Salesforce セキュリティガイド
jクレデンシャルスタッフィングの調査
クレデンシャルスタッフィング攻撃を調査するときは、次のヒントを参考にしてください。
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience |
| 使用可能なエディション: Enterprise Edition、Unlimited Edition、および Developer Edition Salesforce Shield または Salesforce Event Monitoring アドオンサブスクリプションが必要です。 |
まず、攻撃に関する詳細情報を示す、次のリアルタイムイベント監視イベントを照会します。具体的には、次のようになります。
- CredentialStuffingEvent とその情報を保存する CredentialStuffingEventStore は、特定したクレデンシャルスタッフィング攻撃の最中にユーザが Salesforce に正常にログインした状況を追跡します。
- LoginEventStream とその情報を保存する LoginEvent は、Salesforce 組織のすべてのログインアクティビティを追跡します。
たとえば、組織が CredentialStuffingEvent を受信したとします。ここで最初にすることは、イベントの関連する項目を確認し、攻撃に関する次のような基本情報を得ることです。
- UserId: ユーザの一意の ID。この ID を使用して、LoginEvent の詳細を照会します。
- EventDate: この攻撃がいつ発生したか。
- Summary: イベントのテキスト形式の概要。
項目の完全リストについては、API ドキュメントを参照してください。
次の SOQL クエリのサンプルは、上記の項目値を返します。
このようなクエリを使用して、クレデンシャルスタッフィング攻撃の影響を受ける、組織内のユーザを特定できます。これらのユーザは、組織のパスワードを他の Web サイトで使い回したか、そのパスワードが一般的なパターンに従ったもので強度が十分ではありません。組織を守るために、強力なパスワードを作成して管理する方法をユーザに指導します。
また、パスワード保護でセキュリティを向上させることも検討します。パスワード履歴、パスワード長、パスワード文字列の要件を設定できます。また、ユーザがパスワードを忘れた場合の操作も指定できます。もう 1 つのベストプラクティスは、多要素認証 (MFA) を設定することです。最後に、パスワードなしでログインできる Lightning Login を有効にすることを検討します。