Sessie-instellingen

Controlenaam

Sessie-instellingen

Aanbevolen configuratie

• Sessies vergrendelen op het IP-adres waaruit ze afkomstig zijn
• Alle sessies van een gebruiker beëindigen inschakelen wanneer een beheerder de gebruikerswachtwoorden opnieuw instelt
• Sessies vergrendelen voor het domein waarin ze voor het eerst zijn gebruikt

Set-up>Sessie-instellingen>Sessies vergrendelen op het IP-adres waaruit ze afkomstig zijn|alle sessies van een gebruiker beëindigen wanneer een beheerder de gebruikerswachtwoorden reset|Sessies vergrendelen op het domein waarin ze voor het eerst zijn gebruikt.

Overzicht van besturingselementen

Sessies vergrendelen naar oorspronkelijk IP-adres.

Deze controle voorkomt sessie-overname door ervoor te zorgen dat de sessie-ID van een gebruiker alleen geldig blijft wanneer deze wordt geopend vanaf het specifieke IP-adres waar deze voor het eerst is vastgesteld. Als een aanvaller probeert om het sessietoken opnieuw af te spelen vanaf een andere netwerklocatie, weigert Salesforce automatisch toegang en wordt de verbinding beëindigd. Sessies bij opnieuw instellen van wachtwoord beëindigen Om onmiddellijke accountbeveiliging te garanderen, maakt deze instelling automatisch alle actieve sessies voor een gebruiker ongeldig op het moment dat een beheerder een handmatig opnieuw instellen van het wachtwoord uitvoert. Dit voorkomt dat een potentieel gecompromitteerde gebruiker toegang behoudt via een bestaande sessie nadat zijn of haar inloggegevens zijn bijgewerkt. Sessies vergrendelen tot initieel domein Deze instelling beperkt de geldigheid van een sessie tot het specifieke Salesforce-domein (zoals Lightning, Visualforce of Experience Cloud) waar de gebruiker zich oorspronkelijk heeft geauthenticeerd. Het dient als verdediging tegen cross-site scripting (XSS) en sessiefixatieaanvallen door te voorkomen dat een sessiecookie opnieuw wordt gebruikt binnen verschillende functionele domeinen binnen het platform.

Beveiligingsrisico indien niet geconfigureerd

Als u deze sessiebeveiligingscontroles niet inschakelt, vergroot u de kwetsbaarheid voor sessie-overname en ongeoorloofde gegevenscontinuïteit, aangezien aanvallers gestolen tokens kunnen misbruiken in verschillende netwerken of niet-vertrouwde domeinen. Zonder sessiebeëindiging bij het opnieuw instellen van het wachtwoord kan een gecompromitteerde account ook actief blijven na administratieve correctie, wat leidt tot langdurige ongeoorloofde toegang tot gevoelige informatie.

Dreigingsscenario's

Een aanvaller die een sessietoken onderschept, kan netwerkgrenzen omzeilen om ongemerkt toegang te krijgen tot gevoelige gegevens vanaf elke locatie of elk subdomein. Zelfs als de inbreuk wordt ontdekt en het wachtwoord van de gebruiker wordt gewijzigd, behoudt de aanvaller bovendien een "all-access pass" omdat zijn of haar bestaande sessie actief en onbetwist blijft.

Geschatte CVSS-scorebereik

Kritiek (9,0–10,0).

Overwegingen bij risico-impact

Het risico neemt toe voor organisaties met veel externe gebruikers, integratiegebruikers, API-gebruikers of toegang tot gevoelige bedrijfsprocessen.

Hoger risico wanneer

Het risico wordt aanzienlijk vergroot door een gebrek aan inlog-IP-bereiken en Real-time Event Monitoring, waardoor de organisatie zich niet bewust is van sessie-overname vanaf ongeoorloofde geografische locaties. Zonder multi-factorenauthenticatie (MFA) voor het valideren van inloggen wordt een gestolen sessie een toegangspad dat geldig blijft en niet wordt aangevochten, zelfs nadat een beveiligingsinbreuk is geïdentificeerd en een wachtwoord opnieuw is ingesteld.

Laag of geen risico wanneer

Om het risico te verkleinen wanneer deze specifieke sessiebesturingselementen niet worden geïmplementeerd, kunt u een "defensie-in-depth" strategie implementeren met behulp van de volgende alternatieve en compenserende besturingselementen:

• Voor IP-vergrendeling: Implementeer Strikte inlog-IP-bereiken op profielniveau en schakel "Inlog-IP-bereiken afdwingen voor elk verzoek" in om ervoor te zorgen dat gebruikers alleen toegang hebben tot het systeem vanuit vertrouwde bedrijfsnetwerken, ongeacht hun sessie-ID.
• Voor beëindiging van opnieuw instellen van wachtwoord: Gebruik Salesforce Shield Transaction Security Policys om sessies automatisch te beëindigen op basis van verdachte events of verplicht Single Sign-On (SSO) zodat het uitschakelen van een gebruiker op IdP-niveau onmiddellijk alle toegang tot toepassingen verderop in de stroom beëindigt.
• Voor domeinvergrendeling: Dwing multi-factorenauthenticatie (MFA) af voor elke login en gevoelige actie, en gebruik CORS-whitelisting (Cross-Origin Resource Sharing) om strikt te controleren welke externe domeinen mogen werken met uw Salesforce-gegevens en API's.
• Algemene bewaking: Controleer regelmatig de pagina Sessiebeheer in Set-up om abnormale actieve sessies handmatig te beëindigen en gebruik Real-time Event Monitoring om beheerders te waarschuwen voor pogingen tot sessie-overname of "opnieuw afspelen".

Overwegingen bij bedrijf en integratie

Het implementeren van deze besturingselementen vergroot de beveiliging aanzienlijk, maar kan frictie veroorzaken voor mobiele gebruikers en bepaalde geautomatiseerde integraties doorbreken.

Aanbevolen oplossing

Schakel Sessie-instellingen in om de sessie te beveiligen vanaf het oorspronkelijke domein/IP-adres en de sessie te beëindigen bij het opnieuw instellen van het wachtwoord.

Begeleiding bij beoordeling van beveiligingstoestand

Beoordeling van beveiligingstoestand identificeert de aan platformconfiguratie gerelateerde sessies die ervoor zorgen dat het oorspronkelijke IP-adres of domein zijn ingeschakeld, en beëindigt ook alle sessies wanneer het wachtwoord opnieuw wordt ingesteld om de beveiliging van sessies te waarborgen.