À première vue, Salesforce ressemble à une plate-forme Software-as-a-Service (SaaS) classique. Quelqu’un pourrait même dire que Salesforce a inventé le marché SaaS. Cependant, plus les gens travaillent avec l’offre complète de Salesforce, plus ils se rendent compte qu’elle va au-delà des capacités d’une plate-forme SaaS traditionnelle.
Par exemple, peu de personnes parlent de la gestion des aspects de sécurité de Mises à jour des versions de Salesforce. En comprenant ce que sont les mises à jour de version, pourquoi elles posent un risque de sécurité et comment les équipes de sécurité peuvent atténuer les risques, les clients de Salesforce peuvent mieux protéger les informations sensibles.
Comment garantir les bonnes configurations pour votre sécurité Salesforce
Que sont les mises à jour des versions de Salesforce ?
Comme Salesforce ne met pas automatiquement à jour sa plateforme, il ne suit pas le modèle SaaS traditionnel. Par exemple, la plupart des plates-formes SaaS ont deux types de versions, de sécurité et d’améliorations de produits. Des mises à jour de sécurité urgentes sont publiées dès qu’une vulnérabilité de sécurité est connue, et les améliorations du produit sont publiées à des dates fixes, telles que trimestrielles ou mensuelles. Dans le cadre du modèle SaaS, le fournisseur met automatiquement à jour la plate-forme.
La politique de mise à jour et de correctifs profite au client et au fournisseur SaaS. Les clients n’ont pas à se soucier de la mise à jour du système afin qu’ils puissent se concentrer sur les aspects essentiels de leur activité. Pendant ce temps, le fournisseur SaaS n’a pas besoin de développer plusieurs versions de mise à jour ni de se soucier de la version la plus récente installée par le client.
Mieux encore, le fournisseur SaaS n’a pas à craindre que les clients subissent une violation de sécurité car il installe automatiquement le correctif de sécurité pour tout le monde. Cela facilite simplement la vie de tout le monde et c’est l’une des raisons pour lesquelles les plateformes SaaS sont immensément populaires.
Les mises à jour de Salesforce fonctionnent différemment
Salesforce fonctionne différemment, très différemment. Ils utilisent un système hybride similaire à certains égards aux logiciels traditionnels qui obligent le client à appliquer des mises à jour jusqu’à la fin de vie et une plate-forme SaaS moderne. Salesforce propose des mises à jour de service saisonnières régulières et des mises à jour de sécurité selon les besoins. Cependant, aucune des deux mises à jour n’est implémentée automatiquement.
Salesforce offre aux administrateurs une « période de grâce » pendant laquelle ils peuvent choisir de mettre à jour la plate-forme. À la fin de cette période, Salesforce pousse la mise à jour automatiquement.
Par exemple, Salesforce a introduit le Appliquer la portée OAuth pour les applications Lightning mise à jour de sécurité à l’été 2021. Le fournisseur recommande aux organisations de l’appliquer d’ici septembre 2021. Cependant, Salesforce ne l’appliquera pas avant l’hiver 2022. Il s’agit d’une mise à jour de sécurité importante, mais les clients n’ont pas besoin de l’installer immédiatement.
Pourquoi les mises à jour de Salesforce fonctionnent différemment
Alors que Salesforce encourage les administrateurs à parcourir une liste de contrôle et à appliquer les mises à jour, il se rend compte que les clients s’appuient sur la flexibilité de la plate-forme et que les changements peuvent avoir un impact sur les personnalisations, comme les développements et les intégrations personnalisés.
Étant donné que toute mise à jour peut être catastrophique pour une organisation, Salesforce donne aux clients le temps d’examiner le contenu de la mise à jour et de préparer Salesforce de l’organisation avant d’activer les modifications.
Quelle est l’importance des mises à jour de sécurité Salesforce ?
Les mises à jour de sécurité Salesforce sont, comme leur nom l’indique, à des fins de sécurité. Ils sont publiés pour résoudre un problème de sécurité, prévenir les attaques et renforcer la posture de sécurité d’un locataire Salesforce. Par conséquent, les clients doivent les installer dès que possible.
Une fois que Salesforce publie une mise à jour, la vulnérabilité à laquelle elle corrige devient de notoriété publique. Cette connaissance signifie que la faiblesse est égale à une vulnérabilité ou exposition commune (CVE) mais sans le numéro attribué. Les mauvais acteurs peuvent facilement accéder à toutes les informations concernant l’exposition et créer un vecteur d’attaque qui utilise la vulnérabilité publiée. Cela rend toutes les organisations qui n’ont pas appliqué la mise à jour de sécurité vulnérables à une attaque.
Étant donné que la plupart des attaques sont basées sur des vulnérabilités connues et publiées sur un jour, attendre pour appliquer la mise à jour crée un risque de violation de données. Tous les mauvais acteurs utilisent des attaques d’un jour, des script kids aux ransomwares professionnels, car les armer est beaucoup plus facile que de rechercher une vulnérabilité inconnue. La plupart des mauvais acteurs recherchent des fruits à portée de main – des organisations sans logiciel mis à jour ou dont la sécurité est laxiste.
C’est pourquoi les professionnels de la sécurité appellent la période allant de la vulnérabilité jusqu’à ce que l’organisation applique une mise à jour de sécurité la fenêtre d’or pour les attaques. Pour cette raison, il est essentiel de mettre à jour tous les logiciels vers la dernière version stable et d’installer les mises à jour de sécurité dès que possible.
Le cas du contrôle d’accès pour les utilisateurs invités
Ce n’est pas seulement une histoire hypothétique ou intéressante. En octobre 2020, le chercheur en sécurité Aaron Costello a découvert que les paramètres d’autorisation de contrôle d’accès dans Salesforce pouvaient permettre aux utilisateurs non authentifiés (« utilisateurs invités ») d’accéder à plus d’informations que prévu en utilisant les faiblesses cumulatives de Salesforce, notamment
- instances Salesforce anciennes et non sécurisées,
- configurations par défaut problématiques,
- complicité et capacités avancées des méthodes « @AuraEnabled ».
Salesforce a suggéré des mesures de sécurité pour les utilisateurs invités, les objets et les API, tout en proposant des mises à jour de sécurité dans les versions Winter ’21 et Spring ’21 suivantes.
Parmi les mises à jour de sécurité figuraient Supprimer l’autorisation Afficher tous les utilisateurs des profils d’utilisateurs invités et Réduire les autorisations d’objet pour les utilisateurs invités.
Les deux suggestions abordent directement la cause première de la menace de sécurité. Problématiquement, c’était trop peu trop tard car les mauvais acteurs étaient au courant de la vulnérabilité depuis octobre 2020. Au moment où Salesforce a poussé les mises à jour vers les différents locataires, les administrateurs devaient activer les mises à jour manuellement. Cela signifie qu’un client peut avoir été exposé pendant 6 à 9 mois avant de corriger lui-même la vulnérabilité.
La responsabilité de l’équipe de sécurité pour Salesforce Security
Bien que Salesforce apporte de la valeur aux organisations, son approche de la gestion des mises à jour de sécurité en fait un type unique de SaaS. De plus, il s’agit d’un système extrêmement complexe avec des milliers de configurations. Bien que beaucoup ne semblent pas importants pour la sécurité, ils peuvent en réalité avoir un impact sur la posture d’un locataire Salesforce.
Par conséquent, le RSSI ou l’équipe de sécurité doivent être plus impliqués qu’ils ne le feraient normalement lors de la gestion de Salesforce. Ils doivent :
- assurez-vous que les configurations sont faites avec la sécurité à l’esprit,
- surveiller les changements,
- s’assurer que les mises à jour n’aggravent pas le niveau de sécurité de l’organisation,
- insister pour que les mises à jour de sécurité soient installées dès que possible
- assurez-vous que l’hygiène de sécurité du locataire Salesforce est bonne.
Heureusement, la catégorie SGestion de la posture de sécurité aaS (SSPM) les outils répondent à ces tâches, et Adaptive Shield est une solution leader sur le marché dans cette catégorie pour activer automatiquement une posture de sécurité SaaS optimale.
Comment Adaptive Shield peut-il aider à sécuriser Salesforce ?
Adaptive Shield comprend la complexité de la sécurisation de Salesforce, parmi de nombreuses autres plates-formes SaaS, car Adaptive Shield fournit aux équipes de sécurité d’une entreprise un contrôle complet des applications SaaS de leur organisation avec une visibilité, des informations détaillées et une correction sur toutes les applications SaaS.
La plate-forme aide les administrateurs Salesforce, les RSSI et les équipes de sécurité à suivre et à surveiller les paramètres et les mises à jour de configuration avec des contrôles de sécurité qui garantissent que le locataire Salesforce est correctement configuré et sécurisé. Cela inclut les autorisations de surveillance, les méthodes « @AuraEnabled », la sécurité de l’API et l’authentification.
Adaptive Shield fournit également des informations d’atténuation claires basées sur les priorités afin que les administrateurs et les équipes de sécurité puissent rapidement sécuriser le locataire Salesforce pour maintenir une posture de sécurité solide. La plate-forme Adaptive Shield permet de sécuriser un locataire Salesforce d’une tâche lourde, complexe et chronophage à une expérience simple, claire, rapide et gérable. Cela empêche des vulnérabilités telles que l’exemple ci-dessus en brisant la chaîne de mauvaises configurations et de mises à jour non appliquées.
Noter: Cet article est écrit par Hananel Livneh, analyste produit senior chez Adaptive Shield.
