サイバー脅威に対するSalesforceの監視、検出、対応

この記事で学べること

不正アクセス、ランサムウェア、DoS/DDoS攻撃等、多様なサイバー脅威に対してSalesforceはどのような監視、検出、対応を行っているか理解できる。

1.  はじめに

本記事では不正アクセス、ランサムウェア、DoS/DDoS攻撃等、多様なサイバー脅威からSalesforceがどのようにしてお客様にご利用いただいているSalesforceの本番システムのインフラストラクチャーを保護しているかを説明します。

2. インシデントレスポンス計画の整備

Salesforceではインシデントレスポンス計画が整備されています。Salesforceでは、標準化されたインシデント管理プロセス、各インシデントに応じたインシデント対応マトリックスおよび手順書が存在し、これに従い24時間365日体制で、セキュリティインシデントの軽重を問わず、お客様にサービスを提供する本番システムの安定性を維持するために、速やかな対応がとれる体制が整備されています。

インシデントレスポンス計画は以下のリンクからご確認いただけます。

また、このインシデント対応計画は、SalesforceのCSIRTチームによって四半期ごとにテストおよび訓練されています。

3. CSIRTの設置

Salesforceでは、セキュリティ・インシデント対応チーム(Computer Security Incident Response Team。以下CSIRT)を設置しており、正式なインシデント管理プロセスに従って調査、管理、コミュニケーションおよび解決の活動を行っております。

4. CSIRTによるログ監視とセキュリティインシデントの検知と対応

Salesforceの本番システムのインフラストラクチャーは、ネットワーク機器、サーバ、ファイアウォール、侵入検知システム、マルウェア対策、ファイル改ざん検知、データベース等のログを記録しています。これらのログはログ管理サーバで集約・相関分析され、CSIRTチームが24時間365日ログを監視しており、セキュリティアラートの通知を受け取った後、不正侵入の試みを検出した場合は、該当通信の遮断、マルウェアの駆除などの対応が即座にできる体制としています。このシステムログは1年間保管しており、また、システムログは改ざんや不正アクセスから保護するための様々なコントロールを実施しています。

また、DoS/DDoS攻撃については、ネットワークセキュリティチームが24時間365日体制でネットワークトラフィックを監視しており、DoS/DDoS攻撃を検出した後、社内対応プロセスに従い、迅速にDDoS攻撃を緩和する対応が行われます。

5. 脅威インテリジェンスを活用したプロアクティブなDDoSの検知と対応

1. インフラ・プラットフォーム側の対策

Salesforceは世界最大級のトラフィックを処理するため、多層防御を採用しています。

• Hyperforceの「Trusted Perimeter」: 最新のインフラ「Hyperforce」では、AIを活用した独自の防御プラットフォーム（Trusted Perimeter）が稼働しています。過去には**毎秒1.6テラビット（1.6Tbps）**規模の巨大な攻撃を、200万以上のユニークIPから受けた際も自動的に検知・防御した実績を公開しています。
• パブリッククラウドとの連携: HyperforceがAWSやGoogle Cloudなどの上で動いている場合、各クラウドプロバイダーが提供する強力なDDoS保護機能（AWS Shieldなど）も組み合わせて利用されています。
• 常時監視: 上記の通り、Salesforceのセキュリティチーム（CSIRT/Networkセキュリティチームなど）が、24時間365日体制で異常トラフィックの監視と即時対応を行っています。

2. ユーザーが利用できる機能（Salesforce Edge Network）

ユーザー側でDDoS耐性を高めるために、「Salesforce Edge Network」への切り替えを推奨しています。

• グローバルなエッジ拠点: ユーザーの近くにあるエッジ 拠点で通信を一度受け止めることで、攻撃トラフィックが直接システムに到達するのを防ぎます。
• WAF（Web Application Firewall）の適用: エッジ側で不正なリクエストやアプリケーション層（L7）のDDoS攻撃をフィルタリングします。

3. API・アプリ層での自己防衛（MuleSoftなど）

外部公開しているAPIやサイト（Experience Cloud）については、以下の機能で対策できます。

• レート制限（Rate Limiting）: 特定のIPやクライアントからのリクエスト回数を制限し、リソースの枯渇を防ぎます。
• Dedicated Load Balancer (DLB): MuleSoftなどでは、専用のロードバランサーを使ってIPホワイトリストやポリシーを設定し、不要な通信を入り口で遮断できます。

注意点：ユーザーの責任範囲

Salesforceはプラットフォームとしての防御は強力ですが、「ゲストユーザーへの過剰な権限設定」や「IPアドレス制限の未実施」「MFAの不使用」といった設定不備によるデータの大量抽出などは、DDoSとは別にユーザー側で管理・対応する必要があります。

6. セキュリティインシデントが発生した場合のお客様への通知

セキュリティインシデントが発生した場合、すべてのお客様に影響がある事象はTrustサイトに掲載されます。個別のお客様のセキュリティインシデントについては管理者とセキュリティコンタクトとして登録されたユーザーにメールが送信されます。

セキュリティコンタクトの登録方法は以下のリンクをご参照下さい。