ISVforce ガイド
jソリューション全体のテスト
手動テストおよび自動セキュリティスキャナツールを使用して、ソリューションの全範囲をテストします。セキュリティスキャンを実行するときには、Salesforce Platform と独立して動作する外部エンドポイントをすべて含めます。セキュリティ違反の偽陽性を記録し、Salesforce のセキュリティガイドラインを満たさないコードをすべて修正します。
テスト範囲
セキュリティレビューを申請するソリューションのあらゆる部分をテストします。Salesforce Platform でホストされないエンドポイントも含めて、ソリューションのアーキテクチャがセキュアであることを確認します。ソリューションのあらゆるコンポーネントとレイヤに注意することで、ハッカーや不正ソフトウェアによって潜在的なエントリポイントが悪用されるリスクを最小限に抑えることができます。
ソリューションの全範囲がセキュリティレビューテストの対象となります。たとえば、Salesforce は、Development Edition テスト組織を攻撃し、機密データへのアクセスや虚偽のログイン情報を使用した認証を試みる侵入テストを実行することができます。
テスト範囲を判断するために、データをフォローする手法を用います。ユーザやデータがアクセスする部分がすべて範囲に含まれます。たとえば、お客様である Salesforce ユーザがあなたの会社の Web サイトにログインする必要がある、またはデータがサードパーティのサーバに同期されるとします。これらの部分をテストし、ログイン情報とデータが安全に転送されることを確認します。
次の条件のいずれかに当てはまる場合、外部エンドポイントはセキュリティレビューの範囲に含まれ、セキュリティテストの必須部分となります。
- エンドポイントは、ソリューションの購入、サポート、または使用の一環としてエンドユーザの認証で役割を果たします。この定義には、ログイン情報の手動入力が不要の接続アプリケーションも含まれます。
- Salesforce データはエンドポイントへ、またはエンドポイントから転送されません。
自動スキャンツール
ソリューションとエンドポイントのセキュリティの脆弱性を特定するために、特定の自動セキュリティスキャンツールを実行する必要があります。
Partner Security Portal では、Salesforce でサポートされる Source Code Scanner (Checkmarx スキャナとも呼ばれる) と Chimera スキャナという 2 つのセキュリティスキャナにアクセスできます。Partner Security Portal にはないスキャナを (必要に応じて) 使用することもできます。
この表には、必須または推奨する自動セキュリティスキャナツールがまとめられています。
| セキュリティスキャナツール | スキャン対象 | 考慮事項 | 申請時に結果を提出 | Partner Security Portal でホスト |
|---|---|---|---|---|
| Source Code Scanner (Checkmarx) | Apex、Visualforce、Lightning コード |
|
はい | はい |
| PMD Source Code Analyzer | Apex コード |
|
いいえ | いいえ |
| Chimera | 自分が所有しているドメインの外部エンドポイント |
|
はい | はい |
| OWASP Zed Attack Proxy (ZAP) | 外部エンドポイント |
|
はい | いいえ |
| Burp Suite | 外部エンドポイント |
|
はい | いいえ |