Reagieren auf rekursive Verzeichnisauflistungsanfragen in Adobe Experience Manager as a Cloud Service
Adobe Experience Manager as a Cloud Service (AEMaaCS)-Kunden können keine rekursive Verzeichnisauflistung auf Serverebene (RDL) generieren, da Adobe das zugrunde liegende Betriebssystem, Dateisystem und die Service-Infrastruktur verwaltet. Stattdessen müssen die Sicherheitsanforderungen für die Offenlegung von Dateien und Verzeichnissen durch die Dokumentation der Architektur und die Validierung kundengesteuerter Konfigurationen erfüllt werden. Um das Problem zu beheben, stellen Sie die entsprechenden Adobe-Ressourcen als Ausgleichsbeweise bereit, überprüfen Sie die Anwendungs- und Dispatcher-Konfigurationen, validieren Sie extern zugängliche Dateien und Verzeichnisse und eskalieren Sie bei Bedarf spezifische Beweisanforderungen an den Adobe-Support.
Beschreibung description
Umgebung
Adobe Experience Manager as a Cloud Service (AEMaaCS), alle Versionen
Problem/Symptome
Unternehmen, die Sicherheitsbewertungen durchführen, erhalten möglicherweise Anforderungen für eine vollständige rekursive Verzeichnisauflistung (RDL) des Webservers. Dazu gehört in der Regel die Bereitstellung eines Inventars aller Dateien und Verzeichnisse unter dem Web-Stamm (Dokument), die häufig durch Betriebssystembefehle wie ls -laR oder find auf UNIX-/Linux-Systemen generiert werden.
Grundursache
In AEM as a Cloud Service verwaltet Adobe das zugrunde liegende Betriebssystem, das Dateisystem und die Service-Infrastruktur vollständig. Kunden haben keinen Zugriff auf Betriebssystemebene auf die zugrunde liegenden Server und können keine RDL auf Serverebene selbst generieren. Sicherheitsanforderungen für Datei- und Verzeichnisrisiken müssen mithilfe der Architekturdokumentation und durch die Validierung kundengesteuerter Konfigurationen erfüllt werden.
Lösung resolution
Gehen Sie wie folgt vor, um das Problem zu beheben:
-
Informieren Sie den Sicherheitsbewerter darüber, dass AEM as a Cloud Service eine verwaltete Plattform ist und dass Kunden keinen Zugriff auf Betriebssystemebene haben, um eine rekursive Verzeichnisliste auf Serverebene (RDL) zu generieren.
-
Stellen Sie die folgenden Adobe-Ressourcen als Ausgleichsnachweis für Audit- oder Bewertungszwecke bereit:
- Einführung in die Architektur von Adobe Experience Manager as a Cloud Service
- Sicherheitsübersicht für AEM as a Cloud Service
- Adobe Trust Center
- Dispatcher-Sicherheitscheckliste
-
Überprüfen Sie den bereitgestellten Anwendungs-Code, die Inhalte und die Dispatcher-Konfiguration, um sicherzustellen, dass temporäre, Backup- oder unbeabsichtigte Dateien nicht eingeschlossen oder verfügbar gemacht werden.
-
Verwenden Sie externe Scan-Tools, um sicherzustellen, dass über öffentliche URLs keine Verzeichnislisten oder sensiblen Dateien zugänglich sind.
-
Stellen Sie sicher, dass Dispatcher-Regeln so konfiguriert sind, dass der Zugriff auf unerwünschte Dateitypen und -pfade blockiert wird.
-
Falls die Bewertung eine förmliche Erklärung erfordert, erläutern Sie Folgendes:
- AEM as a Cloud Service ist ein verwalteter Dienst, und Kunden können keine RDL auf Serverebene generieren.
- Adobe stellt Architekturdokumentationen und Sicherheitsdokumentationen als Gegenbeweis bereit.
- Kunden sind für die Sicherung von Konfigurationen auf Anwendungsebene und Dispatcher verantwortlich.
-
Wenn der Gutachter weitere Nachweise oder eine bestimmte Ausgleichskontrolle benötigt, erfassen Sie den genauen Kontrolltext und das erforderliche Beweisformat und eskalieren Sie die Anfrage an den Adobe-Support.
-
Stellen Sie sicher, dass über öffentliche URLs keine Ordnerauflistungen oder vertraulichen Dateien zugänglich sind und dass die Sicherheitsprüfungen die erwarteten Ergebnisse zurückgeben, z. B. 404- oder 403-Antworten für blockierte Pfade.