新機能紹介 | Cloud Protection for Salesforce Summer 3.3 

最も大きな被害をもたらすデータ侵害は、高度な「ゼロデイ脆弱性」から始まるわけではありません。それは、すでに私たちが「信頼」しているアカウントへの不正ログインから始まります。

『IBM データ侵害のコストに関する調査報告書（2025年版）』によると、盗まれた、あるいは流出した資格情報（クレデンシャル）によるデータ侵害は、すべての侵害タイプの中で最もコストがかかり、検知と封じ込めに最も長い時間を要することが明らかになっています。

Salesforce環境において、この目に見えないリスクはさらに増幅します。パートナーや業務委託先などのコミュニティユーザーは、企業のアイデンティティ・アクセス管理（IAM）の統制外にあることが多く、従来の防御陣形からは見えない「盲点」となりがちです。

パスワードがひとたび漏洩すれば、攻撃者はシステムを破壊して侵入する必要はありません。盗んだ資格情報を使って「堂々とログイン」するだけです。それはアラームを鳴らすことなく、企業の重要データへの扉を開けてしまいます。

現代のサイバー攻撃は、最初のログインだけで終わりません。攻撃者は侵害したアカウントになりすまして他のユーザーを騙し、連携アプリを承認させ、信頼された自動化ワークフローを通じてアクセス権限を拡大（横展開／ラテラルムーブメント）していきます。より深いシステムへ到達される前に、初期の段階でアカウントの露出を検知することが、被害を最小限に抑える唯一の方法です。

最初の不正ログインを防ぐこと。それこそが、データ侵害の第一歩を阻止することに他なりません。

Salesforce内部に構築する、新しいアイデンティティ保護レイヤー

この度、ウィズセキュアは『WithSecure Cloud Protection for Salesforce』の最新バージョン（Apollo 3.0）において、新機能「Identity Protection（アイデンティティ保護）」をリリースいたしました。

れまでマルウェアやフィッシングの脅威から企業や政府機関のSalesforce環境を保護してきた実績に加え、新たに「アイデンティティリスク」への対応が可能になります。これにより、誰がリスクにさらされているのか、何にアクセスしているのか、脅威の深刻度はどの程度か、いつ露出したのかといった包括的な可視性を、すべてSalesforceの画面内で管理者に提供します。

なぜ今、SalesforceにおけるIDセキュリティが必要なのか？

認証情報の盗難は、依然として情報漏洩の最大の原因となっています。Salesforceにおいては、認証情報の再利用やサードパーティによるユーザーアクセスによって、この問題がさらに深刻化しています。無関係な情報漏洩事件で流出したパスワードを悪用することで、攻撃者は顧客データや業務ワークフローに対して、信頼されたアクセス権を直接取得できてしまう可能性があります。

• 依然として最大の攻撃ベクトルである「資格情報の流出」
  過去10年間にわたり、クレデンシャルの不正利用はデータ侵害のトップ原因であり続けています。Salesforceとは無関係なサードパーティのサービスから漏洩したパスワードであっても、ユーザーが同じパスワードを使い回していれば、攻撃者にSalesforce内の顧客データやビジネスワークフローへの直接的なアクセスを許してしまいます。
• Salesforceが被害の「影響範囲」を拡大させる
  パートナーや請負業者などの外部ユーザーは、企業のSSOやMFA（多要素認証）の強制対象外から認証を行うことがよくあります。一度信頼されたユーザーとしてログインされてしまうと、連携しているすべてのシステム、ユーザー、ワークフローが攻撃者の次の標的となります。
• 従来のIAMツールではSalesforceの「内部」が見えない
  一度正規のユーザーとしてログインに成功したアカウントの挙動に対し、標準的なセキュリティスタックはアラートを発しません。
• 多層的な防御は、Salesforce内部に構築されなければなりません。
  「ID保護」機能は、「ファイル保護」および「URL保護」機能を補完し、ビジネス活動が行われると同時にリスクも発生する場所、すなわちSalesforce内部で、最も一般的なサイバー脅威から直接防御します

急速に拡大・進化を続けるSalesforce環境において、アイデンティティセキュリティを従来のIAM（ID・アクセス管理）ツールだけに依存することはもはや不可能です。今求められているのは、Salesforceに直接組み込まれた「リアルタイムの侵害インテリジェンス」です。

情報漏洩によりユーザーのパスワードが流出した場合、攻撃者はシステムに侵入する必要はなく、単にログインするだけで済みます。これにより、標準的なツールではアラートが発生せず、攻撃者は誰にも気づかれることなく、十分な時間をかけて被害を広げることができます。

WithSecure Cloud Protection for Salesforceの「Identity Protection」機能は、この連鎖を起点で断ち切り、攻撃者がデータを持ち出したり、ユーザー、ワークフロー、または連携アプリ間で横方向の移動を行ったりする前に、防御側に流出したアカウントに関する可視性を提供します。

アイデンティティ保護の仕組み

アイデンティティ保護は、公開情報およびダークウェブの独自情報源を含む、継続的に更新される情報漏洩インテリジェンス・フィードと照合し、アクティブなSalesforceユーザーのメールIDをスキャンします。

• 検出： オープンソースのデータセットと比較して、最大6か月早く漏洩した認証情報を特定します。
• 結果： 各検出結果には、情報漏洩の発生源、公開日、パスワードの形式（平文またはハッシュ化）、深刻度レベル、および漏洩履歴が含まれます。
• 対象範囲：組織あたり最大50,000人の標準ユーザーおよびコミュニティユーザー。統合および自動化ユーザーは対象外です。
• 実行頻度：自動化／毎週スケジュールされたバッチスキャン
• 管理者ビュー：アイデンティティ保護ダッシュボードには、深刻度および情報漏洩の発生時期順にランク付けされた、情報漏洩の対象となったすべてのユーザーが表示され、各ユーザーの過去12か月分の履歴も確認できます。
• 統合：「Connected App」による統合が必要で、Salesforce UI内に完全に組み込まれています。

「Identity Protection」を利用するには、別途アドオンや、アプリですでに利用可能な「接続済みアプリ」の統合タイプ以外の外部統合は必要ありません。なお、この機能はユーザーベースのライセンスに対応しており、Apollo 3.0 以上のバージョンがインストールされている必要があります。この機能の利用に追加費用はかかりません。

シナリオ例：外部委託業者のアカウントが攻撃経路となる場合

パートナーのログイン認証情報が、新たな情報漏洩データセットに浮上しました。Identity Protectionがこのユーザーにフラグを立て、そのパスワードが既知のサービスから平文で漏洩していたことを明らかにしました。

数分以内に、管理者は認証情報をリセットし、セッションを無効化し、関連するアクティビティを確認することができます。これにより、データの持ち出しや不正が発生する前に、不正アクセス――そして情報漏洩の最初の段階――を効果的に防止しています。

もし検知されていなければ、攻撃者はダークウェブのフォーラムから認証情報を入手し、さまざまなサービスで試行錯誤（多くの人はサービス間で、また業務用と個人用のアカウントをまたいでパスワードを再利用している）を重ね、最終的にSalesforce環境などに侵入していた可能性があります。環境や対象のユーザーアカウントによっては、データを持ち出したり、業務プロセスを改ざんしたり、巧妙ななりすましフィッシング攻撃を仕掛けたりしていたかもしれません。

侵害された認証情報を検知し、無効化することが、セキュリティ侵害を阻止するための第一歩です。

アイデンティティ保護の運用

設定とスケジュール

「管理者」タブからIdentity Protectionを有効にし、すべてのユーザーをスキャンするか、選択した一部のユーザーのみをスキャンするかを選択します。

週次スキャンの曜日と時間を設定します。ジョブの開始時と完了時に通知が表示されます。

アラートと通知

アプリ内アラートにより、新たに情報漏洩の危険にさらされたユーザーや構成イベントが通知されます。

深刻度、理由、情報元といった侵害の詳細は、そのアラートが機能やライセンスに起因するものなのか、あるいは実際のデータ侵害によるものなのかを示します。

アイデンティティダッシュボードと分析

「アイデンティティ」セクションには、深刻度と直近の発生順にランク付けされたユーザーがリスト表示されます。

侵害履歴は、数ヶ月間にわたる各ユーザーの漏洩タイムラインを表示します。

侵害の詳細は、情報元の種類、レコード数、信頼度（Confidence rating）に関する詳細なメタデータを提供します。

アイデンティティイベントは、相関分析やコンプライアンスへの対応を目的として、ファイルやURLの検出ログと並んで記録されます。

その結果、管理者はSalesforceを離れることなく、誰が、いつ、どの程度の深刻度で危険にさらされたかを確認することができます。

Apollo 3.0にて本日より提供開始

Identity Protectionは、ユーザーベースのすべてのWithSecure Cloud Protection for Salesforceライセンスに標準で含まれており、追加費用なしでご利用いただけます（※現在、ボリュームベースのライセンスはサポートされていません）。

Salesforce AppExchangeから手動でApollo 3.0にアップデートし、「管理者」→「Identity Protection」から有効化することで、すぐにご利用いただけます。

Identity Protectionは、既存の「ファイル保護」や「URL保護」と連携することで、Salesforce全体のセキュリティカバー範囲を広げ、「誰がログインし、ワークフローを通じて何を持ち込むか」を保護します。

Salesforceにおける高リスクファイルの特定

攻撃者は、マルウェアを隠蔽し検知を回避するために、パスワード付きファイルを悪用するケースをますます増やしています。これらのファイルは標準的なアンチウイルスエンジンではスキャンできないため、いかに成熟したセキュリティプログラムであっても、潜在的なブラインドスポットになり得ます。

Orion 2.6のリリースでは、パスワードで保護されたアーカイブファイルの検出・削除機能を導入し、組織がSalesforceへ侵入する隠れたマルウェアを防御できるよう支援してきました。

今回のApollo 3.0のリリースにより、この機能はMicrosoft OfficeおよびPDFファイル形式にも対応し、より広範な「高リスクコンテンツ検出機能」へと進化しました。

アップロードとダウンロードに対するきめ細かくカスタマイズ可能な保護

管理者は、アップロードおよびダウンロードイベントの双方において、WithSecure Cloud Protection for Salesforceがパスワード保護されたファイルやその他の高リスクファイルをどのように処理するかを、より細かく設定できるようになりました。

• アップロード時： 「Allow and Report」または「Remove」から選択
• ダウンロード時： 「Allow and Report」、「Remove」、または「Block」から選択

「ファイル保護設定」内にある新しい「高リスクコンテンツ」モーダルにより、これらのオプションが一元管理され、管理者はビジネス要件やコンプライアンス要件に合わせて保護レベルをカスタマイズできます。

ファイルが削除された場合、本ソリューションは自動的に代替テキストファイル（アクションの内容を説明するもの）に置き換え、ユーザーエクスペリエンスと監査の透明性を維持します。関連するすべてのアラートとイベントは、確認用に「Analytics」セクションにログ記録されます。

定期的にセキュリティ構成を確認することをお勧めします。File Protection機能については、以下のベストプラクティス設定に従うことを推奨します。

可視性の向上とリスク管理

この機能強化により、組織は以下のことが可能になります。

• アップロードとダウンロードの両方において、パスワードで保護されたOffice、PDF、およびアーカイブファイルを検出する
• スキャン不可能なファイルがSalesforce内で保存または共有されるのを防ぐ
• 高リスクコンテンツに対して、ポリシーに基づいた一貫した制御を適用する
• インシデント対応やコンプライアンスのために、完全な監査可視性を維持する

この機能を利用するには、「Advanced Threat Analysis」と「Connected App」の両方を有効にする必要があります。これにより、アプリの分析およびアラートフレームワーク全体で、検出の精度とレポートの統合が保証されます。

今後の展望

初期の攻撃経路のトップ層に位置する「アイデンティティのリスク」は、マルウェアやフィッシングの脅威と同等に重要です。

Identity Protectionの搭載により、WithSecure Cloud Protection for Salesforceは、コンテンツやフィッシング対策を超えて進化し、Salesforceの内部で活動する「人」と「アカウント」を保護します。これは、現代のサイバー脅威からリアルタイムでSalesforceを防御するという当社のミッションにおける、新たな防御レイヤーとなります。

また、Salesforceの利用が自律型AI（Autonomous AI）のユースケースへと移行しつつある中、当社はリアルタイム保護の対象をAgentforceへと拡大しています。

先を見据えた当社のフォーカスは明確です。

• プラットフォームの進化： Salesforceがユーザー、エージェント、データを繋ぎ続ける限り、当社も並行して保護範囲を拡張します。
• 脅威の進化： フィッシングやQRコードから、認証情報の窃取やサプライチェーン攻撃に至るまで、当社の防御は攻撃者の手法の変化に適応し続けます。

そして、当社のゴールは常にシンプルです。
Salesforceにおけるすべてのインタラクションを保護すること。すなわち、すべてのファイル、すべてのリンク、すべてのユーザー、そしてすべてのエージェントを守ることです。