Cierre de sesión único

Nombre de control

Cierre de sesión único

Configuración recomendada

Configure, valide y revise regularmente la configuración de Cierre de sesión único de Salesforce para asegurarse de que están configuradas correctamente para cada uno de los casos de uso aplicables en la compañía, donde Salesforce es el Proveedor de servicio, la Parte de apoyo o el Proveedor de identidad.

Descripción general de control

Configure el cierre de sesión único en casos de usuario aplicables para conexiones con aplicaciones externas o proveedores de identidad.

Riesgo de seguridad si no está configurado

Una sesión huérfana activa abierta, que puede llevar al secuestro de sesiones desde un movimiento lateral entre aplicaciones por un actor de amenazas para acceder a datos confidenciales sin necesidad de una autenticación.

Escenarios de amenazas

Si un usuario olvida cerrar sesión en cada aplicación individualmente, un atacante puede utilizar una sesión "huérfana" activa para acceder a datos confidenciales sin necesidad de una autenticación, utilizando la sesión.

Intervalo de puntuaje de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones de impacto de riesgo

La gravedad del riesgo depende del tamaño de la población de usuarios y los privilegios de acceso otorgados al iniciar sesión.

Mayor riesgo cuando

La sesión no está configurada con controles de sesión para limitar la sesión, que incluyen:

• Política de tiempo de espera de sesión ineficaz
• Ámbito de acceso demasiado permisivo
• Restricción de IP de inicio de sesión de permisos excesiva

Bajo o ningún riesgo cuando

Este control se puede considerar de bajo riesgo cuando se implementa uno o más de los elementos siguientes:

• Revisión periódica de proveedores de servicio: Revise las aplicaciones conectadas a Salesforce como proveedores de servicio y comprenda los riesgos.
• Gestión de certificados: Revise periódicamente el certificado utilizado para permitir a su organización comunicarse con el proveedor de servicio, utilice CA de confianza para el certificado.
• Autenticación forzada configurada: Garantizar que los usuarios que ya iniciaron sesión en Salesforce vuelvan a ingresar sus credenciales cuando intentan acceder al proveedor de servicio.
• Tiempo de espera de inicio de sesión: Cierre sesión automáticamente de los usuarios del proveedor de servicio cuando cierran sesión en Salesforce.
• Aplicación de MFA: MFA se aplica para usuarios de Salesforce
• Restricción de inicio de sesión de IP: Restricción de inicio de sesión de IP para usuarios basándose en perfiles

Consideraciones de negocio e integración

Los clientes deben evaluar la justificación de negocio para aplicaciones conectadas externas que requieren conexión continua en alineación con políticas de acceso, requisitos normativos y expectativas de experiencia de usuario.

Remediación recomendada

Revise toda la configuración de Proveedor de servicio y Proveedor de identidad configurada, configure el cierre de sesión único o rote las credenciales periódicamente.

Directrices de revisión del estado de seguridad

Security Health Review identifica el cierre de sesión único configurado en Salesforce para ayudar a los clientes a reducir el riesgo de federación de identidad y evitar el acceso no autorizado con líneas base de seguridad recomendadas por Salesforce y principios de Zero Trust.