Die Dispatcher-Sicherheitscheckliste the-dispatcher-security-checklist

Adobe empfiehlt, vor dem Einsatz in einer Produktionsumgebung die folgende Checkliste abzuarbeiten.

Verwenden der neuesten Dispatcher-Version use-the-latest-version-of-dispatcher

Installieren Sie die neueste Version, die für Ihre Plattform verfügbar ist. Aktualisieren Sie Ihre Dispatcher-Instanz, um die neueste Version zu verwenden und von Produkt- und Sicherheitsverbesserungen zu profitieren. Weitere Informationen finden Sie unter Installieren des Dispatchers.

Einschränken von Clients, die den Cache leeren können restrict-clients-that-can-flush-your-cache

Adobe empfiehlt, die Clients einzuschränken, die den Cache leeren können.

Aktivieren des HTTPS für Transport Layer Security enable-https-for-transport-layer-security

Adobe empfiehlt die Aktivierung der HTTPS-Transportebene sowohl auf Autoren- als auch auf Veröffentlichungsinstanzen.

Einschränken des Zugriffs restrict-access

Wenn Sie den Dispatcher konfigurieren, schränken Sie externe Zugriffe so weit wie möglich ein. Siehe das Beispiel für einen Abschnitt /filter in der Dispatcher-Dokumentation.

Verweigern des Zugriffs auf administrative URLs make-sure-access-to-administrative-urls-is-denied

Stellen Sie sicher, dass Sie Filter verwenden, um den externen Zugriff auf sämtliche administrative URLs wie die Web-Konsole zu blockieren.

Unter Testen der Dispatcher-Sicherheit finden Sie eine Liste der URLs, die blockiert werden müssen.

Verwenden von Zulassungslisten anstelle von Blockierungslisten use-allowlists-instead-of-blocklists

Zulassungslisten eignen sich besser zur Zugriffskontrolle, da sie grundsätzlich voraussetzen, dass alle Zugriffsanfragen verweigert werden sollten, sofern sie nicht ausdrücklich Teil der Zulassungsliste sind. Dieses Modell ermöglicht eine strengere Kontrolle über neue Anfragen, die während einer bestimmten Konfigurationsphase möglicherweise noch nicht überprüft oder berücksichtigt wurden.

Ausführen des Dispatchers mit einer dedizierten Systembenutzerin bzw. einem dedizierten Systembenutzer run-dispatcher-with-a-dedicated-system-user

Beim Konfigurieren des Dispatchers sollten Sie sicherstellen, dass der Webserver von dedizierten Benutzenden mit den geringsten Rechten ausgeführt wird. Es wird empfohlen, dass Sie nur Schreibzugriff auf den Dispatcher-Cache-Ordner gewähren.

Außerdem müssen IIS-Benutzende ihre Website folgendermaßen konfigurieren:

Vermeiden von Denial-of-Service-Angriffen prevent-denial-of-service-dos-attacks

Ein Denial-of-Service-Angriff (DoS) zielt darauf ab, eine Computerressource für die vorgesehenen Personen unzugänglich zu machen.

Auf Dispatcher-Ebene gibt es zwei Konfigurationsmöglichkeiten, um DoS-Angriffe zu verhindern: Filter

Um den vollen Funktionsumfang für die Veröffentlichungsinstanzen zu aktivieren, konfigurieren Sie Filter, um den Zugriff auf die folgenden Knoten zu verhindern:

Konfigurieren Sie anschließend Filter, um den Zugriff auf die folgenden Knotenpfade zuzulassen:

Konfigurieren des Dispatchers zum Verhindern von CSRF-Angriffen configure-dispatcher-to-prevent-csrf-attacks

AEM bietet ein Framework, mit dem CSRF-Angriffe (Cross-Site Request Forgery) verhindert werden können. Um dieses Framework ordnungsgemäß nutzen zu können, muss die CSRF-Token-Unterstützung im Dispatcher aktiviert werden:

Verhindern von Clickjacking prevent-clickjacking

Um Clickjacking zu verhindern, sollten Sie Ihren Webserver so konfigurieren, dass er den HTTP-Header X-FRAME-OPTIONS bereitstellt, der auf SAMEORIGIN festgelegt ist.

Weitere Informationen zum Thema Clickjacking finden Sie auf der OWASP-Website.

Durchführen eines Penetrationstests perform-a-penetration-test

Adobe empfiehlt dringend, einen Penetrationstest Ihrer AEM-Infrastruktur durchzuführen, bevor Sie in Produktion gehen.