Salesforce 配置审计收官：十二道关卡一张红队作战图（Learn365 day27 wrap）

导语：Salesforce 配置审计三讲系列走到收官。Part-1 拆了密码策略、实时事件监控、IP 段、点击劫持四块，Part-2 拆了 HTTPOnly、Release Updates、字段历史跟踪、角色层级、Transaction Security、MFA 六块——加起来十项。但这只是「配置层」的基础项，Salesforce 官方文档里还藏了三个常被审计报告漏掉的关键模块：Security Health Check（基线评分）、Threat Detection（异常检测）、Shield Platform Encryption（数据静态加密）。这一讲把这三块补齐，给一份十二道关卡总表 + 一张红队 60 分钟审计 SOP。

一、系列回顾

day25、day26 两讲把「点」拆完了——每一项都讲原理、攻击者绕法、审计判断、修复优先级。但真正做审计的人没时间一项一项去翻，最需要的是「一张总图」+「一份快速 SOP」。这一讲就是干这两件事。

要把「点」拼成「面」，需要先补三块 Salesforce 自己的工具——很多企业以为这三块是「付费高级功能」，其实 Health Check 免费的、Threat Detection 依赖 Shield 加购、Shield 加密也是加购。免费部分都做不全，付费部分更别提。

二、补齐的三块

2.1 Security Health Check

Setup → Quick Find → Health Check，进入评分页。Salesforce 把几十个安全设置按风险分成四档：

• High-Risk：偏离基线就直接扣大分，比如密码最小长度低于 8、IP 段全开、Session 超时超过 24 小时
• Medium-Risk：偏离扣中等分，比如密保答案没开 Obscure、HTTPOnly 没勾
• Low-Risk：偏离扣小分，比如某些日志没开
• Informational：仅供参考，不扣分但显示

基线是 Salesforce 官方维护的「Baseline Standard」，企业可以上传 5 份自定义基线覆盖默认值。很多甲方把分数刷到 90+ 就以为安全了，其实 Health Check 只覆盖配置层，根本看不见应用层的 SOQL 注入、不碰 Shield 的 Threat Detection——这点后面会说。

2.2 Threat Detection

Threat Detection 是 Shield 的子功能，用统计 + 机器学习方法检测五类异常事件：

• SessionHijackingEvent（会话劫持）：识别 MiTB（Man-in-the-Browser）攻击——攻击者通过浏览器木马代理劫持已认证用户的 session token
• CredentialStuffingEvent（撞库）：用大规模自动化登录探测凭据泄漏
• ReportAnomalyEvent（报表异常）：基线化每个用户的报表访问模式，发现「导出了远超平时的报表」
• ApiAnomalyEvent（API 异常）：基线化 API 调用模式，发现「突然调用了从未用过的 endpoint」
• GuestUserAnomalyEvent（访客异常）：访客用户（Site Guest User）尝试访问组织数据

这五类事件必须先开 Event Manager 流式存储 + 创建权限集 + 挂 Threat Detection App 三步才能在 UI 看到，缺一步就等于没开。攻击者最喜欢的环境就是「Shield 买了、Threat Detection 没启用」——日志空着，AI 引擎空转，告警没地方冒出来。

2.3 Shield Platform Encryption

配置层管的是「谁能进、能看什么」，加密层管的是「数据躺在数据库里长什么样」。Shield Platform Encryption 用 AES-256 对字段级数据加密，密钥由 Salesforce 托管或 Bring Your Own Key（BYOK）。

攻击者拿到数据库 dump 之后，加密字段看起来就是一串 Base64 密文，没密钥解不开。这一招对内部威胁（恶意 DBA）和外部泄漏（数据库被脱）都有效。注意：加密会影响部分功能——模糊查询、某些 Workflow Rule、External Object 同步都受限。配置时要把这层 trade-off 算清楚。

三、十二道关卡总表

把 day25、day26、这一讲的三块补齐项合并，按红队攻击路径排序：

前 10 项是 Part-1+Part-2 讲的，11 和 12 是这一讲补的——少看这两块，整个审计就漏了最关键的一档。

四、红队 60 分钟审计 SOP

按攻击者视角串成一条 60 分钟流水线：

1. 5 分钟：Setup → Health Check 跑一遍，记录分数 + 高风险项数量
2. 5 分钟：Setup → Password Policies 截图，对比 Health Check 基线
3. 5 分钟：Setup → Session Settings 抓 IP 段、Session 超时、HTTPOnly、点击劫持四个开关
4. 5 分钟：Setup → Profiles 找一个 Service Account，看 MFA + API Login MFA 是否都勾
5. 5 分钟：Setup → Roles 看层级深度 + 高 Role 账号数量
6. 5 分钟：Setup → Field History Tracking 看核心 Object 跟踪状态
7. 5 分钟：Setup → Transaction Security Policies 看启用数量
8. 5 分钟：Setup → Release Updates 看未激活的 Critical 数量
9. 5 分钟：Shield Event Manager 看 Threat Detection 五类事件流是否启用
10. 5 分钟：Shield Platform Encryption 看密钥管理是 Salesforce 托管还是 BYOK
11. 5 分钟：出报告，标红 High 项、黄 Medium、绿 Low
12. 5 分钟：整理攻击路径图，按风险排序交付甲方

60 分钟跑完，十二道关卡全覆盖。漏掉哪一项，就回到对应章节补。

五、防御优先级矩阵

按「影响 × 实施成本」排序，给企业一条实操路径：

• 立刻做（30 分钟内）：MFA 全开、IP 段收紧、点击劫持防护回归默认、HTTPOnly 勾上
• 一周内做：Health Check 跑通 + 自定义基线、Release Updates 评审流程、字段历史跟踪扩展核心 Object
• 一个月内做：Transaction Security 配 3 条规则、角色层级梳理、Shield 加购评估
• 三个月内做：Threat Detection 五类事件全开、Shield Platform Encryption 部署、Field Audit Trail 升级

这套时间表是给中型企业的「最少够用」基线——大企业按季度循环重做一遍，小企业把「立刻做」四条跑完就够应付 80% 风险。

六、思考题

• Health Check 分数 95+ 算不算安全？为什么单看分数会误判？
• Threat Detection 的五类异常中，哪一类对「内部威胁」最有效？哪一类对「外部攻击」最有效？
• Shield Platform Encryption 部署后，哪些 Salesforce 功能会受影响？怎么平衡安全与可用性？

下一阶段会跳出「配置层」，进入「应用层」——Apex 代码审计、SOQL 注入、Visualforce XSS 这些代码层的安全问题，欢迎继续跟读。

素材出处：Harsh Bothra, Learn365 Day 27 – Salesforce Configuration Review (Wrap), https://github.com/harsh-bothra/learn365/blob/main/days/day27.md ；Salesforce Security Guide v64.0 Summer ’25, https://developer.salesforce.com/docs/atlas.en-us.securityImplGuide.meta/securityImplGuide/salesforce_security_guide.htm