Comprendre les types d'attaques Salesforce que vous devez détecter
Avant de commencer à parcourir les journaux, définissez ce que vous recherchez. Les « attaques Salesforce » se répartissent généralement en une poignée de modèles, chacun laissant des traces différentes :
- Identifiants d'administrateur ou d'intégration hameçonnés : les attaquants obtiennent un nom d'utilisateur/mot de passe ou une clé API valide, puis se connectent ou appellent des API à partir d'adresses IP, de pays ou à des heures inhabituelles.
- Abus de jetons OAuth via des applications connectées : une intégration compromise ou une application connectée accorde un large accès en lecture/écriture, permettant l'exfiltration des données à grande échelle.
- Détournement de session : les jetons de session volés ou rejoués génèrent des connexions sans invite MFA, souvent visibles sous la forme d'origines de session suspectes ou de chaînes d'agent utilisateur.
- Augmentation des privilèges via des modifications de configuration : nouveaux ensembles d'autorisations, profils modifiés, restrictions IP assouplies ou paramètres MFA désactivés pour maintenir la persistance.
- Exfiltration de données via des rapports et des exportations : exportations massives de rapports, exécutions d'exportation de données ou extractions d'API programmatiques en masse qui ne correspondent pas aux modèles normaux.
- Automatisation malveillante : règles de flux, Apex ou Email-to-Case nouvelles ou modifiées pour acheminer discrètement les données vers l'extérieur, créer des utilisateurs de porte dérobée ou avertir les attaquants.
Ces comportements laissent des artefacts dans l'historique de connexion, la piste d'audit de configuration, la surveillance des événements et divers journaux spécifiques au produit. Les sections ci-dessous vous expliquent exactement où et comment vérifier.
Les adresses IP des attaquants sont connues
Reportez-vous à cette liste pour vérifier si l'une de ces adresses IP a accédé à votre organisation.
Liste de contrôle de triage rapide (30 à 60 premières minutes)
Si vous soupçonnez un incident en cours, commencez par des indicateurs de signal élevé pour décider rapidement s'il convient de l'escalader.
Vérifiez Salesforce Trust pour tout incident à l’échelle de la plateforme qui pourrait expliquer des anomalies. Utilisez la page Statut de confiance Salesforce.
Analysez les connexions d'administrateur au cours des dernières 72 heures à la recherche d'adresses IP, de pays ou d'heures inhabituels. Consultez l'Aide Salesforce : Afficher l'historique des connexions.
Consultez la piste d'audit de configuration pour les nouveaux utilisateurs, les modifications d'autorisation, les applications connectées ou les modifications d'accès au réseau. Consultez l'Aide de Salesforce : Configuration de la piste d'audit.
Identifiez les utilisateurs de l'intégration et recherchez les pics de trafic, les échecs d'authentification ou les anomalies d'API.
Recherchez des événements de données en masse tels que des exportations de rapports volumineux, des exécutions d'exportation de données ou une activité inhabituelle d'API en masse.
Gelez les utilisateurs suspects et révoquez immédiatement les sessions actives si vous constatez une compromission évidente. Vous pourrez dégeler plus tard s’il s’agit d’un faux positif.
Si deux ou plusieurs signaux d’alarme apparaissent ensemble, lancez une enquête plus approfondie et commencez à préserver les preuves.
Journaux et écrans principaux de Salesforce à consulter
Historique de connexion et vérification d'identité
Accédez à Configuration > Sécurité > Historique de connexion . Exportez les 7 à 30 derniers jours et triez par :
- Statut de connexion et raisons de l'échec (par exemple, mot de passe invalide, échec du défi MFA)
- IP source, emplacement et agent utilisateur : signaler les nouveaux pays, les modèles Tor/VPN, les navigateurs sans tête
- Des périodes inhabituelles pour la géographie de votre équipe
Vérifiez également l’historique de vérification d’identité (défis MFA, enregistrements d’appareils). Les enregistrements multiples de nouveaux appareils pour les administrateurs sur une courte période sont suspects. Référence à l'aide de Salesforce : Historique de connexion et de vérification .
Sessions actives et gestion des sessions
Accédez à Configuration > Sécurité > Gestion des sessions pour afficher les sessions actives. Recherchez :
- Sessions provenant de plages d'adresses IP ou de pays inattendus
- Sessions de longue durée sur les comptes administrateur
- Plusieurs sessions simultanées pour le même utilisateur provenant de différentes zones géographiques
Si vous soupçonnez une compromission, expirez toutes les sessions.
ns pour les utilisateurs concernés et forcer la réinitialisation du mot de passe.
Configurer la piste d'audit
La piste d'audit de configuration enregistre les modifications de configuration. Examinez les 30 à 90 derniers jours et concentrez-vous sur :
- Nouveaux utilisateurs, changements de rôle et attributions d'ensembles d'autorisations, en particulier pour les utilisateurs d'intégration
- Applications connectées créées ou mises à jour, étendues OAuth modifiées
- Modifications de l'accès au réseau ou des paramètres de session (par exemple, restrictions IP assouplies, MFA désactivé)
- Paramètres du site distant ou informations d'identification nommées ajoutés ou modifiés
- Flux/Apex créés ou modifiés, événements de plateforme connectés à des points de terminaison externes
Documentez tout changement inattendu avec des horodatages et l'utilisateur agissant.
Surveillance des événements (Salesforce Shield)
Si vous disposez de Shield Event Monitoring, extrayez les journaux d'événements des 30 derniers jours (la conservation varie) pour :
- LoginEvent et AuthSession : géographies anormales, user-agents, MFA défaillante
- API et API Bulk : pics de volume soudains, extractions en dehors des heures d'ouverture, nouveaux points de terminaison
- ReportExport et ListViewEvent : gros exports ou vues en masse
- Anomalies LightningPageView indiquant une navigation scriptée
- Événements URI et RestApi appelant des points de terminaison sensibles
Utilisez l'application Event Monitoring Analytics si elle est disponible pour visualiser les tendances.
Rapports, tableaux de bord et exportation de données
Les données partent souvent par des chemins sanctionnés. Enquêter :
- Exécution récente de rapports et d'abonnements aux rapports pour les objets sensibles ou à volume élevé (Prospects, Opportunités, Requêtes, Contacts)
- Exportation de données (configuration) pour les exportations complètes non planifiées ou inhabituelles
- Envois de rapports planifiés à des destinataires inconnus ou à des domaines externes
Corrélez ces événements avec l'activité des utilisateurs et les adresses IP dans l'historique de connexion ou la surveillance des événements.
Vérifications spécifiques au produit au-delà du noyau CRM
Marketing Cloud (ExactTarget)
Pour Marketing Cloud, vérifiez :
- Piste d'audit pour la création d'utilisateurs, les changements de rôle et les modifications des utilisateurs de l'API
- Intégrations d'API dans les packages installés et leurs autorisations/jetons
- Journaux SFTP pour les nouvelles adresses IP, les téléchargements en masse ou les transferts en dehors des heures d'ouverture
- Envois déclenchés et parcours modifiés pour acheminer les données en externe
Commerce-Cloud (B2C)
Dans Commerce Cloud, utilisez Log Center et examinez :
- Modèles d'accès OCAPI et SCAPI
- Modifications des utilisateurs du gestionnaire de compte et statut 2FA
- Journaux de tâches pour les exportations de données inattendues
Expérience Cloud (Communautés)
Pour Experience Cloud, vérifiez :
- Les autorisations des utilisateurs invités sont verrouillées et n’ont pas changé de manière inattendue
- Modèles d'historique de connexion pour les utilisateurs de la communauté
- Tout nouveau flux ou page exposant des données
Applications connectées, jetons OAuth et intégrations
Les attaquants exploitent fréquemment les intégrations car elles disposent souvent d’un accès large et discret. Examinez :
- Applications connectées : validez les paramètres d'étendues, de relaxation IP et d'utilisateurs autorisés. Supprimez toutes les applications inconnues.
- Jetons OAuth : révoquez les jetons inutilisés ou suspects ; réautoriser les intégrations critiques.
- Informations d'identification nommées : confirmer les points de terminaison et les méthodes d'authentification ; faites pivoter les secrets si vous soupçonnez un compromis.
- Paramètres du site distant : signalez les domaines nouvellement ajoutés, surtout s'ils ressemblent à des domaines de confiance (typosquatting).
- Utilisateurs de l'intégration : vérifiez la dernière connexion, les plages IP et les modifications apportées aux profils/autorisations.
Indicateurs d’exfiltration de données que vous pouvez vérifier
Même si les identifiants étaient utilisés légitimement, le vol de données laisse des empreintes. Examen pour :
- Pics dans les appels d'API liés à des objets tels que contact, prospect, compte, requête, opportunité
- Requêtes groupées inhabituelles avec un nombre d'enregistrements élevé
- Grands événements ReportExport ou DataExport dans la surveillance des événements
- Automatisations qui envoient des feuilles de calcul par courrier électronique en externe ou les publient sur des webhooks
- Exportations de jeux de données Analytics ou Einstein Dis
- extractions de données de couverture
Corrélez le timing avec l’activité de l’utilisateur et toute modification de configuration pour comprendre l’intention et la portée.
Contrôles de sécurité qui aident à exclure les faux positifs
Toutes les anomalies ne sont pas des attaques. Valider :
- Fenêtres de changement : un déploiement planifié a-t-il introduit les changements attendus ?
- Nouvelles intégrations ou pilotes : un fournisseur ou une équipe interne teste-t-il un nouveau connecteur ?
- Modifications du VPN d'entreprise : votre équipe réseau a-t-elle modifié les plages d'adresses IP de sortie ?
- Déplacements des utilisateurs : Les connexions inhabituelles s’expliquent-elles par des déplacements légitimes ?
En cas de doute, confirmez auprès des propriétaires du système avant de faire remonter le problème.
Étapes de confinement si vous trouvez des signes de compromission
Une fois que les indicateurs indiquent une violation probable, agissez rapidement pour contenir sans détruire les preuves :
Gelez les utilisateurs concernés dans Salesforce et faites expirer les sessions globalement pour ces utilisateurs.
Révoquez les jetons OAuth et déconnectez les applications connectées compromises.
Réinitialiser les mots de passe des utilisateurs compromis et à haut risque ; appliquer l’AMF immédiatement si cela n’est pas déjà nécessaire.
Faites pivoter les secrets d'intégration, les clés API et les détails d'authentification des informations d'identification nommées ; réémettre les certificats, le cas échéant.
Verrouillez temporairement les plages IP sur les réseaux d’entreprise lorsque cela est possible.
Capturez et exportez les journaux (historique de connexion, piste d'audit de configuration, surveillance des événements) et préservez l'état du système pour les investigations.
Utilisez les références de fournisseurs telles que l'Aide Salesforce : Bonnes pratiques de sécurité et vos runbooks internes de réponse aux incidents.
Préservation des preuves et délais
La conservation des journaux Salesforce varie selon l'édition, les produits et les licences. Pour éviter de perdre des données critiques :
Exportez immédiatement l’historique de connexion et la configuration de la piste d’audit.
Si vous disposez d'Event Monitoring, exportez les types d'événements pertinents pour la fenêtre de conservation complète.
Capturez les lignes de base de configuration (profils, ensembles d’autorisations, applications connectées, paramètres du site distant) avant d’apporter des modifications importantes.
Enregistrez les horodatages, les identifiants utilisateur, les adresses IP et toutes les corrélations entre les systèmes (IdP, sécurité de la messagerie, EDR, SIEM).
Si vous utilisez un SIEM, extrayez des données parallèles (journaux IdP MFA, pare-feu, proxy, point de terminaison) pour valider les résultats.
Recoupement avec les systèmes d'identité et de messagerie
De nombreuses compromissions Salesforce commencent par des attaques d’identité. Révision :
- Journaux SSO/IdP pour le contournement MFA, les déplacements impossibles et les scores de risque inhabituels
- Violations de la politique d'accès conditionnel ou de connexion IP
- Journaux de sécurité par e-mail pour le phishing lié à Salesforce ou aux marques d'intégration
Si votre IdP est intégré à Salesforce, assurez-vous de l’application de la MFA et de la confiance des appareils. Consultez l'Aide Salesforce : Configuration SSO et SAML.
Benchmark par rapport à Salesforce Security Center et Health Check
Deux outils natifs peuvent mettre en évidence les postures à risque :
- Centre de sécurité : pour la surveillance multi-organisations, fait apparaître des contrôles faibles et des dérives. Consultez l'Aide Salesforce : Centre de sécurité.
- Bilan de santé : compare les paramètres de sécurité de l'organisation aux lignes de base. Concentrez-vous sur les politiques de mots de passe, la sécurité des sessions, la MFA et la protection contre le détournement de clics. Consultez l'Aide Salesforce : Bilan de santé.
Utilisez-les pour prioriser les gains rapides et réduire l’exposition pendant et après un incident.