Salesforce 登录取证：深入解析用户访问监控与安全

背景与应用场景

在当今的数字化环境中，企业信息安全至关重要。Salesforce 作为全球领先的 CRM 平台，存储着企业最核心的客户数据、销售记录和商业机密。因此，对 Salesforce 组织的访问控制和监控是安全体系中不可或缺的一环。Login Forensics（登录取证） 是一种通过分析用户登录数据来识别、调查和响应潜在安全威胁的过程。

无论是满足合规性要求（如 SOX、GDPR、HIPAA），还是主动防御内部威胁和外部攻击，登录取证都提供了关键的数据支持。其主要应用场景包括：

安全审计与合规： 向审计人员提供详细的用户登录记录，证明企业已实施适当的访问控制措施。
威胁检测： 识别异常登录行为，例如：
- 短时间内来自不同地理位置的登录尝试。
- 在非工作时间或节假日的登录。
- 来自已知恶意 IP 地址的访问。
- 特定用户的大量失败登录尝试，可能预示着密码暴力破解攻击。
故障排查： 帮助用户解决“无法登录”等问题，通过查看登录状态和失败原因快速定位问题。
用户行为分析： 了解用户如何以及何时访问 Salesforce，为优化用户体验和系统性能提供数据依据。

Salesforce 平台提供了强大的原生工具来支持登录取证，主要依赖于两个核心功能：标准的 LoginHistory 对象和更为高级的 Event Monitoring（事件监控）。

原理说明

Salesforce 通过记录每一次用户登录尝试的详细信息，为登录取证提供了数据基础。根据需求和复杂度的不同，我们可以通过两种主要方式来访问这些数据。

1. LoginHistory SObject

LoginHistory 是一个标准的 Salesforce 对象，用于存储组织过去 6 个月内的用户登录历史记录。它就像一个标准的“登录日志”，记录了每次登录尝试的基本信息。系统管理员或拥有“查看设置和配置”权限的用户可以通过 SOQL (Salesforce Object Query Language) 查询、报表或 API 来访问这些数据。

该对象包含的关键字段有：

UserId: 登录用户的 ID。
LoginTime: 登录尝试的时间戳。
SourceIp: 来源 IP 地址。
Status: 登录结果（例如 Success, Invalid Password, User Locked）。
LoginType: 登录方式（例如 Application, API, Remote）。
LoginUrl: 用户尝试登录的 URL（例如 login.salesforce.com）。
CountryIso: 根据来源 IP 推断的国家/地区代码。

LoginHistory 对于快速、常规的登录审计和问题排查非常有用，但其提供的信息相对基础，且不具备实时触发能力。

2. Event Monitoring (LoginEvent)

Event Monitoring 是 Salesforce 提供的一项高级功能（通常是付费附加产品），它能够捕获 Salesforce 组织中发生的各种详细事件，并将它们存储在称为 EventLogFile 的对象中。对于登录取证，我们最关心的是 LoginEvent 事件类型。

与 LoginHistory 相比，LoginEvent 提供了更丰富、更深入的上下文信息，并且支持近乎实时的分析和自动化响应。LoginEvent 数据同样可以保留 6 个月。

LoginEvent 包含的关键字段远超 LoginHistory，例如：

SessionLevel: 会话安全级别（例如 STANDARD, HIGH_ASSURANCE）。这对于评估高权限操作的安全性至关重要。
PolicyId/PolicyOutcome: 如果登录触发了事务安全策略 (Transaction Security Policy)，这里会记录策略 ID 和结果（例如 Block, TwoFactorRequired）。
CipherSuite/TlsProtocol: 用于登录的加密套件和 TLS 协议版本，有助于审计加密合规性。
EvaluationTime: Salesforce 处理该登录事件所花费的时间。
LoginKey: 唯一标识一次登录流程的键，可用于关联同一登录流程中的多个事件。

更重要的是，LoginEvent 对象支持 Apex Triggers，这意味着我们可以在检测到特定登录事件时，立即执行自定义的 Apex 代码，实现自动化的实时响应，例如发送告警邮件、冻结用户或创建跟进案例。

示例代码

以下代码示例展示了如何使用 SOQL 和 Apex 来进行登录取证。所有示例均基于 Salesforce 官方文档。

1. 使用 SOQL 查询 LoginHistory

这是一个基础的 SOQL 查询，用于获取过去24小时内所有失败的登录尝试。这对于日常安全监控非常实用。

// 查询过去24小时内所有失败的登录记录
// 并按时间降序排列
SELECT
    Id,
    UserId,
    LoginTime,
    LoginType,
    SourceIp,
    Status,
    CountryIso,
    LoginUrl
FROM
    LoginHistory
WHERE
    LoginTime > YESTERDAY
    AND Status != 'Success'
ORDER BY
    LoginTime DESC

2. 使用 SOQL 查询 LoginEvent

当需要更详细的登录信息时，可以查询 LoginEvent 对象。此查询查找所有需要多因素认证 (MFA) 的登录事件。

// 查询过去7天内，所有因事务安全策略而需要进行MFA验证的登录事件
// PolicyOutcome = 'TwoFactorRequired' 表示需要MFA
SELECT
    EventDate,
    UserId,
    SourceIp,
    PolicyId,
    PolicyOutcome,
    SessionLevel,
    Username
FROM
    LoginEvent
WHERE
    EventDate > LAST_N_DAYS:7
    AND PolicyOutcome = 'TwoFactorRequired'

3. 使用 Apex Trigger 实时响应 LoginEvent

这是登录取证中最强大的应用。下面的 Apex Trigger 会在每次登录事件发生后触发。如果检测到来自特定国家/地区（此处以 'NLD' - 荷兰为例）的登录，它会自动创建一个任务 (Task) 指派给系统管理员进行调查。

/**
 * LoginEventAfterInsertTrigger - 在LoginEvent对象上创建的after insert触发器
 * 目的：当检测到来自特定国家/地区的登录时，自动创建任务进行跟进。
 */
trigger LoginEventAfterInsertTrigger on LoginEvent (after insert) {
    // 获取组织中的系统管理员用户ID，用于分配任务
    // 最佳实践：避免在循环中执行SOQL查询
    List<User> admins = [SELECT Id FROM User WHERE Profile.Name = 'System Administrator' AND IsActive = true LIMIT 1];
    if (admins.isEmpty()) {
        // 如果没有找到管理员，则不执行任何操作
        return;
    }
    Id adminId = admins[0].Id;

    List<Task> tasksToCreate = new List<Task>();

    // 遍历所有新插入的LoginEvent记录
    for (LoginEvent evt : Trigger.new) {
        // 检查登录事件的国家/地区代码是否为 'NLD' (荷兰)
        // 在实际应用中，这可以是一个国家/地区黑名单
        if (evt.CountryIso == 'NLD') {
            Task t = new Task();
            t.OwnerId = adminId; // 将任务分配给管理员
            t.Subject = 'Security Alert: Suspicious login from ' + evt.CountryIso;
            t.Description = 'A user with username ' + evt.Username +
                            ' logged in from IP address ' + evt.SourceIp +
                            ' located in ' + evt.CountryIso +
                            ' at ' + evt.EventDate + '. Please investigate.';
            t.ActivityDate = Date.today();
            t.Status = 'Not Started';
            t.Priority = 'High';
            tasksToCreate.add(t);
        }
    }

    // 批量插入创建的任务，遵循Apex最佳实践
    if (!tasksToCreate.isEmpty()) {
        insert tasksToCreate;
    }
}

注意事项

权限要求：
- 查询 LoginHistory 通常需要“查看设置和配置”权限或“查看所有数据”权限。
- 访问 LoginEvent 数据需要购买 Salesforce Shield 或 Event Monitoring 附加许可，并且用户需要分配有“事件监控”权限集许可证及“查看事件日志文件”权限。
数据保留与限制：
- LoginHistory 和 LoginEvent 的数据都只保留 6 个月。如果需要长期存储，必须定期将数据导出到外部数据仓库或日志管理系统，如 Splunk 或 ELK Stack。
- SOQL 查询受 Governor Limits 限制。在处理大量登录事件时，务必编写高效、带有筛选条件的查询语句，避免超出限制。
API 版本： 确保使用的 API 版本支持您想要查询的字段。某些字段可能是在较新的 API 版本中才被引入的。
IP 地址地理位置： Salesforce 提供的 IP 地理位置信息 (CountryIso, City 等) 是基于第三方数据库的，可能存在一定延迟或不准确性。对于关键安全决策，建议结合其他威胁情报服务进行交叉验证。
“Login As”事件： 管理员使用“代理登录”功能登录时，也会生成登录事件。在 LoginHistory 中，这可以通过 AuthenticationServiceId 来识别。在 LoginEvent 中，则可以利用 UserId 和 SessionKey 等字段来区分是本人登录还是代理登录。

总结与最佳实践

Salesforce 登录取证是维护组织安全、满足合规要求和主动防御威胁的关键实践。通过有效利用 LoginHistory 和 LoginEvent，技术架构师和安全团队可以获得对用户访问行为的深刻洞察。

最佳实践建议：

建立基线，定期审查： 创建关于登录活动的仪表板和报表（例如，按用户、地理位置、登录类型分类的成功/失败登录），定期审查以识别偏离正常模式的异常行为。
自动化实时告警： 对于高风险场景（如来自禁止国家的登录、非工作时间的高权限用户登录、密码破解尝试），使用 LoginEvent 上的 Apex Trigger 或平台事件 (Platform Events) 结合 Flow 来实现自动化实时告警和响应。
整合外部 SIEM 系统： 将 Salesforce 的事件日志（特别是 LoginEvent）通过 API 集成到企业的 SIEM (Security Information and Event Management) 工具中。这有助于将 Salesforce 的安全信号与企业其他系统的日志进行关联分析，形成统一的安全视图。
善用事务安全策略： 结合 Event Monitoring 和事务安全策略，可以在检测到高风险登录时强制执行 MFA 或直接阻止会话，从而实现从“检测”到“预防”的升级。
区分用途： 使用 LoginHistory 进行快速、常规的审计；使用 LoginEvent 进行深入的、自动化的、实时的安全取证和响应。

通过系统地实施这些策略，您可以将 Salesforce 的登录取证能力发挥到极致，为您的组织构建一个更加透明和安全的数据环境。

Salesforce Data Loader 全方位指南：数据迁移与管理的最佳实践

八月 13, 2025

阅读全文

Salesforce中文网