Varonis warnt vor Risiken Vorsicht bei ungenutzten Salesforce-Sites geboten

Anbieter zum Thema

FTAPI Software GmbH

Specops Software GmbH

Varonis Systems (Deutschland) GmbH

Der IT-Sicherheitsspezialist Varonis warnt vor Risiken durch unsachgemäß deaktivierte Salesforce-Sites. Derartige „Ghost Sites“ können weiterhin aktuelle Daten abrufen und sind für Angreifer zugänglich.

Unternehmen können mittels Salesforces-Sites benutzerdefinierte Communities erstellen. Sie ermöglichen Partnern und Kunden die Zusammenarbeit innerhalb der vorhandenen Salesforce-Umgebung. Dabei werden auch vertrauliche und sensible Informationen geteilt. Werden diese Communities nicht mehr benötigt, findet aber häufig keine korrekte Außerbetriebnahme statt, wie der Sicherheitsanbieter Varonis warnt. Für Angreifer eröffne dies einen Angriffspfad, zumal die ungenutzten Sites in aller Regel nicht überwacht oder auf Schwachstellen getestet werden.

Domänen werden übersehen

Laut Varonis erstellen Unternehmen für Salesforce-Sites typischerweise benutzerdefinierte Domains wie etwa „partners.acme.org“, die wiederum die entsprechende Community-Site verweisen (z.B. „partners.acme.org/00d400.live.siteforce.com“). Wechselt das Unternehmen nun zu einem anderen Anbieter, will es in aller Regel die nutzerfreundliche Domain „partners.acme.org“ weiterverwenden und verlinkt darüber nun auf eine andere Website.

In diesem Zuge werden aber oftmals nur DNS-Einträge geändert. Weder die benutzerdefinierte Domäne in Salesforce, noch die Site an sich werden entfernt oder deaktiviert. Somit bleibt die Salesforce-Site bestehen und stellt weiter alle potenziell sensiblen Informationen bereit und aktualisiert diese im schlimmsten Fall auch noch.

Einfallstor für Angriffe

Um an die Daten zu gelangen, müssen Angreifer die genaue interne Domäne der noch bestehenden Salesforce-Site eines Unternehmens kennen. Tools zur Indizierung und Archivierung von DNS-Einträgen erleichtern die Identifizierung der Geisterseiten. Eine einfache GET-Anfrage führt zwar zu einem Fehler, allerdings können Angreifer den Host-Header ändern. Salesforce wird dadurch vorgetäuscht, dass die Seite als „partners.acme.org“ aufgerufen wurde, was zur Weiterleitung auf die „Ghost Site“ führt.

Varonis konnte in Versuchen zahlreiche verlassene Sites mit vertraulichen Informationen und sensiblen Geschäftsdaten auffinden. Die Daten umfassten nicht nur Informationen aus der Zeit der vormaligen Nutzung, sondern auch neue Datensätze, die aufgrund der Freigabekonfiguration in der Salesforce-Umgebung für Gastbenutzer zugänglich gemacht wurden.

Abhilfe schaffen

Varonis rät dazu, nicht mehr verwendete Sites stets zu deaktivieren. Zudem sei es wichtig, den Überblick über alle Salesforce-Sites und die Berechtigungen der jeweiligen Benutzer zu behalten. Dies gilt auch für Community- und Gast-User. Ein Leitfaden zum Schutz aktiver Salesforce-Communities vor Ausspähung und Datendiebstahl steht im Varonis-Blog bereit.

(ID:49590283)