Adobe Commerce Advanced Security
Adobe Commerce Advanced Security ist ein Produkt, das mit Adobe Commerce on Cloud Infrastructure zusammenarbeitet, um Ihren Online-Store schnell, verfügbar und sicher zu halten. Dies kann dazu beitragen, den Umsatz zu schützen, Ausfallzeiten zu reduzieren und das Vertrauen der Kunden bei Spitzen-Traffic-Ereignissen und automatisierten Angriffen aufrechtzuerhalten.
Adobe Commerce on Cloud Infrastructure umfasst einen integrierten Layer 3- und 4-DDoS- und eine Web Application Firewall (WAF). Unter dem Modell der gemeinsamen Verantwortung sind die Erkennung von Layer 7-DDoS, der Bot-Schutz und das proaktive Sperren von IP-Adressen Händlerpflichten, auf die Adobe Commerce Advanced Security eingehen soll.
Advanced Security erweitert den Schutz der Storefront durch Fastly-gestützte Edge-Sicherheitsfunktionen, die Bot-Management, erweiterte Ratenbegrenzung und Layer 7 DDoS-Schutz als Teil einer einheitlichen Edge-Plattform bieten, die Skalierung, Leistung und Sicherheit am Netzwerk-Edge kombiniert.
Kernfunktionen
Adobe Commerce Advanced Security umfasst die folgenden zusätzlichen Schutzmechanismen:
-
Bot-Management - Identifiziert und reduziert unerwünschte Bot-Aktivitäten in Ihren Web-Anwendungen. Der Bot-Management-Service unterscheidet zwischen legitimen Bots (Crawler-Bots für Suchmaschinen, Social Media-Bots) und bösartigen Bots und bietet Echtzeit-Klassifizierung am Netzwerkrand mit Optionen zum Blockieren, Zulassen, Anfechten oder Beschränken des Traffics.
-
DDoS Protection: Bietet Layer 7 (Application Layer)-DDoS-Schutz über den bestehenden Layer 3- und 4-Schutz hinaus, der in allen Adobe Commerce on Cloud Infrastructure-Projekten enthalten ist. Der DDoS-Schutz-Service absorbiert umfangreiche volumetrische Angriffe und stellt die kontinuierliche Anwendungsverfügbarkeit während verteilter Denial-of-Service (DDoS)-Ereignisse sicher, sodass der Umsatz während Spitzenzeiten des Traffics geschützt ist.
-
Erweiterte Ratenbegrenzung - Bietet konfigurierbare Ratenbegrenzungsregeln, die bestimmte URLs, API-Endpunkte und Anwendungsressourcen vor Missbrauch schützen. Der Service zur erweiterten Ratenbegrenzung geht über die einfache Ratenbegrenzung) hinaus, die über das Fastly CDN-Modul verfügbar , um bestimmte Traffic-Muster und Angriffsvektoren anzusprechen und so Infrastrukturbelastungen und Cloud-Kosten zu reduzieren.
Standardregeln und -schutz
Die folgenden Standardregeln und Schutzmechanismen sind in Advanced Security verfügbar.
Layer 7 DDoS
- DDoS-Schwellenwerte sind in die Fastly CDN-Plattform integriert und können derzeit nicht pro Kunde angepasst werden.
- Protokolle für Traffic, der durch DDoS-Schutzmechanismen blockiert wird, sind für Kunden nicht direkt sichtbar.
- Auf Anfrage kann der Adobe Commerce-Support Details zum blockierten DDoS-Traffic bereitstellen.
- In einer zukünftigen Version werden native DDoS-Protokollweiterleitungsfunktionen erwartet.
Bot-Verwaltung
Die folgenden grundlegenden Schutzmaßnahmen für das Bot-Management sind über das Signal Sciences-Dashboard von Fastly verfügbar.
sigsci_tagssigsci_tagsAgent_response sichtbar.Agent_response sichtbar.Agent_response sichtbar.Beobachtbarkeit — Überwachung sowohl des Schutzes als auch der NGWAF-Aktivität
CDN-Protokolle werden automatisch an das New Relic-Konto des Kunden weitergeleitet. Weitere Informationen finden Sie unter Protokollverwaltung.
Die CDN-Protokolle enthalten integrierte Telemetrie von Signal Sciences (Bot Protection / Next-Generation WAF), mit der Kunden Sicherheitsereignisse direkt in New Relic überwachen können.
Schlüsselfelder sind:
Sigsci_Tags- Gibt Klassifizierungen und Tags an, die von Signal Sciences angewendet werden.Agent_response- Zeigt die vom Bot Protection/NGWAF-Agent durchgeführte Aktion an.
Beispiele:
-
So identifizieren Sie Traffic, der durch Bot Protection- oder NGWAF-Regeln blockiert ist:
Agent_response:"406"Der Antwort-Code 406 gibt an, dass die Anfrage von den Sicherheitskontrollen blockiert wurde.
-
So identifizieren Sie Anfragen, die als verdächtige fehlerhafte Bots getaggt wurden:
Sigsci_Tags:"*SUSPECTED-BAD-BOT*"
Diese Felder können verwendet werden, um Dashboards, Warnhinweise und Ermittlungen in New Relic zu erstellen, um Bot-Aktivitäten, blockierte Anfragen und andere sicherheitsbezogene Ereignisse zu überwachen.
Vorhandene VCL-Funktionen bleiben unverändert
Durch die Aktivierung des Advanced Security-Add-ons werden vorhandene Fastly VCL-basierte Sicherheitssteuerungen nicht geändert oder ersetzt.
Die folgenden vorhandenen VCL-Blockierungsfunktionen funktionieren weiterhin ohne Änderungen:
- IP-basierte Blockierung
- Geoblocking
- Benutzeragentenbasierte Blockierung
- JA3-signaturbasierte Blockierung
- JA4-signaturbasierte Blockierung
Kunden können neben den Advanced Security-Add-on-Funktionen weiterhin vorhandene benutzerdefinierte VCL-Konfigurationen und Sicherheitsregeln verwenden.
Das Advanced Security-Add-on funktioniert zusätzlich zu den bereits in Adobe Commerce on Cloud Infrastructure verfügbaren Standard-Fastly-CDN- und vorhandenen VCL-Schutzmechanismen.
Abdeckung von Bedrohungen
Advanced Security schützt Storefronts vor einer Reihe automatisierter und anwendungsbasierter Bedrohungen.
Bot-gesteuerter Missbrauch
- Berechtigungsfüllung - Automatisierte Versuche, sich mit gestohlenen Anmeldeinformationen von Datenschutzverletzungen anzumelden.
- Kontoübernahme - Bots, die versuchen, nicht autorisierten Zugriff auf Kundenkonten zu erhalten.
- Missbrauch bei der Kontoerstellung - Automatisierte Erstellung gefälschter Konten für Betrug oder Missbrauch.
- Kartentest - Bots, die gestohlene Kreditkartennummern mit Ihrem Zahlungsprozessor testen.
- Content-Scraping - Automatisierte Extraktion von Produktdaten, Preisen oder Inhalten aus Ihrer Storefront.
- Inventar-: Bots, die Produkte in Warenkörben aufbewahren, um rechtmäßige Käufe zu verhindern.
KI-Bot-Verwaltung
- KI-Crawler-Erkennung - Identifiziert und verwaltet KI-Crawler, die Inhalte abkratzen, um große Sprachmodelle ohne Einverständnis zu trainieren.
- KI-Abrufsteuerung - Steuert KI-Abrufprogramme, die in Echtzeit-KI-Suchen verwendet werden.
- Konfigurierbare KI-Bot Richtlinien - Unterscheidet zwischen verifizierten und vermuteten KI-Bots mit konfigurierbaren Signaltypen zur Durchsetzung von Richtlinien.
Angriffe auf Anwendungsebene
- Layer 7-DDoS-Angriffe - Verteilte Angriffe zielen auf die Anwendungsebene ab, die die integrierten Layer 3- und Layer 4-Schutzmechanismen umgehen. Advanced Security absorbiert diese volumetrischen Angriffe am Edge, bevor sie Ihre ursprünglichen Server erreichen.
- URL- und API-Missbrauch - Angriffe, die auf bestimmte URLs oder API-Endpunkte abzielen, verteilen sich auf eine große Anzahl von IP-Adressen, bei denen die einzelne IP-Blockierung nicht wirksam ist.
- Cache-Busting-Angriffe - Anfragen mit manipulierten Abfrageparametern, die das CDN-Caching umgehen und den Ursprungs-Server überfordern.
Zusätzliche Funktionen
- Dynamische Herausforderungen - Weist verdächtigem Traffic automatisch die optimale Herausforderung zu. Nutzt private Zugriffstoken (PAT) zur nahtlosen Validierung eines Teils der Anfragen, ohne das Benutzererlebnis zu beeinträchtigen.
- Täuschungstechnologie: Behebt Akzeptanzversuche durch die Rückgabe falscher Informationen an Angreifer, mindert deren Angriffe und unterbricht gleichzeitig deren Skalierbarkeit.
Auswahl des richtigen Schutzes
Verwenden Sie die folgenden Anleitungen, um festzustellen, ob Advanced Security die richtige Lösung für Ihre Storefront-Schutzanforderungen ist oder ob vorhandene Schutzmechanismen oder alternative Lösungen besser geeignet sind.
Verwendung von Advanced Security
Die folgenden Szenarien lassen sich am besten mit Advanced Security umgehen:
Verwendung vorhandener Schutzmechanismen
Die folgenden Szenarien lassen sich am besten mit vorhandenen Schutzmechanismen umgehen:
Verwendung alternativer Schutzmechanismen
Die folgenden Szenarien lassen sich am besten mit alternativen Schutzmaßnahmen bewältigen, die Advanced Security ergänzen können:
Positionierung des Sicherheits-Stacks
Advanced Security passt als zusätzliche Ebene des Edge-basierten Schutzes in die umfassendere Adobe Commerce-Sicherheitsarchitektur. Es funktioniert neben den bereits in Adobe Commerce on Cloud Infrastructure enthaltenen WAF- und Layer 3/4-DDoS-Schutzkomponenten und ersetzt diese nicht. In den folgenden Abschnitten wird erläutert, wie sich dies auf bestehende Schutzmechanismen bezieht und welche Verantwortlichkeiten beim Kunden verbleiben.
Eingeschlossene Schutzmechanismen
Adobe Commerce on Cloud Infrastructure umfasst die folgenden Sicherheitsfunktionen:
- Web Application Firewall (WAF) - Verwalteter Schutz vor SQL-Injection, Cross-Site Scripting (XSS) und anderen Open Web Application Security Project (OWASP) - Top 10 der Bedrohungen. Nur in Produktionsumgebungen verfügbar.
- Layer 3- und 4-DDoS-Schutz - Integrierter Schutz vor Angriffen auf Netzwerkebenen wie SYN-Fluten, UDP-Fluten, ICMP-basierten Angriffen und Angriffen auf TCP-Ebene. Automatisch mit Fastly CDN aktiviert.
- SSL-/TLS-: Domain-validierte Verschlüsselungszertifikate für sicheren HTTPS-Traffic.
- Origin Cloaking - Stellt alle Traffic-Routen durch Fastly sicher und blockiert den direkten Zugriff auf die Ursprungs-Server.
- VCL-basierte Sicherheitsausschnitte - VCL-Regeln (Custom Varnish Configuration Language) für IP-Blockierung, -Zulassungsauflistung und -Anforderungsfilterung.
Advanced Security
Advanced Security bietet zusätzlichen Schutz, der über die integrierten Adobe Commerce on Cloud Infrastructure-Schutzfunktionen hinausgeht, aber mit zusätzlichen Kosten:
- Bot-: Edge-basierte Bot-Erkennung und -Abmilderung mit KI-Bot-Verwaltung.
- Layer 7 DDoS Protection - Aufnahme und Abwehr von DDoS auf Anwendungsebene.
- Erweiterte Ratenbegrenzung - Granulare Ratensteuerelemente für URLs und API-Endpunkte.
- Dynamische Challenges und Täuschungstechnologie - Automatisierte Challenge-Zuweisung und Abmilderung von Kontoübernahmen.
Kundenverantwortung
- Betrugsprävention - Betrugsbewertung auf Transaktionsebene und Erkennung von Zahlungsbetrug.
- Identitäts- und Zugriffsverwaltung - Kundenauthentifizierung, Autorisierung und Sitzungsverwaltung.
- Anwendungs-Sicherheitstests - SAST/DAST und Suche nach Sicherheitslücken.
- Benutzerdefinierte Sicherheitskonfigurationen - VCL-basierte Regeln, IP-Zulassungslisten und.
- Compliance-Tools - PCI-Scanning, SOC-Compliance-Reporting und Tools für die Prüfung von Vorschriften.
- Härtung auf Anwendungsebene - Token-basierte API-Authentifizierung, Normalisierung von Abfrageparametern und Entwurf einer Caching-Strategie.
Einen vollständigen Überblick über die Zuständigkeiten für Adobe und die Kundensicherheit finden Sie unter Modell der gemeinsamen Verantwortung.
Häufige Angriffsmuster und Schutzmechanismen
In der folgenden Tabelle werden gängige Angriffsmuster der entsprechenden Schutzschicht im Adobe Commerce-Sicherheitsstapel zugeordnet.
WAF-Blockierverhalten
Das folgende WAF-Verhalten gilt für alle Adobe Commerce on Cloud Infrastructure-Projekte, unabhängig davon, ob Advanced Security aktiviert ist. Der enthaltene WAF-Service verwendet das folgende Blockierverhalten für gängige Angriffssignale:
- SQL-Injection-Anfragen werden sofort blockiert, selbst bei einer einzelnen übereinstimmenden Anfrage.
- Anfragen, die mit den folgenden Bedrohungssignalen von einer bekannten böswilligen IP identifiziert werden, werden sofort blockiert: Backdoor, Attack Tooling, CMDEXE, Log4J JNDI, Traversal und XSS.
- Anfragen von nicht böswilligen IPs, die die oben genannten Bedrohungssignale aufweisen, werden blockiert, wenn sie die folgenden Schwellenwerte überschreiten:
Advanced Security anfordern
Advanced Security anfordern:
-
Wenden Sie sich an Ihr Adobe-Kundenbetreuerteam oder den Adobe-Vertriebsmitarbeiter, um die Advanced Security für Ihr Projekt zu besprechen.
-
Nach dem Kauf von Advanced Security ein Adobe Commerce Support-Ticket einreichen um Advanced Security Aktivierung anzufordern. Geben Sie Ihre Adobe Commerce on Cloud Infrastructure Projekt-ID und die Umgebungen an, die aktiviert werden müssen (z. B. Produktion und Staging).
-
Adobe aktiviert Advanced Security für Ihren Fastly-Service und konfiguriert die anfänglichen Schutzrichtlinien. Die Aktivierung wird in der Regel innerhalb weniger Werktage nach der Ticketübermittlung abgeschlossen.
-
Sie erhalten eine Bestätigung, dass Advanced Security aktiv ist, sowie Details zu den für Ihre Umgebungen aktivierten Schutzfunktionen.
Einschränkungen
Advanced Security bietet Schutz vor Edge-Layer-Storefronts. Die folgenden Funktionen sind nicht verfügbar und sollten am besten mit ergänzenden Lösungen unterstützt werden:
- Betrugs-Scoring auf Transaktionsebene - Advanced Security werden einzelne Zahlungsvorgänge nicht auf Betrugsrisiken hin bewertet. Verwenden Sie eine spezielle Plattform zur Betrugsbekämpfung für die Bewertung auf Transaktionsebene.
- Identity and Access Management (IAM) - Advanced Security verwaltet keine Benutzerauthentifizierung, Autorisierung oder Sitzungsverwaltung. Dies bleibt die Verantwortung des Kunden.
- Statische und dynamische Anwendungs-Sicherheitstests (SAST/DAST) - Advanced Security umfasst keine Schwachstellenüberprüfung auf Code-Ebene oder Penetrationstests.
- API-Sicherheit - Während die erweiterte Ratenbegrenzung API-Endpunkte vor Missbrauch schützen kann, werden umfassende API-Sicherheitsfunktionen wie Schemavalidierung und API-Gateway-Verwaltung nicht bereitgestellt.
- Vollständige Betrugsprävention - Advanced Security konzentriert sich auf den Schutz der Storefront auf Edge-Ebene und ist keine vollständige Plattform für das Betrugs-Management.
- Compliance-Tools - Advanced Security bietet keine PCI-Scan-, SOC-Compliance-Reporting- oder Prüffunktionen.