Nhìn bề ngoài, Salesforce có vẻ giống như một nền tảng Phần mềm như một Dịch vụ (SaaS) cổ điển. Ai đó thậm chí có thể tranh luận rằng Salesforce đã phát minh ra thị trường SaaS. Tuy nhiên, càng nhiều người làm việc với sự cung cấp đầy đủ của Salesforce, họ càng nhận ra rằng nó vượt xa khả năng của nền tảng SaaS truyền thống.
Ví dụ: ít người nói về việc quản lý các khía cạnh bảo mật của Bản cập nhật phát hành của Salesforce. Bằng cách hiểu Bản cập nhật phát hành là gì, tại sao chúng gây ra rủi ro bảo mật và cách nhóm bảo mật có thể giảm thiểu rủi ro, khách hàng của Salesforce có thể bảo vệ thông tin nhạy cảm tốt hơn.
Cách đảm bảo cấu hình phù hợp cho bảo mật Salesforce của bạn
Bản cập nhật phát hành của Salesforce là gì?
Vì Salesforce không tự động cập nhật nền tảng của mình nên nó không tuân theo mô hình SaaS truyền thống. Ví dụ: hầu hết các nền tảng SaaS có hai loại bản phát hành, bảo mật và cải tiến sản phẩm. Các bản cập nhật bảo mật khẩn cấp được phát hành ngay khi biết lỗ hổng bảo mật và các bản cải tiến sản phẩm được phát hành vào những ngày cố định, chẳng hạn như hàng quý hoặc hàng tháng. Là một phần của mô hình SaaS, nhà cung cấp tự động cập nhật nền tảng.
Chính sách cập nhật và vá lỗi mang lại lợi ích cho khách hàng và nhà cung cấp SaaS. Khách hàng không cần phải lo lắng về việc cập nhật hệ thống để họ có thể tập trung vào các khía cạnh cốt lõi của hoạt động kinh doanh của mình. Trong khi đó, nhà cung cấp SaaS không cần phải phát triển nhiều phiên bản cập nhật hoặc lo lắng về phiên bản mới nhất mà khách hàng đã cài đặt.
Tốt hơn, nhà cung cấp SaaS không cần phải lo lắng rằng khách hàng sẽ gặp phải lỗi vi phạm bảo mật vì nó sẽ tự động cài đặt bản vá bảo mật cho tất cả mọi người. Nó chỉ làm cho cuộc sống của mọi người dễ dàng hơn và là một trong những lý do mà các nền tảng SaaS vô cùng phổ biến.
Cập nhật Lực lượng bán hàng hoạt động khác nhau
Lực lượng bán hàng hoạt động khác, rất khác. Họ sử dụng một hệ thống kết hợp tương tự về một số mặt với phần mềm truyền thống yêu cầu khách hàng áp dụng các bản cập nhật cho đến EOL và nền tảng SaaS hiện đại. Salesforce cung cấp các bản cập nhật dịch vụ theo mùa thường xuyên và các bản cập nhật bảo mật khi cần thiết. Tuy nhiên, không có bản cập nhật nào được triển khai tự động.
Salesforce cung cấp cho quản trị viên một “thời gian gia hạn” để họ có thể chọn cập nhật nền tảng. Vào cuối giai đoạn này, Salesforce đã tự động đẩy bản cập nhật thông qua.
Ví dụ: Salesforce đã giới thiệu Thực thi phạm vi OAuth cho ứng dụng Lightning bản cập nhật bảo mật vào Mùa hè năm 2021. Nhà cung cấp khuyến nghị các tổ chức nên áp dụng nó trước tháng 9 năm 2021. Tuy nhiên, Salesforce sẽ không thực thi bản cập nhật này cho đến Mùa đông năm 2022. Đây là bản cập nhật bảo mật quan trọng nhưng khách hàng không cần cài đặt ngay.
Tại sao các bản cập nhật của Lực lượng bán hàng lại hoạt động khác biệt
Mặc dù Salesforce khuyến khích quản trị viên chạy qua một danh sách kiểm tra và áp dụng các bản cập nhật, nhưng nó nhận ra rằng khách hàng dựa vào tính linh hoạt của nền tảng và những thay đổi có thể ảnh hưởng đến các tùy chỉnh, như phát triển và tích hợp tùy chỉnh.
Vì bất kỳ bản cập nhật nào cũng có thể là thảm họa đối với một tổ chức, Salesforce cho khách hàng thời gian để xem xét nội dung của bản cập nhật và chuẩn bị cho Salesforce của tổ chức trước khi kích hoạt các thay đổi.
Tầm quan trọng của Cập nhật Bảo mật Salesforce là gì?
Bản cập nhật bảo mật của Salesforce, như tên cho thấy, dành cho mục đích bảo mật. Chúng được xuất bản để khắc phục sự cố bảo mật, ngăn chặn các cuộc tấn công và củng cố vị thế bảo mật của người thuê Salesforce. Vì vậy, khách hàng nên cài đặt chúng càng sớm càng tốt.
Khi Salesforce xuất bản bản cập nhật, lỗ hổng mà nó đang vá sẽ trở thành kiến thức chung. Kiến thức này có nghĩa là điểm yếu tương đương với một lỗ hổng phổ biến hoặc mức độ phơi nhiễm (CVE) nhưng không có số chỉ định. Những kẻ xấu có thể dễ dàng truy cập vào tất cả các thông tin liên quan đến việc phơi bày và tạo ra một vectơ tấn công sử dụng lỗ hổng đã được công bố. Điều này đặt tất cả các tổ chức chưa thực thi bản cập nhật bảo mật dễ bị tấn công.
Vì hầu hết các cuộc tấn công đều dựa trên các lỗ hổng trong 1 ngày đã biết, đã được công bố, nên việc chờ đợi để áp dụng bản cập nhật sẽ tạo ra nguy cơ vi phạm dữ liệu. Tất cả những kẻ xấu đều sử dụng các cuộc tấn công trong 1 ngày, từ những đứa trẻ viết kịch bản cho đến những tin tặc ransomware chuyên nghiệp, vì việc vũ khí hóa chúng dễ dàng hơn nhiều so với việc tìm kiếm một lỗ hổng không xác định. Hầu hết các tác nhân xấu đều tìm kiếm những thành quả thấp – các tổ chức không có phần mềm cập nhật hoặc có bảo mật lỏng lẻo.
Đây là lý do tại sao các chuyên gia bảo mật gọi khoảng thời gian từ khi có lỗ hổng bảo mật cho đến khi tổ chức thực thi bản cập nhật bảo mật là cửa sổ vàng cho các cuộc tấn công. Vì lý do đó, điều quan trọng là phải cập nhật tất cả phần mềm lên phiên bản ổn định mới nhất và cài đặt các bản cập nhật bảo mật càng sớm càng tốt.
Trường hợp kiểm soát truy cập cho người dùng khách
Đây không chỉ là một câu chuyện giả định hay thú vị. Vào tháng 10 năm 2020, nhà nghiên cứu bảo mật Aaron Costello đã phát hiện ra rằng cài đặt quyền kiểm soát truy cập trong Salesforce có thể cho phép người dùng chưa được xác thực (“người dùng khách”) truy cập nhiều thông tin hơn dự định bằng cách sử dụng các điểm yếu tích lũy trong Salesforce, bao gồm
- các phiên bản Salesforce cũ và không an toàn,
- cấu hình mặc định có vấn đề,
- khả năng đồng lõa và nâng cao của các phương thức “@AuraEnabled”.
Salesforce đã đề xuất các biện pháp bảo mật cho người dùng, đối tượng và API khách, đồng thời thúc đẩy các Bản cập nhật bảo mật trong các bản phát hành Winter ’21 và Spring ’21 tiếp theo.
Trong số các Bản cập nhật bảo mật có Xóa quyền xem tất cả người dùng khỏi hồ sơ người dùng khách và Giảm quyền đối tượng cho người dùng khách.
Cả hai đề xuất đều giải quyết trực tiếp nguyên nhân gốc rễ của mối đe dọa bảo mật. Vấn đề là, điều này đã quá muộn vì những kẻ xấu đã biết về lỗ hổng bảo mật từ tháng 10 năm 2020. Vào thời điểm Salesforce đẩy các bản cập nhật cho các đối tượng thuê khác nhau, các quản trị viên cần kích hoạt các bản cập nhật theo cách thủ công. Điều này có nghĩa là một khách hàng có thể đã gặp rủi ro trong khoảng thời gian từ 6 – 9 tháng trước khi tự mình sửa chữa lỗ hổng bảo mật.
Trách nhiệm của nhóm bảo mật đối với Salesforce Security
Mặc dù Salesforce cung cấp giá trị cho các tổ chức, nhưng cách tiếp cận của nó để quản lý các bản cập nhật bảo mật khiến nó trở thành một loại SaaS duy nhất. Ngoài ra, nó là một hệ thống cực kỳ phức tạp với hàng nghìn cấu hình. Mặc dù nhiều người dường như không quan trọng đến vấn đề bảo mật, nhưng chúng thực sự có thể ảnh hưởng đến tư thế của người thuê Salesforce.
Do đó, CISO hoặc nhóm bảo mật cần phải tham gia nhiều hơn so với bình thường khi quản lý Salesforce. Họ cần phải:
- đảm bảo cấu hình được thực hiện có lưu ý đến bảo mật,
- theo dõi các thay đổi,
- đảm bảo các bản cập nhật không làm xấu đi tình hình bảo mật của tổ chức,
- nhấn mạnh rằng Bản cập nhật bảo mật được cài đặt càng sớm càng tốt
- đảm bảo rằng vệ sinh an ninh của người thuê Salesforce được tốt.
May mắn thay, danh mục của SaaS Quản lý tư thế an toàn (SSPM) các công cụ giải quyết các nhiệm vụ này và Lá chắn thích ứng là giải pháp dẫn đầu thị trường trong danh mục này để tự động kích hoạt tư thế bảo mật SaaS tối ưu.
Làm cách nào để Adaptive Shield giúp bảo vệ Salesforce?
Adaptive Shield hiểu sự phức tạp của việc bảo mật Salesforce, trong số nhiều nền tảng SaaS khác, vì Adaptive Shield cung cấp cho các nhóm bảo mật của doanh nghiệp quyền kiểm soát hoàn toàn các ứng dụng SaaS của tổ chức họ với khả năng hiển thị, thông tin chi tiết và cách khắc phục trên tất cả các ứng dụng SaaS.
Nền tảng này giúp quản trị viên Salesforce, CISO và nhóm bảo mật theo dõi và giám sát các cài đặt và cập nhật cấu hình bằng các kiểm tra bảo mật để đảm bảo rằng đối tượng thuê Salesforce được định cấu hình và bảo mật đúng cách. Điều này bao gồm quyền giám sát, phương thức “@AuraEnabled”, bảo mật API và xác thực.
Adaptive Shield cũng cung cấp thông tin giảm thiểu dựa trên mức độ ưu tiên rõ ràng để quản trị viên và nhóm bảo mật có thể nhanh chóng bảo vệ đối tượng thuê Salesforce để duy trì một thế trận an ninh mạnh mẽ. Nền tảng Lá chắn Thích ứng làm cho nhiệm vụ đảm bảo người thuê Salesforce từ cồng kềnh, phức tạp và tốn thời gian – trở thành một trải nghiệm dễ dàng, rõ ràng, nhanh chóng và dễ quản lý. Điều này ngăn chặn các lỗ hổng như ví dụ trên bằng cách phá vỡ chuỗi cấu hình sai và cập nhật không bắt buộc.
Ghi chú: Bài báo này được viết bởi Hananel Livneh, Nhà phân tích sản phẩm cao cấp tại Adaptive Shield.
