Single Logout

Steuerelementname

Single Logout

Empfohlene Konfiguration

Konfigurieren, validieren und überprüfen Sie das Salesforce Single Logout-Setup regelmäßig, um sicherzustellen, dass es für jeden der entsprechenden Anwendungsfälle im Unternehmen, bei denen Salesforce der Serviceanbieter, die vertrauende Seite oder der Identitätsanbieter ist, richtig konfiguriert ist.

Steuerelementübersicht

Konfigurieren Sie Single Logout für entsprechende Benutzervorgänge für Verbindungen mit externen Anwendungen oder Identitätsanbietern.

Sicherheitsrisiko, wenn nicht konfiguriert

Eine offene aktive verwaiste Sitzung, die dazu führen kann, dass ein Bedrohungsakteur bei einer seitlichen Bewegung zwischen Anwendungen Sitzungs-Hijacking ausführt, um auf sensible Daten zuzugreifen, ohne dass eine Authentifizierung erforderlich ist.

Bedrohungsszenarien

Wenn ein Benutzer vergisst, sich einzeln von jeder Anwendung abzumelden, kann ein Angreifer mithilfe der Sitzung eine aktive "verwaiste" Sitzung verwenden, um auf sensible Daten zuzugreifen, ohne dass eine Authentifizierung erforderlich ist.

Geschätzter CVSS-Bewertungsbereich

Kritisch (9.0–10.0).

Überlegungen zu Risikoauswirkungen

Der Risikoschweregrad hängt von der Benutzerpopulationsgröße und den Zugriffsberechtigungen ab, die bei der Anmeldung gewährt werden.

Höheres Risiko, wenn

Die Sitzung ist nicht mit Sitzungssteuerungen zum Begrenzen der Sitzung konfiguriert, einschließlich:

• Ineffektive Sitzungs-Timeout-Richtlinie
• Zugriffsumfang für zu hohe Berechtigungen
• IP-Einschränkung für übermäßig hohe Anmeldeberechtigungen

Geringes oder kein Risiko, wenn

Diese Steuerung kann als risikoarm angesehen werden, wenn eine oder mehrere der folgenden Aktionen implementiert sind:

• Regelmäßige Überprüfung von Serviceanbietern: Überprüfen Sie die mit Salesforce als Serviceanbieter verbundenen Anwendungen und machen Sie sich mit den Risiken vertraut.
• Zertifikatverwaltung: Überprüfen Sie regelmäßig das Zertifikat, das verwendet wird, damit Ihre Organisation mit dem Serviceanbieter kommunizieren kann, und verwenden Sie die vertrauenswürdige Zertifizierungsstelle für das Zertifikat.
• Konfiguriert für die erzwungene Authentifizierung: Sicherstellen, dass Benutzer, die bereits bei Salesforce angemeldet sind, ihre Anmeldeinformationen erneut eingeben können, wenn sie versuchen, auf den Serviceanbieter zuzugreifen.
• Anmelde-Timeout: Melden Sie Benutzer automatisch beim Serviceanbieter ab, wenn sie sich bei Salesforce abmelden.
• MFA Enforcement: Die MFA wird für Salesforce-Benutzer erzwungen
• IP-Anmeldeeinschränkung: IP-Anmeldeeinschränkung für Benutzer anhand von Profilen

Überlegungen zu Unternehmen und Integration

Kunden sollten die geschäftliche Begründung für externe verbundene Anwendungen, die eine kontinuierliche Verbindung erfordern, im Einklang mit Zugriffsrichtlinien, behördlichen Anforderungen und Erwartungen an die Benutzererfahrung auswerten.

Empfohlene Sanierung

Überprüfen Sie alle konfigurierten Serviceanbieter- und Identitätsanbieter-Setups, konfigurieren Sie Single Logout oder rotieren Sie die Anmeldeinformationen regelmäßig.

Anleitung zur Sicherheitsintegritätsprüfung

Die Sicherheitsintegritätsprüfung identifiziert Single Logout, das in Salesforce konfiguriert ist, um Kunden zu helfen, das Identitätsverbundrisiko zu reduzieren und unbefugten Zugriff mit den von Salesforce empfohlenen Sicherheitsgrundlagen und Zero Trust-Prinzipien zu verhindern.