Wie Defender for Cloud Apps Ihre Salesforce-Umgebung schützt

Als wichtiger CRM-Cloudanbieter integriert Salesforce große Mengen vertraulicher Informationen zu Kunden, Preisplaybooks und wichtigen Deals in Ihre organization. Als unternehmenskritische App greifen Personen innerhalb Ihrer Organisation und anderer Personen außerhalb ihrer Organisation (z. B. Partner und Auftragnehmer) auf Salesforce zu und verwenden sie für verschiedene Zwecke. In vielen Fällen hat ein großer Teil ihrer Benutzer, die auf Salesforce zugreifen, ein geringes Sicherheitsbewusstsein und kann Ihre vertraulichen Informationen gefährden, indem sie diese unbeabsichtigt freigeben. In anderen Fällen erhalten böswillige Akteure möglicherweise Zugriff auf Ihre sensibelsten kundenbezogenen Ressourcen.

Wenn Sie Salesforce mit Defender for Cloud Apps verbinden, erhalten Sie bessere Einblicke in die Aktivitäten Ihrer Benutzer, bietet Bedrohungserkennung mithilfe von Machine Learning-basierten Anomalieerkennungen und Informationsschutzerkennungen (z. B. erkennung externer Informationsfreigaben). Defender for Cloud Apps ermöglicht außerdem automatisierte Wartungskontrollen und erkennt Bedrohungen von aktivierten Drittanbieter-Apps in Ihrer Organisation.

Verwenden Sie diesen App-Connector, um auf SSPM-Features (SaaS Security Posture Management) über Sicherheitskontrollen zuzugreifen, die in der Microsoft-Sicherheitsbewertung angegeben sind. Weitere Informationen.

Hauptbedrohungen für Ihre Salesforce-Umgebung

• Kompromittierte Konten und Insider-Bedrohungen
• Datenlecks
• Erhöhte Berechtigungen
• Unzureichendes Sicherheitsbewusstsein
• Schädliche Drittanbieter-Apps und Google-Add-Ons
• Ransomware
• Unkontrollierte Bring Your Own Device (BYOD)-Strategie

Voraussetzungen

Bevor Sie Salesforce mit Defender for Cloud Apps verbinden, führen Sie die folgenden Voraussetzungen aus:

• Installieren und autorisieren Sie die verbundene Salesforce-App in der Salesforce-Ziel-Organisation, bevor Sie den Verbindungsprozess starten. Salesforce erzwingt Nutzungseinschränkungen für verbundene Apps. Weitere Informationen finden Sie unter:Änderung der Nutzungseinschränkungen für verbundene Apps vorbereiten

• Weisen Sie dem Salesforce-Dienstkonto, das zum Herstellen einer Verbindung mit Microsoft Defender for Cloud Apps verwendet wird, die Berechtigung "Deinstallierte verbundene Apps genehmigen" zu. Salesforce erfordert diese Berechtigung, um Drittanbieter-Apps über OAuth zu verbinden.

Wie Defender for Cloud Apps ihre Umgebung schützt

Defender for Cloud Apps trägt dazu bei, Ihre Salesforce-Umgebung auf folgende Weise zu schützen:

• Erkennen von Cloudbedrohungen, kompromittierten Konten und böswilligen Insidern
• Ermitteln, Klassifizieren, Bezeichnen und Schützen regulierter und vertraulicher Daten, die in der Cloud gespeichert sind
• Ermitteln und Verwalten von OAuth-Apps, die Zugriff auf Ihre Umgebung haben
• Erzwingen von DLP- und Compliancerichtlinien für in der Cloud gespeicherte Daten
• Begrenzen Sie die Offenlegung freigegebener Daten, und setzen Sie Zusammenarbeitsrichtlinien durch
• Verwenden Sie das Prüfprotokoll der Aktivitäten für forensische Untersuchungen

SaaS-Sicherheitsstatusverwaltung für Salesforce

Verbinden Sie Salesforce , um automatisch Sicherheitsempfehlungen für Salesforce in der Microsoft-Sicherheitsbewertung zu erhalten.

Wählen Sie unter Sicherheitsbewertung die Option Empfohlene Aktionen aus, und filtern Sie nach Product = Salesforce. Zu den Empfehlungen für Salesforce gehören beispielsweise:

• Identitätsüberprüfung bei der Registrierung für die Multi-Faktor-Authentifizierung (MFA) verlangen
• Erzwingen von Anmelde-IP-Adressbereichen für jede Anforderung
• Maximale Anzahl ungültiger Anmeldeversuche
• Kennwortkomplexitätsanforderung

Weitere Informationen finden Sie unter:

• Sicherheitsstatusverwaltung für SaaS-Apps
• Microsoft-Sicherheitsbewertung

Steuern von Salesforce mit integrierten Richtlinien und Richtlinienvorlagen

Verwenden Sie die folgenden integrierten Richtlinienvorlagen, um Benachrichtigungen zu potenziellen Bedrohungen zu erkennen und abzurufen:

Weitere Informationen zum Erstellen von Richtlinien finden Sie unter Erstellen einer Richtlinie.

Automatisieren von Governancekontrollen

Zusätzlich zur Überwachung auf potenzielle Bedrohungen können Sie die folgenden Salesforce-Governanceaktionen anwenden und automatisieren, um erkannte Bedrohungen zu beheben:

Weitere Informationen zum Beheben von Bedrohungen durch Apps finden Sie unter Steuern verbundener Apps.

Schützen von Salesforce in Echtzeit

Überprüfen Sie unsere bewährten Methoden zum Schützen und Zusammenarbeiten mit externen Benutzern sowie zum Blockieren und Schützen des Downloads vertraulicher Daten auf nicht verwaltete oder riskante Geräte.

Verbinden von Salesforce mit Microsoft Defender for Cloud Apps

Führen Sie die folgenden Voraussetzungen und Schritte aus, um Salesforce mit Microsoft Defender for Cloud Apps zu verbinden.

Voraussetzungen

• Stellen Sie für alle Integrationen außer SaaS Security Posture Management (SSPM) sicher, dass Salesforce Shield für Ihre Salesforce-Instanz verfügbar ist.

Verwenden Sie die folgenden Anweisungen, um mithilfe der App-Connector-API Microsoft Defender for Cloud Apps mit Ihrem vorhandenen Salesforce-Konto zu verbinden. Der Salesforce-App-Connector bietet Ihnen Einblicke in die Salesforce-Verwendung und Kontrolle.

Verwenden Sie diesen App-Connector, um auf SSPM-Features (SaaS Security Posture Management) über Sicherheitskontrollen zuzugreifen, die in der Microsoft-Sicherheitsbewertung angegeben sind. Weitere Informationen.

• Installieren und autorisieren Sie die verbundene Salesforce-App in der Salesforce-Ziel-Organisation, bevor Sie den Verbindungsprozess starten. Salesforce erzwingt Nutzungseinschränkungen für verbundene Apps. Weitere Informationen finden Sie unter Vorbereitung auf die Änderung der Nutzungsbeschränkungen für vernetzte Apps.
• Weisen Sie dem Salesforce-Dienstkonto, das zum Herstellen einer Verbindung mit Microsoft Defender for Cloud Apps verwendet wird, die Berechtigung "Deinstallierte verbundene Apps genehmigen" zu. Salesforce erfordert diese Berechtigung, um Drittanbieter-Apps über OAuth zu verbinden.
• Stellen Sie sicher, dass das Salesforce-Konto einer der folgenden Editionen zugewiesen ist, die den REST-API-Zugriff unterstützen:
  • Leistung
  • Enterprise
  • Unbegrenzt
  • Entwickler
  • Professionell. Die REST-API muss der Professional Edition separat hinzugefügt werden.

Konfigurieren von Salesforce

1. Erstellen Sie in Ihrem Salesforce-Konto ein dediziertes Dienstadministratorkonto für Defender for Cloud Apps.

2. Erstellen Sie ein neues Profil für das Defender for Cloud Apps-Dienstkonto. Verwenden Sie dieses Profil, um den App-Connector zu konfigurieren.

3. Stellen Sie sicher, dass das Dienstkontoprofil die folgenden Berechtigungen enthält:

   • API aktiviert
   • Alle Daten anzeigen
   • Verwalten von Salesforce CRM Inhalten
   • Benutzer verwalten
   • Alle Dateien abfragen
   • Ändern von Metadaten über Metadaten-API-Funktionen
   • Ansicht für Einrichtung und Konfiguration

4. Wenn Salesforce CRM Content in Ihrer Organisation aktiv ist:

   • Gewähren Sie Salesforce CRM Inhaltszugriff auf das Administratorkonto des Defender for Cloud Apps-Diensts.
   • Deaktivieren Sie Sitzungen an die IP-Adresse binden, von der sie ursprünglich stammen für das Profil des Dienstkontos.
   • Aktivieren Sie Inhaltsübermittlungen und öffentliche Links.

Konfigurieren von Defender for Cloud Apps

Führen Sie die folgenden Schritte aus, um Defender for Cloud Apps mit Salesforce zu verbinden:

1. Wählen Sie in der Defender for Cloud Apps-Konsole untersuchen und dann Verbundene Apps aus.

2. Wählen Sie auf der Seite App-Connectorsdie Option +App verbinden und dann Salesforce aus.

   

3. Geben Sie im nächsten Fenster einen Namen für die Verbindung ein, und wählen Sie "Weiter" aus.

4. Unter Folgen Sie dem Link wählen Sie Salesforce verbinden aus.

5. Diese Aktion öffnet die Salesforce-Anmeldeseite. Geben Sie Ihre Anmeldeinformationen ein, um Defender for Cloud Apps Zugriff auf die Salesforce-App Ihres Teams zu ermöglichen.

   

6. Salesforce fragt, ob Sie Defender for Cloud Apps den Zugriff auf Ihre Teaminformationen und Ihr Aktivitätsprotokoll sowie die Ausführung beliebiger Aktivitäten im Namen eines beliebigen Teammitglieds erlauben möchten. Wählen Sie Zulassen aus, um fortzufahren.

7. Sie erhalten eine Erfolgs- oder Fehlerbenachrichtigung für die Bereitstellung. Defender for Cloud Apps ist jetzt in Salesforce.com autorisiert.

8. Wieder in der Defender for Cloud Apps-Konsole wird die Meldung Salesforce wurde erfolgreich verbunden angezeigt.

9. Wählen Sie im Microsoft Defender-Portal Einstellungen aus. Wählen Sie dann Cloud-Apps aus. Wählen Sie unter Verbundene Appsdie Option App-Connectors aus. Stellen Sie sicher, dass der Status des verbundenen App-Connectors Verbunden ist.

Nachdem Sie Salesforce verbunden haben, sammelt Defender for Cloud Apps Anmeldeereignisse und Setupüberwachungspfadeinträge aus den sieben Tagen vor der Verbindung sowie Ereignisüberwachungsdaten aus den vorherigen 30 Tagen oder einem Tag, abhängig von Ihrer Salesforce Event Monitoring-Lizenz.

Defender for Cloud Apps ruft die Salesforce-APIs direkt auf. Da Salesforce die Anzahl der API-Aufrufe pro Zeitraum begrenzt, liest Defender for Cloud Apps die in jeder Salesforce-Antwort zurückgegebenen API-Zähler und behält immer 10 % der verfügbaren Aufrufe als Reserve.

Wenn Sie die Salesforce-Echtzeitereignisüberwachung (Vorschau) aktivieren, sinkt die Erkennungslatenz für Identitäts- und OAuth-Angriffe von Stunden auf Minuten. Erkennungen umfassen auch mehr Kontext, z. B. den Namen und die ID der verbundenen App, App-Berechtigungen, Benutzer-Agent, IP-Adresse und Sitzungsinformationen.

Defender for Cloud Apps verarbeitet Salesforce-Ereignisse im folgenden Zeitplan:

• Anmeldeereignisse alle 15 Minuten
• Prüfprotokolle alle 15 Minuten einrichten
• Ereignisprotokolle alle 1 Stunde. Weitere Informationen zu Salesforce-Ereignissen finden Sie unter Ereignisüberwachung verwenden.

Aktivieren der Salesforce-Echtzeitereignisüberwachung (Vorschau)

Um die größtmögliche Erkennungsabdeckung und den größtmöglichen Untersuchungskontext aus dem Salesforce-Connector zu erhalten, muss ein Salesforce-Administrator das Speichern von Daten für eine Reihe von Ereignissen in Salesforce Event Manager aktivieren. Defender for Cloud Apps übernimmt diese Ereignisse dann innerhalb weniger Minuten aus Salesforce Real-Time Event Monitoring und verwendet sie, um die Erkennungsabdeckung für OAuth-Missbrauch, Sitzungsübernahmen, Credential-Stuffing und anomale API-Aktivitäten zu verbessern.

Der Bestand von Salesforce OAuth-Apps umfasst auch verbundene Apps und externe Client-Apps (ECAs) sowie die erteilten Berechtigungen und das Datum der letzten Verwendung jeder App. Einblicke in besonders privilegierte und nicht verwendete Apps für Salesforce helfen Ihnen, OAuth-Apps zu identifizieren, die Eine Überprüfung benötigen. Weitere Informationen finden Sie unter Anwendungsinventar undAnzeigen der App-Details mit App-Governance.

Aktivieren Sie diese Ereignisse für die beste Erkennungsabdeckung. Wenn Sie diese Ereignisse aktivieren, erhalten Sie eine bessere Latenz und robustere Erkennungen.

Aktivieren der Ereignisse im Salesforce Event Manager

1. Melden Sie sich bei Salesforce als Administrierender an.

2. Gehe zu https://YOURDOMAIN.lightning.force.com/lightning/setup/EventManager/home.

3. Suchen Sie nach den folgenden Ereignissen, und aktivieren Sie das Speichern von Daten:

   • API-Anomalieereignis
   • API-Ereignis
   • Credential-Stuffing-Vorfall
   • Gastbenutzer-Anomalieereignis
   • Identity Provider-Ereignis
   • Identitätsüberprüfungsereignis
   • Berechtigungssatz-Ereignis
   • Melden eines Anomalieereignisses
   • Ereignis melden
   • Sitzung-Hijacking-Ereignis

Nächste Schritte

• Wenn Sie Probleme beim Herstellen einer Verbindung mit der App haben, finden Sie weitere Informationen unter Problembehandlung für App-Connectors.

• Steuerung von Cloud-Apps mit Richtlinien

• Anwendungsbestand