Salesforce セキュリティガイド
jクレデンシャルスタッフィングの調査
クレデンシャルスタッフィング攻撃を調査するときは、次のヒントを参考にしてください。
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience |
| 使用可能なエディション: Enterprise Edition、Unlimited Edition、および Developer Edition Salesforce Shield または Salesforce Event Monitoring アドオンサブスクリプションが必要です。 |
まず、攻撃に関する詳細情報を示す、次のリアルタイムイベント監視イベントを照会します。具体的には、次のようになります。
- CredentialStuffingEvent とその情報を保存する CredentialStuffingEventStore は、特定したクレデンシャルスタッフィング攻撃の最中にユーザーが Salesforce に正常にログインした状況を追跡します。
- LoginEventStream とその情報を保存する LoginEvent は、Salesforce 組織のすべてのログイン活動を追跡します。
たとえば、組織が CredentialStuffingEvent を受信したとします。ここで最初にすることは、イベントの関連する項目を確認し、攻撃に関する次のような基本情報を得ることです。
- UserId: ユーザーの一意の ID。この ID を使用して、LoginEvent の詳細を照会します。
- EventDate: この攻撃がいつ発生したか。
- Summary: イベントのテキスト形式の概要。
項目の完全リストについては、API ドキュメントを参照してください。
次の SOQL クエリのサンプルは、上記の項目値を返します。
このようなクエリを使用して、クレデンシャルスタッフィング攻撃の影響を受ける、組織内のユーザーを特定できます。これらのユーザーが組織のパスワードを他の Web サイトで再利用したか、そのパスワードが一般的なパターンに従ったもので強度が十分ではありません。組織を守るために、強力なパスワードを作成して管理する方法をユーザーに指導します。
また、パスワード保護でセキュリティを向上させることも検討します。パスワード履歴、パスワード長、パスワード文字列の要件を設定できます。また、ユーザーがパスワードを忘れた場合の操作も指定できます。Salesforce では、ユーザーインターフェースへのログイン時に必ず多要素認証 (MFA) を使用することを義務付けています。すべてのユーザーに対して MFA が有効になっていることを確認してください。最後に、パスワードなしでログインできる Lightning Login を有効にすることを検討します。