Salesforce セキュリティガイド
j脅威検知
脅威検知では、統計および機械学習の手法を駆使して、Salesforce 組織に対する脅威を検知します。
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience |
| 使用可能なエディション: Enterprise Edition、Unlimited Edition、および Developer Edition Salesforce Shield または Salesforce Event Monitoring アドオンサブスクリプションが必要です。 |
具体的に、脅威検知は次の情報を示します。
- ユーザセッションが乗っ取られたかどうか。
- 特定したクレデンシャルスタッフィング攻撃の最中にユーザが正常にログインした状況。クレデンシャルスタッフィングが発生するのは、大規模な自動ログイン要求が、盗取したログイン情報を使用して Salesforce にアクセスした場合です。
- ユーザによるレポートの表示またはエクスポートの異常。
Salesforce では、リアルタイムイベントモニタリングイベントを使用して、検知されたこれらの脅威に関するデータを表示します。たとえば、レポート生成中の異常は ReportAnomalyEvent にストリーミングされ、ReportAnomalyEventStore に保存されます。このドキュメントでは、最初に Salesforce がこうした異常をどのように検知するのかを説明し、続いてイベントの情報を表示し、必要に応じてさらなる調査を行う方法について解説します。
トランザクションセキュリティポリシーを使用した脅威の監視
Salesforce が脅威を検知したときにメールまたはアプリケーション内通知を生成するトランザクションセキュリティポリシーを脅威セキュリティイベントに作成します。検知された脅威を調査した後、ユーザの行動を制御するポリシーを作成することを検討します。
たとえば、リードに関するレポートのレコードを普段より多くエクスポートしたユーザに関する複数の ReportAnomalyEvents を組織が受信したとします。ReportAnomalyEventStore にトランザクションセキュリティポリシーを作成しているため、この異常が発生するたびに通知を受信します。リードオブジェクトの保護を強化するために、ユーザが 11 行以上エクスポートできないようにする ReportEvent ポリシーをレポートに作成することが考えられます。