1. Security Audit of Salesforce & Other Measures
2021/07/16
テポ(@Typhon666_death)

2. 自己紹介
吉江 瞬(テポ)(@Typhon666_death)
仕事：某セキュリティ専門会社にて、
セキュリティエンジニア/コンサルタント/アナリスト
してます。
活動コミュニティ：
Security-JAWS 運営メンバー
X-Tech JAWS 運営メンバー
JAWS-UG東京支部 運営メンバー
https://www.slideshare.net/Typhon666_death

3. Salesforceのセキュリティ監査した話
• Salesforce設定不備からの漏洩
• Salesforce設定監査した内容
• Salesforceセキュリティ施策あれこれ
• まとめ

4. 未だ途絶えないSalesforce設定不備からの漏洩
https://piyolog.hatenadiary.jp/entry/2020/12/28/060000
最大流出可能件数でいえば、PayPayの約20,000,000件

5. 未だ途絶えないSalesforce設定不備からの漏洩
https://www.okinawatimes.co.jp/articles/-/775625

6. 未だ途絶えないSalesforce設定不備からの漏洩
漏洩起きてないよて言ったのに、、、、
後から突きつけられる漏洩事実とその件数、、
怖いに決まってる、、、

7. SaaSの設定監査
SaaSの設定を監査するための方式は、大きく3通り
SaaSベンダー提供のベストプラクティスを自分達で監査
外部ベンダー(コンサルタント)による設定監査
専用ツール(クラウドサービス)を導入することによる継続的監査
SaaS Security Posture Management (SSPM)

8. Salesforceのゲストユーザー向けセキュリティ強化
こちらの2つを用いて監査しました。
「GUARを使った診断レポート」の活用
https://quip.com/HT4mA9yuy3AV
「ゲストユーザーセキュリティベス
トプラクティスの解説」の活用
trailblazers.salesforce.com/0694S
000001DHlM

9. 「GUARを使った診断レポート」の活用
Salesforce社にて開発したコミュニティ/サイトのゲストユーザ
がアクセスできるオブジェクトと権限の確認ができるアプリケ
ーションを利用して、リスク内容の可視化を自動診断
各サイトごとに出力し対策を確認するものとなります。
カスタムURLも含みます。
オブジェクトアクセス情報における潜在的リスクを公開情報を
もとに確認し、設定修正
約250項目のプロファイル権限について確認
AuraEnabledApexプロファイル権限情報の潜在的リスクの確認
は自社開発や、他社アプリであれば他社に確認する必要あり。

10. 「GUARを使った診断レポート」の活用
以下はレポートをもとに監査した例
定期的にGUARによる診断を行うことも運用設計として組み入れるこ
とをおすすめ

11. 「ゲストユーザーセキュリティベストプラクティスの解説」の活
用
Salesforce TrailblazerCommunityで公開されているカスタ
マーサクセスグループのメンバーが作成した、ゲストユ
ーザーのセキュリティ設定におけるベストプラクティス
集
ゲストユーザーがどのようなデータにアクセスできるよ
うにするか、設計管理するにあたっての方針が記載され
ているもの
2021年2月時点でのベストプラクティスの解説記事で
あり、手引きとなっている
対象ドキュメント内にある確認項目全25項目の内容を各
サイトごとに手引きにそって確認
157ページあります。

12. 「ゲストユーザーセキュリティベストプラクティスの解説」の活
用
以下はレポートをもとに監査した例

13. 他にも考えられるセキュリティ施策
Salesforceのイベント/ログモニタリングを行い、問題がある場合はアラートをあげ
ることで、自社の環境で何が起きているかを把握できるようにすること
Salesforce Event Monitoring
Datadog
NTT-TX TrustBind/CloudDaemon
https://www.datadoghq.com/ja/blog/monitor-salesforce-logs-datadog/

14. 他にも考えられるセキュリティ施策
脆弱性診断を行うことにより、実際に漏洩できない状態にあるかを確認
企業によっては、cronで毎日エクスプロイトコード打ち込んで漏洩していな
いことを確認している企業もある
exploit
exploit

15. 他にも考えられるセキュリティ施策
"Critical Controls Implementation for Salesforce”の翻訳版
Salesforce をクラウドで展開する際に、
どのようなセキュリティの変更が必要かを
組織が判断するのに役立つ
(JP) https://www.cloudsecurityalliance.jp/site/wp-
content/uploads/2021/07/Salesforce-Critical-Controls-
Implementation_J.pdf
(EN) https://cloudsecurityalliance.org/artifacts/critical-
controls-implementation-for-salesforce/

16. おわりに
Salesforceの管理者の方はユーザーが安心して使
えるよう、設定の可視化や、ログモニタリングを
行って、安全に利用できていることを確認するこ
とについて、今一度、気を使ってもらえればと思
います。