Impostazioni timeout sessione

Nome controllo

Timeout di sessione

Configurazione consigliata

• Impostare il valore Timeout sessione su 15 minuti o meno
• Disabilita popup di avviso timeout sessione
• Abilita Forza disconnessione al timeout della sessione

Imposta>Impostazioni sessione>Timeout sessione.

Panoramica sul controllo

Il controllo del timeout della sessione Salesforce è una misura di sicurezza progettata per proteggersi dall'accesso non autorizzato interrompendo automaticamente le sessioni utente dopo un periodo specificato di inattività.

Rischio per la sicurezza se non configurato

La mancata configurazione di un timeout sessione appropriato in Salesforce aumenta il rischio di accesso non autorizzato ai dati sensibili quando un utente lascia una postazione di lavoro incustodita o perde un dispositivo. Questa lacuna di sicurezza può causare attacchi hijack alla sessione ed esfiltrazione dei dati, oltre a causare la mancata conformità agli standard normativi del settore che richiedono controlli di accesso limitati nel tempo.

Scenari di minaccia

Un aggressore sfrutta una sessione attiva non presidiata o un token di sessione rubato per ottenere un accesso persistente non autorizzato ai dati sensibili.

Intervallo di punteggi CVSS stimato

Critico (9.0–10.0).

Considerazioni sull'impatto del rischio

Considerare il comportamento degli utenti e l'ambiente in cui l'utente accede alla piattaforma.

Rischio maggiore quando

Se un timeout sessione non è configurato (o è configurato in modo non corretto), la seguente mancanza di controlli può aumentare ulteriormente il rischio per la sicurezza:

• Mancanza dell'autenticazione a più fattori (MFA): Senza la MFA, una sessione è protetta solo da un singolo insieme di credenziali. Se una sessione rimane attiva per un tempo indefinito, un aggressore che ottiene l'accesso al dispositivo non deve ignorare ulteriori livelli di sicurezza.
• Mancanza di "Forza disconnessione al timeout della sessione": Se questa specifica impostazione è disabilitata, Salesforce non può terminare la sessione alla sua scadenza, consentendo al browser di mantenere attiva la sessione finché rimane aperta.
• Mancanza di restrizioni degli indirizzi IP: Se le sessioni non sono bloccate all'indirizzo IP di origine o limitate agli intervalli aziendali, un token di sessione "persistente" può essere rubato e utilizzato da qualsiasi posizione a livello globale senza essere contestato.
• Mancanza del blocco automatico della workstation o del dispositivo: Se non esistono policy organizzative o controlli tecnici (ad esempio GPO o MDM) per bloccare il computer o il dispositivo mobile di un utente dopo un periodo di inattività, la sessione Salesforce aperta viene lasciata completamente esposta a chiunque abbia accesso fisico.
• Mancanza di sostituzioni a livello di profilo: Affidarsi solo a impostazioni generali "a livello di organizzazione" anziché a timeout più rigidi e brevi per i profili con privilegi elevati (ad esempio, gli amministratori di sistema) aumenta il "blast radius" se la sessione di un amministratore viene dirottata.
• Mancanza di Monitoraggio sessione in tempo reale: Senza strumenti come Monitoraggio evento Salesforce o Policy sulla sicurezza delle transazioni, l'organizzazione non è in grado di rilevare o eliminare automaticamente le sessioni sospette che sono attive da un tempo anormalmente lungo.
• Mancanza di "Blocca sessioni al dominio": L'impossibilità di limitare le sessioni al dominio specifico da cui sono state avviate può aumentare il rischio di attacchi di cross-site scripting (XSS) o di fissazione delle sessioni.

Rischio basso o nullo quando

Per ridurre il rischio quando un timeout rigoroso della sessione non è possibile o configurato, è possibile implementare una strategia di "difesa approfondita" utilizzando i seguenti controlli: 1. Controlli di sicurezza nativi Salesforce

• Imponi autenticazione a più fattori (MFA): Richiedere un secondo fattore per tutti gli accessi. Anche se una sessione rimane attiva, un aggressore dovrebbe prima ignorare la MFA per stabilire quella sessione.
• Forza disconnessione al timeout della sessione: Assicurarsi che questa impostazione sia abilitata in Impostazioni di sessione. Senza di esso, alcuni browser possono mantenere attiva una sessione "timeout" a tempo indeterminato in background.
• Blocca sessioni all'indirizzo IP: Ciò impedisce l'"hijack della sessione" assicurando che la sessione possa essere utilizzata solo dall'indirizzo IP specifico da cui ha avuto origine.
• Intervalli IP di accesso (livello di profilo): Limitare l'accesso a reti specifiche e affidabili (ad esempio, la VPN aziendale). Ciò garantisce che anche una sessione attiva sia inutile se il dispositivo viene spostato in una rete non affidabile.
• Orario di accesso: Definire finestre specifiche (ad esempio, 8:00-18:00) in cui gli utenti possono accedere a Salesforce. Ciò impedisce automaticamente la persistenza della sessione durante gli orari di attività ridotta.

2. Monitoraggio e automazione avanzati (Shield)

• Policy sulla sicurezza delle transazioni (Salesforce Shield): Creare policy in tempo reale che attivano comportamenti sospetti. Ad esempio, è possibile bloccare o contestare automaticamente una sessione con la MFA se un utente tenta un'esportazione di dati di grandi dimensioni o accede a record sensibili dopo un lungo periodo di "inattività".
• Monitoraggio evento: Utilizzare Monitoraggio evento in tempo reale per tenere traccia di LoginEvent e SessionHijackingEvent per identificare e terminare a livello di programmazione le sessioni anomale.

3. Controlli di identità ed endpoint

• Single Sign-On (SSO): Delegare la gestione delle sessioni a un provider di identità (IdP) centrale come Okta o Azure AD. È quindi possibile applicare policy di sessione globali più rigorose o "uccidere" tutte le sessioni dell'app attive da un unico cruscotto digitale se un dispositivo viene compromesso.
• Gestione endpoint (MDM/GPO): Implementare una policy aziendale che blocca automaticamente la workstation fisica o il dispositivo mobile dopo 5-10 minuti di inattività. Ciò riduce il rischio di una "postazione di lavoro incustodita" che è la minaccia principale delle sessioni lunghe.

Considerazioni su Business e integrazione

I clienti devono valutare i punti di ingresso degli endpoint utente e i dati a cui è esposto ogni profilo utente.

Rimedio consigliato

Implementare Timeout sessione a livello di endpoint e anche a livello di piattaforma.

Guida all'esame dello stato della sicurezza

Security Health Review identifica la configurazione della piattaforma correlata al timeout della sessione esaminando il timeout della sessione rispetto alle procedure consigliate del settore (15 minuti).