Identifier et résoudre les risques / blogs / perficient

Salesforce est une puissante plate-forme CRM qui permet aux entreprises de gérer les données des clients et d’automatiser les workflows. Cependant, assurer la sécurité de votre environnement Salesforce est essentiel pour protéger les données sensibles, le maintien de la conformité et la sauvegarde de vos processus métier. Cet article explorera comment identifier et résoudre les violations de la sécurité de Salesforce, protégeant votre organisation contre les menaces potentielles.

Pourquoi les violations de la sécurité sont-elles importantes dans Salesforce?

Les violations de la sécurité de Salesforce peuvent avoir de graves conséquences pour votre organisation, notamment:

• Violation de données: Instances où les individus non autorisés ont accès à des données sensibles aux clients ou aux entreprises.
• Problèmes de conformité: Violation des réglementations du RGPD, HIPAA ou PCI DSS.
• Dommage à la réputation: Perte de confiance des clients et conséquences juridiques potentielles.
• Interruptions d’entreprise: Perturbations des processus commerciaux et des opérations.

Comprendre les violations de sécurité courantes dans Salesforce

Certaines violations de sécurité de Salesforce courantes comprennent:

1. Autorisations des utilisateurs inappropriés: Accordant des autorisations excessives aux utilisateurs.
2. Politiques de mot de passe faibles: En utilisant des mots de passe faible ou facilement supposables.
3. Code insécurité: Des vulnérabilités telles que l’injection SOQL et les scripts croisés (XSS) dans le code APEX.
4. Règles de partage inadéquats: Partage de données mal configuré, conduisant à un accès non autorisé.
5. Données non cryptées: Stockage des données sensibles dans un format non crypté.

Analyse des violations de la sécurité dans Salesforce: Outils et techniques

Salesforce fournit plusieurs outils et méthodes pour vous aider à identifier les violations de la sécurité. Voici quelques-uns des moyens les plus efficaces d’effectuer une analyse de sécurité:

1 et 1 Outil de vérification de la santé Salesforce

Salesforce fournit le Outil de contrôle de la santé pour évaluer les paramètres de sécurité de votre organisation. Il évalue les configurations de sécurité telles que les stratégies de mot de passe, les paramètres de session et les autorisations utilisateur.

Étapes pour utiliser l’outil de vérification de la santé:

1. Aller à Installation dans Salesforce.
2. Entrer Chèque de santé Dans la boîte de recherche rapide.
3. Faire un clic Chèque de santé sous Sécurité section.
4. Passez en revue votre score de sécurité et suivez les recommandations pour les améliorations.

2. CLI Salesforce pour la numérisation du code

Pour les organisations utilisant du code APEX personnalisé, la numérisation des vulnérabilités comme l’injection SOQL ou le XSS est importante. Vous pouvez utiliser la CLI Salesforce pour automatiser ces chèques.

Exécution des analyses de code via CLI:

3 et 3 Outils de sécurité tiers

Outils tiers comme CheckMarx ou Fortifier Peut effectuer des analyses de sécurité plus profondes de votre organisation Salesforce, en nous concentrant sur les vulnérabilités de code Apex, les intégrations et les erreurs de conformité.

Exemple: injection SOQL dans le code APEX

Une violation de la sécurité standard dans Salesforce est l’injection SOQL. Cela se produit lorsque la saisie de l’utilisateur est directement insérée dans une requête SOQL sans validation appropriée, permettant aux utilisateurs malveillants de manipuler la requête et de gagner un accès non autorisé aux données.

Exemple de code APEX vulnérable

public class AccountSearch {
    public String searchAccount(String accountName) {
        String query = 'SELECT Id, Name FROM Account WHERE Name = \'' + accountName + '\'';
        return Database.query(query);
    }
}

Problème: Le code ci-dessus est vulnérable à l’injection SOQL. Un utilisateur pourrait manipuler le nom du compte Entrée pour exécuter des requêtes malveillantes.

Fixation du code vulnérable

Pour résoudre le problème, utilisez lier les variables Pour insérer en toute sécurité la saisie des utilisateurs dans la requête:

public class AccountSearch {
    public String searchAccount(String accountName) {
        String query = 'SELECT Id, Name FROM Account WHERE Name = :accountName';
        return Database.query(query);
    }
}

Dans le code corrigé, le nom du compte est géré en toute sécurité à l’aide d’une variable de liaison (:nom du compte)empêchant l’injection SOQL.

Test unitaire

@IsTest
private class AccountSearchTest {
    @IsTest
    static void testSearchAccount() {
        // Create test data
        Account testAccount = new Account(Name="Test Account");
        insert new Account(Name="Test Account");  // Insert test account immediately

        // Create an instance of AccountSearch and run the search method
        AccountSearch search = new AccountSearch();
        String result = search.searchAccount('Test Account');
        
        // Verify that the result
        System.assert(result.contains('Test Account'), 'The account search did not return the expected result.');
    }
}

Ce test unitaire garantit que la vulnérabilité d’injection SOQL est fixe et vérifie que la recherche renvoie les résultats corrects.

Conclusion: Protéger votre org Salesforce contre les violations de la sécurité

Pour maintenir la sécurité et l’intégrité de votre environnement Salesforce, il est crucial de rechercher régulièrement et de traiter les violations de sécurité potentielles. Vous pouvez réduire considérablement le risque de violations de sécurité en mettant en œuvre des pratiques de codage sécurisées (par exemple, en utilisant des variables de liaison), en configurant des autorisations utilisateur appropriées et en utilisant régulièrement des outils comme Chèque de santé et le CLI Salesforce.

Meilleures pratiques pour résoudre les violations de la sécurité

• Examiner régulièrement les autorisations: Assurez-vous que les utilisateurs n’ont que l’accès nécessaire.
• Appliquer des politiques de mot de passe solides: Utilisez des mots de passe complexes et activez l’authentification multi-facteurs (MFA).
• Passez en revue le code APEX pour les vulnérabilités: Suivez les pratiques de codage sécurisées pour éviter des problèmes comme l’injection SOQL.
• Crypter des données sensibles: Assurez-vous que les données sensibles sont cryptées pendant la transmission et le stockage.
• Surveiller les alertes de sécurité: Mettez en œuvre la surveillance pour détecter les activités suspectes et agir rapidement.

En identifiant et en résolvant de manière proactive les violations de la sécurité, vous pouvez vous assurer que votre environnement Salesforce reste sécurisé, conforme et résilient aux menaces.

Lire plus approfondie sur Salesforce Security