Contrôle de déconnexion unique

Nom du contrôle

Déconnexion unique

Configuration recommandée

Configurez, validez et vérifiez régulièrement la configuration de la déconnexion unique Salesforce pour vous assurer qu'elle est correctement configurée pour chaque cas d'utilisation applicable dans l'entreprise, où Salesforce est le fournisseur de services, la partie de confiance ou le fournisseur d'identité.

Vue d'ensemble du contrôle

Configurez la déconnexion unique dans les cas utilisateur applicables pour les connexions avec des applications externes ou des fournisseurs d'identité.

Risque de sécurité s'il n'est pas configuré

Une session orpheline active ouverte, qui peut entraîner un piratage de session à partir d'un déplacement latéral entre les applications par un acteur de menace pour accéder à des données confidentielles sans avoir besoin d'authentification.

Scénarios de menace

Si un utilisateur oublie de se déconnecter individuellement de chaque application, un assaillant peut utiliser une session « orpheline » active pour accéder à des données confidentielles sans authentification, en utilisant la session.

Plage de score CVSS estimée

Critique (9,0 à 10,0).

Considérations relatives à l'impact sur le risque

La sévérité du risque dépend de la taille de la population d'utilisateurs et des privilèges d'accès accordés lors de la connexion.

Risque plus élevé quand

La session n'est pas configurée avec des contrôles de session pour limiter la session, qui comprennent :

• Stratégie d'expiration de session inefficace
• Étendue de l'accès trop permissif
• Restriction IP de connexion avec autorisation excessive

Risque faible ou nul

Ce contrôle peut être considéré comme à faible risque lorsqu'un ou plusieurs des éléments suivants sont mis en œuvre :

• Examen périodique des fournisseurs de services : Examinez les applications connectées à Salesforce en tant que fournisseurs de services et comprenez les risques.
• Gestion des certificats : Vérifiez périodiquement le certificat utilisé pour permettre à votre organisation de communiquer avec le fournisseur de services, utilisez CA de confiance pour le certificat.
• Authentification forcée configurée : Garantir que les utilisateurs déjà connectés à Salesforce saisissent de nouveau leurs identifiants lorsqu'ils tentent d'accéder au fournisseur de services.
• Expiration de la connexion : Déconnectez automatiquement les utilisateurs du fournisseur de services lorsqu'ils se déconnectent de Salesforce.
• Application de la MFA : Application automatique de la MFA pour les utilisateurs de Salesforce
• Restriction de connexion IP : Restriction de la connexion IP pour les utilisateurs basée sur des profils

Considérations relatives à l'entreprise et à l'intégration

Les clients doivent évaluer la justification métier des applications connectées externes qui nécessitent une connexion continue, conformément aux politiques d'accès, aux exigences réglementaires et aux attentes en matière d'expérience utilisateur.

Remédiation recommandée

Vérifiez toutes les configurations de Fournisseur de services et Fournisseur d’identité configurées, configurez la déconnexion unique ou permutez périodiquement les identifiants.

Guide d'examen sanitaire de sécurité

Security Health Review identifie la déconnexion unique configurée dans Salesforce pour aider les clients à réduire le risque de fédération de l'identité, et empêcher les accès non autorisés avec les bases de sécurité recommandées par Salesforce et les principes Zero Trust.