Salesforce Experience Cloud の設定ミスによる情報漏えいを防ぐ方法
最新のレポートによると、銀行や医療機関など、機密情報を取り扱う部署が多い組織において、不備な設定のためにて認証されていないユーザーにデータが漏えいしてしまう Salesforce Experience Cloud（旧Community Cloud）サイトを公開していることが明らかになりました。
Experience Cloudは、組織がSalesforceが標準機能として提供しているテンプレートを用いた簡単かつスピーディーなWebサイトが簡単に構築ができ、社内の従業員だけでなく、顧客や外部のビジネスパートナー（販売代理店やリセラー、仲介業者、フランチャイズ）と情報共有できます。このWebサイトは、ログイン資格情報を与えられた登録済み（または認証済み）ユーザーと、ログイン資格情報を持たないゲスト（未認証ユーザー）の両者にコンテンツを提供することがでいます。
4月下旬、米国のサイバーセキュリティジャーナリストのBrian Krebs（ブライアン・クレブス）氏は、通常は認証されたユーザーにのみ提供されている機密データが、管理者の設定ミスによりゲストがアクセスできることを複数のWebサイトで発表しました。組織によって情報の種類は異なりますが、Krebs氏が強調したある例では、ゲストが社会保障番号、電話番号、銀行口座番号などのデータにアクセスできるとのことです。
この問題は、Salesforceのセキュリティ上の脆弱性や欠陥ではなく、Webサイトのアクセス権の設定方法に関するよくある誤解から生じています。
ゲストを含むすべての外部ユーザーがこの機密データにアクセスできる根本的な原因を具体的に解析すると、はオブジェクトタイプが「デフォルトの外部アクセス権」で「パブリック読み取り」または「パブリック読み取り/書き込み」に設定されている場合です（Salesforceが「外部ユーザー」と見なすものの詳細については、こちらをご覧ください）。
この設定ミスにより、攻撃者は「ゲストユーザー向けのLightning Experience」機能を通じて、利用可能なREST APIを使用してデータを照会できるようになります。実を言うと、これは既知の問題であり、2021年から悪用され続けています。
幸い、この問題には簡単な緩和策がいくつかあります:
- 「デフォルトの外部共有」を無効にして、適切なユーザープロファイル/グループにのみデータへのアクセスを許可する共有ルールを定義します。
- Salesforceの「設定」から検索ボックスで「共有設定」検索し、「共有設定」を選択します。
- 「デフォルトの外部アクセス権」の設定が、「非公開」に制限されていることを確認します。
- 本番環境に展開する前に、必ずサンドボックス環境で、すべての「デフォルトの外部アクセス権」を「非公開」に設定してテストしてください。
- オブジェクト設定は、特定のニーズごとに1つずつ開くことができます。
- 重要：セキュリティのベストプラクティスに従う場合は、すべての「外部アクセス権」の設定を「非公開」にし、共有ルールを使用して、そのデータへのアクセス権を持つ必要があるユーザーのみに共有アクセスを拡張します。たとえば、自分のレコードのみ、またはグループ、ロール、テリトリーに基づいたレコードなどです。
- 組織にとって、「ゲストユーザー向けのLightning Experience」機能を無効にすることが選択肢となるのかを検討してください。これにより、ゲスト以外のユーザーでない限り、Lightning REST AP（データへのアクセス権を照会するために使用される）を使用できなくなり、この問題を悪用し難くなります。
ウィズセキュアのプリンシパルセキュリティコンサルタントであるAntti Tuomi(アンッティ・トゥオミ) によると、この問題が蔓延していることは明白で、組織がより広範なセキュリティの課題に直面していることを物語っているとのことです。
「多くの組織は、プラットフォームのセキュリティを維持・開発するための時間とスキルの確保に苦労している可能性が高く、つまり、リリースアップデートを読んで評価していない可能性が推察されます。変更点に注意を払い、セキュリティへの影響を分析するための時間を割かなければ、小さな個別の要因が積み重なって重大なリスクを引き起こす可能性があります」と説明しています。「このようなプラットフォームは大規模で常に進化しており、組織は必要なリソースを確実に割り当て、実装の安全性を確保できるようにすることが重要です」
組織のセキュリティ構成を見直し、Experience Cloudやその他のプラットフォームを堅牢化するために追加のサポートが必要な場合は、こちらから当社のクラウドセキュリティコンサルタントにお問い合わせください。
また、ウィズセキュアでは、Salesforce経由で共有されるコンテンツの安全性の確保に関するサポートも提供しており、Salesforce環境にアップロードされるデータに関する盲点を特定するための無料のコンテンツリスク評価も提供しています。