U bent hier:
Enkelvoudig uitloggen
Configureer Enkelvoudig uitloggen voor van toepassing zijnde gebruikerscases voor verbindingen met externe toepassingen of identiteitsleveranciers.
Salesforce Enkelvoudig uitloggen is een beveiligingsconfiguratie die ervoor zorgt dat de sessie van een gebruiker voor alle verbonden toepassingen tegelijk wordt beëindigd. Zonder SLO kan uitloggen bij Salesforce andere geïntegreerde apps actief laten, wat een aanzienlijk beveiligingshiaat kan veroorzaken.
Salesforce ondersteunt SLO via twee primaire protocollen: SAML en OpenID Connect (OIDC). Welke instellingen beschikbaar zijn, is afhankelijk van het gegeven of Salesforce optreedt als de identiteitsleverancier (IdP) of de serviceprovider (SP).
Beoordeling van beveiligingstoestand geeft informatie over of uw Salesforce-exemplaar is geconfigureerd voor Enkelvoudig uitloggen met behulp van configuratiesignalen die zijn afgestemd op door Salesforce aanbevolen best practices en markeert hiaten die het hoogste beveiligings- en bedrijfsrisico inhouden.
Controlenaam
Enkelvoudig uitloggen
Aanbevolen configuratie
Configureer, valideer en controleer regelmatig de set-up van Salesforce Enkelvoudig uitloggen om er zeker van te zijn dat deze correct zijn geconfigureerd voor elk van de van toepassing zijnde gebruikscases in het bedrijf, waarbij Salesforce de Serviceprovider, Vertrouwende partij of Identiteitsleverancier is.
Overzicht van besturingselementen
Configureer Enkelvoudig uitloggen voor van toepassing zijnde gebruikerscases voor verbindingen met externe toepassingen of identiteitsleveranciers.
Beveiligingsrisico indien niet geconfigureerd
Een open actieve weessessie, die kan leiden tot sessie-overname vanuit een zijdelingse beweging tussen toepassingen door een bedreigingsactoren om toegang te krijgen tot gevoelige gegevens zonder authenticatie.
Dreigingsscenario's
Als een gebruiker vergeet uit te loggen bij elke app afzonderlijk, kan een aanvaller een actieve "wees"-sessie gebruiken om toegang te krijgen tot gevoelige gegevens zonder authenticatie, met behulp van de sessie.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
De ernst van het risico is afhankelijk van de grootte van de gebruikerspopulatie en de toegangsprivileges die bij inloggen worden verleend.
Hoger risico wanneer
Sessie is niet geconfigureerd met sessiebesturingselementen om de sessie te beperken, waaronder:
- Ineffectief sessietime-outbeleid
- Bereik van te toegestane toegang
- Beperking van inlog-IP voor overmatige machtiging
Laag of geen risico wanneer
Deze controle kan als laag risico worden beschouwd wanneer een of meer van de volgende zaken worden geïmplementeerd:
- Periodieke beoordeling van serviceproviders: Controleer toepassingen die zijn verbonden met Salesforce als serviceproviders en krijg inzicht in de risico's.
- Certificaatbeheer: Controleer periodiek het certificaat dat wordt gebruikt om uw organisatie in staat te stellen te communiceren met de serviceprovider. Gebruik vertrouwde CA voor certificaat.
- Geforceerde authenticatie geconfigureerd: Ervoor zorgen dat gebruikers die al zijn ingelogd bij Salesforce, hun inloggegevens opnieuw moeten opgeven wanneer ze toegang proberen te krijgen tot de serviceprovider.
- Time-out bij inloggen: Log gebruikers automatisch uit bij de serviceprovider wanneer ze uitloggen bij Salesforce.
- MFA-afdwinging: MFA wordt afgedwongen voor Salesforce-gebruikers
- IP-inlogbeperking: IP-inlogbeperking voor gebruikers op basis van profielen
Overwegingen bij bedrijf en integratie
Klanten moeten de zakelijke rechtvaardiging evalueren voor externe verbonden apps die continue verbinding vereisen in overeenstemming met het toegangsbeleid, wettelijke vereisten en verwachtingen van de gebruikerservaring.
Aanbevolen oplossing
Controleer alle geconfigureerde instellingen voor Serviceprovider en Identiteitsleverancier, configureer enkelvoudig uitloggen of roteer de inloggegevens periodiek.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert enkelvoudig uitloggen dat is geconfigureerd in Salesforce om klanten te helpen het risico van identiteitsbundeling te verminderen en ongeoorloofde toegang te voorkomen met door Salesforce aanbevolen beveiligingsbaselines en Zero Trust principes.
Zie ook:
- De MFA-service van uw SSO-identiteitsleverancier gebruiken voor Salesforce-organisaties
- SAML configureren voor enkelvoudig uitloggen met Salesforce als de serviceprovider
- OpenID Connect configureren voor enkelvoudig uitloggen met Salesforce als de vertrouwende partij
- SAML configureren voor enkelvoudig uitloggen met Salesforce als de identiteitsaanbieder
- OpenID Connect configureren voor enkelvoudig uitloggen met Salesforce als de OpenID Connect-aanbieder
