データを安全に保つ
学習の目的
この単元を完了すると、次のことができるようになります。
- データを保護する。
- OAuth トークンと資格情報を管理する。
- セキュアな API 連携を作成する。
一般的なセキュリティリスクの回避
アプリケーションや外部システムをどのような方法で Marketing Cloud Engagement と連携させるかに関係なく、データの安全性を確保するために従う一定のガイドラインがあります。この単元で紹介するベストプラクティスに従えば、クロスサイトスクリプティング、機密データの漏洩、HTML インジェクションなど、一般的なセキュリティリスクを回避することができます。では、こうした潜在的な脅威を詳しく見ていきましょう。
クロスサイトリクエストフォージェリ
この手口は、認証されたユーザーを騙して脆弱なサーバー上で不正なアクションを実行させます。
HTML インジェクション
この攻撃は、HTML を脆弱な Web サイト (意図したものとは異なるページを表示する iframe など) に配置します。
クロスサイトスクリプティング
攻撃者が脆弱なドメインで Javascript を使用して、ユーザーに悪質なリンクをクリックさせます。そして、ブラウザーがこの Javascript を実行するという方法で悪事を働きます。
任意のリダイレクト
この攻撃では、ユーザーに典型的なサーバー URL に見えるものをクリックさせますが、そのリンクがユーザーを悪意のあるサイトに誘導します。
リモートコード実行
この攻撃は、対象とするサーバーの脆弱な点を見つけ出し、入力データを実行します。
これらはかなり恐ろしいセキュリティ脅威ですが、幸いなことにデータを守るためにあなたにできることがあります。では、データセキュリティのベストプラクティスをいくつか見ていきましょう。
データセキュリティのベストプラクティス
権限を制限する
OAuth アクセストークンを作成するときは、常に必要なタスクに対してのみトークンが有効になるようにします。たとえば、近所の人からあなたのガレージにある何かを貸して欲しいと頼まれたときに、家全体の鍵を渡すことはしないでしょう。つまり、トークンやインストール済みパッケージに必要な権限のみを割り当てます。
トークンを保護する
トークン値を保存するときは、外部サーバーに更新トークンのみを保持します。必要に応じて新しいアクセストークンを要求し、メモリにその値のみを保存します。これらのトークンは、Salesforce アカウントの資格情報と同様の安全対策と優先性をもって扱う必要があります。
最新の TLS を使用する
外部 Web サーバーが最新の TLS 構成を使用していることを確認し、Marketing Cloud Engagement API への要求に TLS を適用します。アクセストークンが認証ヘッダーにのみ表示されるようにします。
エラーメッセージを見直す
もちろん、エラーメッセージが「ERROR: #12345」よりもわかりやすいものにする必要があります。他方、エラーメッセージですべてを明かさないようにします。エラーメッセージにスタック追跡やデバッグログを含めないでください。攻撃者がこうした情報を悪用しないようにするためです。
セキュアなセッションを作成する
セッションがセキュアな手順を使用して、承認されたユーザーの作業を作成、管理、終了することを確認します。セッション ID を随時変更して、攻撃者がアクセス用の値を維持できないようにします。制限付きのデータや機能へのアクセスを許可する前に、連携でユーザーセッションや権限レベルも検証されるようにします。機能へのアクセスを必要のある人に限定します。そして、利用可能な場合は常にテナント固有のエンドポイントを使用し、要求ができる限り一番セキュアな接続を使用するようにします。
機密情報を適切に保存する
プラットフォームのセキュアなストレージのベストプラクティスに従って、機密情報はすべて独自のシステムに保存します。機密情報 (パスワード、クレジットカード番号、社会保障番号など) を独自のシステムに安全に保存するのはなぜでしょうか? こうした情報は Marketing Cloud Engagement サーバーに保存すべきではないためです!
重要なソフトウェアとハードウェアのパッチをすべて適用する
リモートコード実行の問題を回避するために、Web サーバーのポートでリスンしているサービスの脆弱性にパッチを適用し、ソフトウェアパッケージを更新して、並列化されたユーザーデータを慎重に実行します。
安心感が高まったでしょうか? セキュリティは継続的な懸念事項であり、セキュリティ上のニーズを定期的に見直す必要があります。ここに記載の情報は、そうした取り組みの確固たる土台となるものです。お疲れ様でした。
リソース