En la superficie, Salesforce parece una plataforma clásica de software como servicio (SaaS). Alguien podría incluso argumentar que Salesforce inventó el mercado SaaS. Sin embargo, cuantas más personas trabajen con la oferta completa de Salesforce, más se darán cuenta de que va más allá de las capacidades de una plataforma SaaS tradicional.

Por ejemplo, pocas personas hablan sobre la gestión de los aspectos de seguridad de Actualizaciones de lanzamiento de Salesforce. Al comprender qué son las actualizaciones de lanzamiento, por qué representan un riesgo de seguridad y cómo los equipos de seguridad pueden mitigar el riesgo, los clientes de Salesforce pueden proteger mejor la información confidencial.

Cómo garantizar las configuraciones correctas para su seguridad de Salesforce

¿Qué son las actualizaciones de lanzamiento de Salesforce?

Dado que Salesforce no actualiza automáticamente su plataforma, no sigue el modelo SaaS tradicional. Por ejemplo, la mayoría de las plataformas SaaS tienen dos tipos de lanzamientos, seguridad y mejoras del producto. Las actualizaciones de seguridad urgentes se publican tan pronto como se conoce una vulnerabilidad de seguridad, y las mejoras del producto se publican en fechas fijas, como trimestral o mensualmente. Como parte del modelo SaaS, el proveedor actualiza automáticamente la plataforma.

La política de actualizaciones y parches beneficia al cliente y al proveedor de SaaS. Los clientes no necesitan preocuparse por actualizar el sistema para que puedan concentrarse en los aspectos centrales de su negocio. Mientras tanto, el proveedor de SaaS no necesita desarrollar múltiples versiones de actualización ni preocuparse por la versión más reciente instalada por el cliente.

Mejor aún, el proveedor de SaaS no necesita preocuparse de que los clientes experimenten una brecha de seguridad porque instala automáticamente el parche de seguridad para todos. Simplemente facilita la vida de todos y es una de las razones por las que las plataformas SaaS son inmensamente populares.

Las actualizaciones de Salesforce funcionan de manera diferente

Salesforce funciona de manera diferente, muy diferente. Utilizan un sistema híbrido que es similar en algunos aspectos al software tradicional que requiere que el cliente aplique actualizaciones hasta EOL y una plataforma SaaS moderna. Salesforce ofrece actualizaciones periódicas de servicio de temporada y actualizaciones de seguridad según sea necesario. Sin embargo, ninguna actualización se implementa automáticamente.

Salesforce otorga a los administradores un «período de gracia» en el que pueden optar por actualizar la plataforma. Al final de este período, Salesforce envía la actualización automáticamente.

Por ejemplo, Salesforce introdujo el Hacer cumplir el alcance de OAuth para aplicaciones Lightning actualización de seguridad en el verano de 2021. El proveedor recomienda que las organizaciones la apliquen antes de septiembre de 2021. Sin embargo, Salesforce no la aplicará hasta el invierno de 2022. Esta es una actualización de seguridad importante, pero los clientes no necesitan instalarla de inmediato.

Por qué las actualizaciones de Salesforce funcionan de manera diferente

Si bien Salesforce alienta a los administradores a ejecutar una lista de verificación y aplicar las actualizaciones, se da cuenta de que los clientes confían en la flexibilidad de la plataforma y que los cambios pueden afectar las personalizaciones, como los desarrollos personalizados y las integraciones.

Dado que cualquier actualización puede ser catastrófica para una organización, Salesforce brinda a los clientes tiempo para revisar el contenido de la actualización y preparar el Salesforce de la organización antes de activar los cambios.

¿Cuál es la importancia de las actualizaciones de seguridad de Salesforce?

Las actualizaciones de seguridad de Salesforce son, como sugiere el nombre, por motivos de seguridad. Se publican para corregir un problema de seguridad, prevenir ataques y fortalecer la postura de seguridad de un arrendatario de Salesforce. Por lo tanto, los clientes deben instalarlos lo antes posible.

Una vez que Salesforce publica una actualización, la vulnerabilidad que está reparando se convierte en conocimiento general. Este conocimiento significa que la debilidad es igual a una vulnerabilidad o exposición común (CVE) pero sin el número asignado. Los malos actores pueden acceder fácilmente a toda la información relacionada con la exposición y crear un vector de ataque que utilice la vulnerabilidad publicada. Esto hace que todas las organizaciones que no hayan aplicado la actualización de seguridad sean vulnerables a un ataque.

Dado que la mayoría de los ataques se basan en vulnerabilidades conocidas y publicadas de 1 día, esperar para aplicar la actualización crea un riesgo de filtración de datos. Todos los malhechores usan ataques de 1 día, desde script kids hasta hackers profesionales de ransomware, ya que convertirlos en armas es mucho más fácil que buscar una vulnerabilidad desconocida. La mayoría de los malos actores buscan frutos al alcance de la mano: organizaciones sin software actualizado o que tienen una seguridad poco estricta.

Esta es la razón por la cual los profesionales de la seguridad llaman al período desde la vulnerabilidad hasta que la organización aplica una actualización de seguridad la ventana dorada para los ataques. Por ese motivo, es fundamental actualizar todo el software a la última versión estable e instalar actualizaciones de seguridad lo antes posible.

El caso del control de acceso para usuarios invitados

Esta no es solo una historia hipotética o interesante. En octubre de 2020, el investigador de seguridad Aaron Costello descubrió que la configuración de permisos de control de acceso en Salesforce podría permitir a los usuarios no autenticados («usuarios invitados») acceder a más información de la prevista mediante el uso de puntos débiles acumulados en Salesforce, incluidos

• instancias de Salesforce antiguas y no seguras,
• configuraciones predeterminadas problemáticas,
• complicidad y habilidades avanzadas de los métodos «@AuraEnabled».

Salesforce sugirió medidas de seguridad para usuarios invitados, objetos y API, al mismo tiempo que impulsó actualizaciones de seguridad en las siguientes versiones Winter ’21 y Spring ’21.

Entre las actualizaciones de seguridad se encontraban Eliminar el permiso Ver todos los usuarios de los perfiles de usuarios invitados y Reducir los permisos de objetos para usuarios invitados.

Ambas sugerencias abordan directamente la causa raíz de la amenaza a la seguridad. Problemáticamente, esto fue demasiado poco y demasiado tarde porque los malos actores conocían la vulnerabilidad desde octubre de 2020. Para cuando Salesforce envió las actualizaciones a los diferentes inquilinos, los administradores necesitaban activar las actualizaciones manualmente. Esto significa que un cliente podría haber estado en riesgo entre 6 y 9 meses antes de corregir la vulnerabilidad por sí mismo.

La responsabilidad del equipo de seguridad por la seguridad de Salesforce

Si bien Salesforce brinda valor a las organizaciones, su enfoque para administrar las actualizaciones de seguridad lo convierte en un tipo único de SaaS. Además, es un sistema extremadamente complejo con miles de configuraciones. Si bien muchos no parecen importantes para la seguridad, en realidad pueden afectar la postura de un arrendatario de Salesforce.

Por lo tanto, el CISO o el equipo de seguridad debe involucrarse más de lo normal al administrar Salesforce. Necesitan para:

• asegúrese de que las configuraciones se realicen teniendo en cuenta la seguridad,
• controlar los cambios,
• asegurarse de que las actualizaciones no empeoren la postura de seguridad de la organización,
• insista en que las actualizaciones de seguridad se instalen lo antes posible
• asegúrese de que la higiene de seguridad del inquilino de Salesforce sea buena.

Afortunadamente, la categoría de herramientas SaaS Security Posture Management (SSPM) aborda estas tareas, y Adaptive Shield es una solución líder en el mercado en esta categoría para permitir una postura óptima de seguridad SaaS automáticamente.

¿Cómo puede ayudar Adaptive Shield a proteger Salesforce?

Adaptive Shield comprende la complejidad de proteger Salesforce, entre muchas otras plataformas SaaS, ya que Adaptive Shield brinda a los equipos de seguridad de una empresa un control completo de las aplicaciones SaaS de sus organizaciones con visibilidad, información detallada y remediación en todas las aplicaciones SaaS.

La plataforma ayuda a los administradores, CISO y equipos de seguridad de Salesforce a rastrear y monitorear las configuraciones y las actualizaciones de configuración con controles de seguridad que garantizan que el arrendatario de Salesforce esté configurado y protegido correctamente. Esto incluye permisos de monitoreo, métodos «@AuraEnabled», seguridad de API y autenticación.

Adaptive Shield también proporciona información clara de mitigación basada en prioridades para que los administradores y los equipos de seguridad puedan proteger rápidamente al arrendatario de Salesforce para mantener una sólida postura de seguridad. La plataforma Adaptive Shield hace que la tarea de asegurar un arrendatario de Salesforce pase de ser engorrosa, compleja y lenta a una experiencia fácil, clara, rápida y manejable. Esto evita vulnerabilidades como las del ejemplo anterior al romper la cadena de configuraciones incorrectas y actualizaciones no aplicadas.

Póngase en contacto para asegurarse de que su Salesforce, o cualquier otra aplicación SaaS, esté segura hoy.

Nota: Este artículo está escrito por Hananel Livneh, analista sénior de productos en Adaptive Shield.