Параметры сеанса

Управление именем

Параметры сеанса

Рекомендованная конфигурация

• Включить сеансы блокировки IP-адреса, с которого они были инициированы
• Включить завершение всех сеансов пользователя при сбросе паролей администратором
• Включить сеансы блокировки домена, в котором они впервые использовались

Настройка>Параметры сеанса>Зафиксировать сеансы на IP-адресе, с которого они были инициированы|завершить все сеансы пользователя, когда администратор сбрасывает пароли пользователя|заблокировать сеансы на домен, в котором они использовались впервые.

Общие сведения о контроле

Блокировка сеансов на исходный IP-адрес.

Этот элемент управления предотвращает перехват сеанса, убедившись, что код сеанса пользователя остается действительным только при открытии с определенного IP-адреса, на котором он был впервые установлен. Если злоумышленник пытается воспроизвести маркер сеанса из другого расположения сети, Salesforce автоматически откажет в доступе и прекратит подключение. Чтобы обеспечить немедленную безопасность организации, этот параметр автоматически аннулирует все активные сеансы для пользователя в момент выполнения администратором сброса пароля вручную. Это предотвращает сохранение доступа потенциально скомпрометированного пользователя посредством существующего сеанса после обновления регистрационных данных. Блокировка сеансов в исходном домене Этот параметр ограничивает действие сеанса определенным доменом Salesforce (например, Lightning, Visualforce или Experience Cloud), где пользователь авторизовался изначально. Он служит защитой от межсайтового скриптинга (XSS) и атак фиксации сеанса, предотвращая повторное использование cookie-файлов сеанса в разных функциональных доменах платформы.

Риск безопасности, если он не настроен

Если эти средства управления безопасностью сеанса не включены, повышается уязвимость перехвата сеанса и сохранность несанкционированных данных, поскольку злоумышленники могут использовать украденные маркеры в разных сетях или ненадежных доменах. Кроме того, без завершения сеанса после сброса пароля скомпрометированная организация может оставаться активной даже после административного исправления, что приведет к длительному несанкционированному доступу к конфиденциальной информации.

Сценарии угроз

Злоумышленник, перехвативший маркер сеанса, может пропустить границы сети для незамеченного доступа к конфиденциальным данным из любого расположения или субдомена. Кроме того, даже если взлом обнаружен и пароль пользователя изменен, взломщик сохраняет «пропуск общего доступа», поскольку текущий сеанс остается активным и бесспорным.

Примерный диапазон оценки CVSS

Критические (9,0-10,0).

Рекомендации по влиянию риска

Риск увеличивается для организаций с большим количеством удаленных пользователей, пользователей интеграции, пользователей API или доступа к конфиденциальным бизнес-процессам.

Повышенный риск при

Этот риск значительно возрастает из-за отсутствия диапазонов IP-адресов входа и мониторинга событий в реальном времени, в результате чего организация не знает о перехвате сеансов из несанкционированных географических точек. Без многофакторной проверки подлинности (MFA) для проверки входа украденный сеанс становится путем доступа, который остается действительным и беспрепятственным даже после обнаружения нарушения безопасности и сброса пароля.

Низкий или нулевой риск при

Чтобы уменьшить риск при нереализации этих конкретных элементов управления сеансами, можно развернуть стратегию «углубленной защиты» посредством следующих альтернативных и компенсационных элементов управления:

• Для блокировки IP-адресов: Внедрите диапазоны IP-адресов строгого входа на уровне профиля и включите «Применение диапазонов IP-адресов входа по каждому запросу», чтобы обеспечить доступ пользователей к системе только из надежных корпоративных сетей, вне зависимости от кода сеанса.
• Для завершения сброса пароля: Используйте политики безопасности транзакций Salesforce Shield для автоматического уничтожения сеансов на основе подозрительных событий или обязательную единую регистрацию (SSO), чтобы отключение пользователя на уровне поставщика удостоверений (IdP) мгновенно завершало весь доступ к приложению в нисходящем направлении.
• Для блокировки домена: Внедрите многофакторную проверку подлинности (MFA) для каждого входа и конфиденциального действия и используйте добавление в список разрешенных CORS (общий доступ к ресурсам с запросом происхождения), чтобы строго контролировать, какие внешние домены разрешены для взаимодействия с данными Salesforce и API.
• Общий мониторинг: Регулярно проверяйте страницу управления сеансами в настройках, чтобы вручную завершить аномальные активные сеансы и используйте мониторинг событий в реальном времени для предупреждения администраторов о любых попытках перехвата сеанса или «воспроизведения».

Рекомендации по бизнесу и интеграции

Внедрение этих элементов управления значительно усиливает безопасность, но они могут внести трения для мобильных пользователей и сломать некоторые автоматические интеграции.

Рекомендованное исправление

Включите параметры сеанса, чтобы обезопасить сеанс от исходного домена/IP-адреса и завершить сеанс при сбросе пароля.

Руководство по проверке состояния безопасности

Проверка состояния безопасности определяет связанные сеансы конфигурации платформы, обеспечивающие включение исходного IP-адреса или домена, а также для завершения всех сеансов при сбросе пароля для обеспечения безопасности сеансов.