工作階段設定

控制名稱

工作階段設定

建議組態

• 啟用將工作階段鎖定為工作階段來源的 IP 位址
• 啟用「在管理員重設使用者密碼時終止使用者的所有工作階段」
• 啟用將工作階段鎖定在其第一次使用的網域

設定>工作階段設定>將工作階段鎖定在工作階段來源的 IP 位址時,當管理員重設使用者密碼|將工作階段鎖定在其初次使用的網域時,會終止所有使用者的工作階段。

控制概觀

將工作階段鎖定為來源 IP 位址。

此控制項可防止工作階段劫持,方法是確保使用者的工作階段識別碼僅在從第一次建立工作階段的特定 IP 位址存取時保持有效。如果攻擊者嘗試從不同的網路位置重新執行工作階段權杖,Salesforce 會自動拒絕存取並終止連線。為了確保立即的帳戶安全性,此設定會在管理員執行手動密碼重設時,自動使使用者的所有啟用中工作階段無效。這可防止潛在入侵的使用者在其認證更新後,透過現有工作階段維護存取權。將工作階段鎖定在初始網域 此設定會將工作階段的有效性限制在使用者原本驗證的特定 Salesforce 網域 (例如 Lightning、Visualforce 或 Experience Cloud) 中。其可防止在平台內的不同功能網域中重複使用工作階段 Cookie,藉此抵禦跨網站指令檔 (XSS) 和工作階段固定攻擊。

未設定安全性風險

若未啟用這些工作階段安全性控制項,則會增加工作階段劫持和未經授權資料持續性的漏洞,因為攻擊者可能會在不同網路或不受信任網域之間利用竊取的權杖。此外,若未在密碼重設時終止工作階段,即使在管理修復後,已入侵的帳戶仍會保持啟用,進而導致長時間未經授權存取敏感資訊。

威脅情況

攔截工作階段權杖的攻擊者可以略過網路邊界,從任何位置或子網域存取敏感資料,而無法偵測到。此外,即使發現缺口且使用者的密碼已變更,攻擊者仍會保留「所有存取權通行證」,因為其現有工作階段會保持啟用且不受挑戰。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

具有許多遠端使用者、整合使用者、API 使用者或敏感業務流程存取權的組織其風險會增加。

風險愈高時機

缺少「登入 IP 範圍」和「即時事件監視」會大幅增加風險,這會讓組織不知道從未經授權的地理位置遭到工作階段劫持。若沒有「多因素驗證」(MFA) 驗證登入,竊取的工作階段會變成存取路徑,即使偵測到安全性缺口並重設密碼,仍會保持有效且不受挑戰。

低風險或無風險的時機

若要在未實作這些特定工作階段控制項時降低風險,您可以使用下列替代和補償控制項部署「深度防禦」策略:

• 針對 IP 鎖定:在設定檔層級實作「嚴格登入 IP 範圍」,並啟用「在每個要求上強制登入 IP 範圍」,以確保使用者僅從信任的公司網路存取系統,無論其工作階段識別碼為何。
• 針對密碼重設終止:使用 Salesforce Shield 交易安全性原則,根據可疑事件自動終結工作階段,或強制單一登入 (SSO),以便在身分提供者 (IdP) 層級停用使用者立即終止所有下游應用程式存取。
• 針對網域鎖定:針對每個登入和敏感動作強制執行多因素驗證 (MFA),並使用 CORS (跨來源資源共用) 允許清單來嚴格控制允許哪些外部網域與您的 Salesforce 資料和 API 互動。
• 一般監視:定期稽核「設定」中的「工作階段管理」頁面,以手動終止異常啟用的工作階段,並使用「即時事件監視」警示管理員任何工作階段劫持或「重新執行」嘗試。

業務與整合考量事項

實作這些控制項會大幅縮小安全性,但會導致行動使用者受到摩擦,並中斷某些自動化整合。

建議的補救措施

啟用「工作階段」設定可保護來源網域/IP 位址的工作階段安全,並在密碼重設時終止工作階段。

安全性健康檢閱指南

「安全性健康審查」會識別平台組態相關工作階段,以確保啟用來源 IP 或「網域」,並在重設密碼時終止所有工作階段,以確保工作階段的安全性。