sesión específicos no están implementados, puede implementar una estrategia de "defensa en profundidad" utilizando los siguientes controles alternativos y compensatorios:

• Para bloqueo de IP: Implemente Intervalos de direcciones IP de inicio de sesión estrictos en el nivel de perfil y active "Aplicar intervalos de direcciones IP de inicio de sesión en cada solicitud" para garantizar que los usuarios solo acceden al sistema desde redes corporativas de confianza, independientemente de su Id. de sesión.
• Para Terminación de restablecimiento de contraseña: Utilice Políticas de seguridad de transacciones Salesforce Shield para eliminar automáticamente sesiones basándose en eventos sospechosos, o bien imponga el inicio de sesión único (SSO) de modo que la desactivación de un usuario en el nivel Proveedor de identidad (IdP) finalice instantáneamente todo el acceso de aplicación descendente.
• Para Bloqueo de dominio: Aplique la autenticación de múltiples factores (MFA) para cada inicio de sesión y acción confidencial, y utilice la lista de admisión CORS (Compartición de recursos de origen cruzado) para controlar estrictamente qué dominios externos tienen permiso para interactuar con sus datos y API de Salesforce.
• Supervisión general: Realice auditorías regulares de la página Gestión de sesiones en Configuración para finalizar manualmente sesiones activas anómalas y utilice Supervisión de eventos en tiempo real para alertar a los administradores de cualquier intento de secuestro o "reproducción" de sesiones.

Consideraciones comerciales y de integración

La implementación de estos controles refuerza significativamente la seguridad, pero pueden introducir fricción para usuarios móviles y romper ciertas integraciones automatizadas.

Remediación recomendada

Active Configuración de sesión para proteger la sesión del dominio de origen/dirección IP y finalizar sesión en restablecimientos de contraseña.

Directrices de revisión del estado de seguridad

Security Health Review identifica las sesiones relacionadas con la configuración de la plataforma garantizando que la IP de origen o el dominio están activados y también para finalizar todas las sesiones cuando se restablece la contraseña para garantizar la seguridad de las sesiones.