从表面上看，Salesforce 似乎是一个经典的软件即服务 (SaaS) 平台。有人甚至可能会争辩说 Salesforce 发明了 SaaS 市场。然而，使用 Salesforce 的完整产品的人越多，他们就越意识到它超越了传统 SaaS 平台的功能。
例如，很少有人谈论管理Salesforce 版本更新的安全方面 。 通过了解什么是发布更新、它们为何会带来安全风险以及安全团队如何降低风险，Salesforce 客户可以更好地保护敏感信息。
什么是 Salesforce 版本更新？
由于 Salesforce 不会自动更新其平台，因此它不遵循传统的 SaaS 模型。例如，大多数 SaaS 平台有两种类型的发布，安全性和产品改进。一旦发现安全漏洞，就会立即发布紧急安全更新，并在固定日期（例如每季度或每月）发布产品改进。作为 SaaS 模型的一部分，供应商会自动更新平台。
更新和修补策略使客户和 SaaS 提供商受益。客户无需担心更新系统，因此他们可以专注于业务的核心方面。同时，SaaS 提供商无需开发多个更新版本，也无需担心客户安装的最新版本。
更好的是，SaaS 提供商无需担心客户会遇到安全漏洞，因为它会自动为每个人安装安全补丁。它只是让每个人的生活更轻松，这也是 SaaS 平台非常受欢迎的原因之一。
Salesforce 更新的工作方式不同
Salesforce 的工作方式不同，非常不同。他们使用在某些方面类似于传统软件的混合系统，传统软件需要客户在 EOL 和现代 SaaS 平台之前应用更新。Salesforce 会根据需要提供定期的季节性服务更新和安全更新。但是，这两种更新都不会自动实施。
Salesforce 为管理员提供了一个“宽限期”，他们可以在其中选择更新平台。在此期间结束时，Salesforce 会自动推送更新。
例如，Salesforce在 2021 年夏季推出了针对 Lightning 应用程序安全更新的强制 OAuth 范围。提供商建议组织在 2021 年 9 月之前应用它。但是，Salesforce 将在 2022 年冬季之前不会强制执行。这是一个重要的安全更新，但客户会这样做不需要立即安装。
为什么 Salesforce 更新的工作方式不同
虽然 Salesforce 鼓励管理员运行检查清单并应用更新，但它意识到客户依赖于平台的灵活性，并且更改可能会影响自定义，例如自定义开发和集成。
由于任何更新对组织来说都可能是灾难性的，因此 Salesforce 会为客户提供时间来查看更新的内容并在激活更改之前准备组织的 Salesforce。
Salesforce 安全更新的重要性是什么？
Salesforce 安全更新，顾名思义，是出于安全目的。发布它们是为了修复安全问题、防止攻击并加强 Salesforce 租户的安全状况。因此，客户应尽快安装它们。
一旦 Salesforce 发布更新，它正在修补的漏洞就会成为常识。这种知识意味着弱点等于一个常见的漏洞或暴露 (CVE)，但没有指定的编号。不良行为者可以轻松访问有关暴露的所有信息，并创建利用已发布漏洞的攻击向量。这会使所有未实施安全更新的组织容易受到攻击。
由于大多数攻击都基于已知的、已发布的 1 天漏洞，因此等待应用更新会产生数据泄露风险。所有不良行为者都使用 1 天攻击，从脚本小子到专业勒索软件黑客，因为将它们武器化比寻找未知漏洞容易得多。大多数不良行为者都在寻找唾手可得的成果——没有更新软件或安全性松懈的组织。
这就是为什么安全专家称从漏洞到组织实施安全更新的这段时间是攻击的黄金窗口。因此，将所有软件更新到最新的稳定版本并尽快安装安全更新至关重要。
访客用户访问控制案例
这不仅仅是一个假设或有趣的故事。2020 年 10 月，安全研究员 Aaron Costello 发现 Salesforce 中的访问控制权限设置可能允许未经身份验证的用户（“访客用户”）通过使用 Salesforce 中的累积弱点访问比预期更多的信息，包括
- 旧的且不安全的 Salesforce 实例，
- 有问题的默认配置，
- “@AuraEnabled”方法的共谋和高级能力。
Salesforce 为来宾用户、对象和 API 提出了安全措施建议，同时还在随后的 Winter '21 和 Spring '21 版本中推送了安全更新。
安全更新包括从访客用户配置文件中删除查看所有用户权限和减少访客用户的对象权限。
这两个建议都直接解决了安全威胁的根本原因。有问题的是，这为时已晚，因为不良行为者自 2020 年 10 月以来就知道该漏洞。 当 Salesforce 将更新推送到不同租户时，管理员需要手动激活更新。这意味着客户在自行修复漏洞之前可能已经面临 6 到 9 个月的风险。
安全团队对 Salesforce 安全的责任
虽然 Salesforce 为组织提供价值，但其管理安全更新的方法使其成为一种独特的 SaaS。此外，它是一个极其复杂的系统，具有数千种配置。虽然许多似乎对安全并不重要，但它们实际上会影响 Salesforce 租户的状态。
因此，在管理 Salesforce 时，CISO 或安全团队需要比平时更多地参与进来。他们需要：
- 确保在考虑安全的情况下完成配置，
- 监控变化，
- 确保更新不会使组织的安全状况恶化，
- 坚持尽快安装安全更新
- 确保 Salesforce 租户的安全卫生良好。
幸运的是，SaaS 安全态势管理 (SSPM)工具类别解决了这些任务，而 Adaptive Shield 是该类别中市场领先的解决方案，可自动实现最佳 SaaS 安全态势。
Adaptive Shield 如何帮助保护 Salesforce？
Adaptive Shield 了解保护 Salesforce 以及许多其他 SaaS 平台的复杂性，因为 Adaptive Shield 为企业的安全团队提供对其组织的 SaaS 应用程序的完全控制，以及对所有 SaaS 应用程序的可见性、详细洞察和补救。
该平台通过安全检查帮助 Salesforce 管理员、CISO 和安全团队跟踪和监控设置和配置更新，以确保正确配置和保护 Salesforce 租户。这包括监控权限、“@AuraEnabled”方法、API 安全性和身份验证。
Adaptive Shield 还提供明确的基于优先级的缓解信息，因此管理员和安全团队可以迅速保护 Salesforce 租户的安全，以保持强大的安全态势。Adaptive Shield 平台使保护 Salesforce 租户的任务从繁琐、复杂和耗时的任务转变为简单、清晰、快速和可管理的体验。这通过打破错误配置和非强制更新链来防止上述示例中的此类漏洞。
