Schützen von AEM-Websites mit Standard-Traffic-Filterregeln

Erfahren Sie, wie Sie AEM-Websites mit von Adobe empfohlenen Standard-Traffic-Filterregeln in AEM as a Cloud Service vor Denial of Service(DoS)- und Distributed Denial of Service(DDoS)-Angriffen sowie Bot-Missbrauch schützen.

Lernziele

Implementierung – Überblick

Zu den Implementierungsschritten gehören:

Voraussetzungen

Bevor Sie fortfahren, vergewissern Sie sich, dass Sie die erforderlichen Schritte ausgeführt haben, wie im Tutorial Einrichten von Traffic-Filter- und WAF-Regeln beschrieben. Außerdem müssen Sie das AEM WKND Sites-Projekt geklont und in Ihrer AEM-Umgebung bereitgestellt haben.

Wichtigste Aktionen der Regeln

Bevor wir in die Details der Standard-Traffic-Filterregeln eintauchen, klären wir die wichtigsten Aktionen, die von diesen Regeln durchgeführt werden. Das Attribut action in jeder Regel definiert, wie der Traffic-Filter reagieren soll, wenn die Bedingungen erfüllt sind. Zu den Aktionen gehören:

Prüfen und Definieren von Regeln

Von Adobe empfohlene Standard-Traffic-Filterregeln dienen als Grundlage für die Identifizierung potenziell schadhafter Traffic-Muster, indem Ereignisse wie die Überschreitung IP-basierter Ratenbegrenzungen protokolliert und Traffic aus bestimmten Ländern blockiert werden. Diese Protokolle unterstützen Teams dabei, Schwellenwerte zu validieren und fundierte Entscheidungen für den Übergang zu Blockmodus-Regeln zu treffen, ohne den legitimen Traffic zu beeinträchtigen.

Sehen wir uns die drei Standard-Traffic-Filterregeln an, die Sie der Datei /config/cdn.yaml des AEM WKND-Projekts hinzufügen sollten:

​1. DoS am Edge verhindern

Diese Regel sendet einen Warnhinweis, wenn sie einen potenziellen DoS-Angriff (Denial of Service) im CDN erkennt. Das Kriterium zum Auslösen dieser Regel besteht darin, dass ein Client am Edge 500 Anfragen pro Sekunde (gemittelt über 10 Sekunden) pro CDN-POP (Point of Presence) überschreitet.

Alle Anfragen werden gezählt und nach Client-IP gruppiert.

kind: "CDN"
version: "1"
metadata:
  envTypes: ["dev", "stage", "prod"]
data:
  trafficFilters:
    rules:
    - name: prevent-dos-attacks-edge
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 500
        window: 10
        penalty: 300
        count: all
        groupBy:
          - reqProperty: clientIp
      action:
        type: log
        alert: true

Das Attribut action gibt an, dass die Regel die Ereignisse protokollieren und einen Warnhinweis ausgeben soll, wenn die Bedingungen erfüllt sind. Auf diese Weise können Sie potenzielle DoS-Angriffe überwachen, ohne legitimen Traffic zu blockieren. Ihr Ziel ist es jedoch, diese Regel schließlich in den Blockmodus zu überführen, sobald Sie die Traffic-Muster validiert und die Schwellenwerte angepasst haben.

​2. DoS am Ursprung verhindern

Diese Regel sendet einen Warnhinweis wenn sie einen potenziellen DoS-Angriff (Denial of Service) am Ursprung erkennt. Das Kriterium zum Auslösen dieser Regel besteht darin, dass ein Client 100 Anfragen pro Sekunde (gemittelt über 10 Sekunden) pro Client-IP am Ursprung überschreitet.

Abrufe (Cache-Bypassing-Anfragen) werden gezählt und nach Client-IP gruppiert.

...
    - name: prevent-dos-attacks-origin
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 100
        window: 10
        penalty: 300
        count: fetches
        groupBy:
          - reqProperty: clientIp
      action:
        type: log
        alert: true

Das Attribut action gibt an, dass die Regel die Ereignisse protokollieren und einen Warnhinweis ausgeben soll, wenn die Bedingungen erfüllt sind. Auf diese Weise können Sie potenzielle DoS-Angriffe überwachen, ohne legitimen Traffic zu blockieren. Ihr Ziel ist es jedoch, diese Regel schließlich in den Blockmodus zu überführen, sobald Sie die Traffic-Muster validiert und die Schwellenwerte angepasst haben.

​3. OFAC-Länder blockieren

Diese Regel blockiert den Zugriff aus bestimmten Ländern, die unter OFAC-Einschränkungen fallen.
Sie können die Länderliste bei Bedarf prüfen und ändern.

...
    - name: block-ofac-countries
      when:
        allOf:
          - { reqProperty: tier, in: ["author", "publish"] }
          - reqProperty: clientCountry
            in:
              - SY
              - BY
              - MM
              - KP
              - IQ
              - CD
              - SD
              - IR
              - LR
              - ZW
              - CU
              - CI
      action: block

Das Attribut action gibt an, dass die Regel den Zugriff aus den angegebenen Länder blockieren soll. So verhindern Sie den Zugriff auf Ihre AEM-Site aus Regionen, die Sicherheitsrisiken darstellen können.

Die vollständige Datei cdn.yaml mit den oben genannten Regeln sieht wie folgt aus:

Bereitstellen der Regeln

Gehen Sie zur Bereitstellung der Regeln wie folgt vor:

Testen der Regeln

Um die Effektivität der Standard-Traffic-Filterregeln zu überprüfen, simulieren Sie sowohl am CDN-Edge als auch am Ursprung hohen Anfrage-Traffic mit Vegeta, einem vielseitigen Tool zum Testen der HTTP-Last.

Prüfen von Warnhinweisen

Warnhinweise werden generiert, wenn die Traffic-Filterregeln ausgelöst werden. Sie können diese Warnhinweise im AEM-Aktionscenter prüfen.

Analysieren der Ergebnisse

Um die Ergebnisse der Traffic-Filterregeln zu analysieren, können Sie die AEMCS CDN-Protokolle und das ELK-Dashboard-Tool verwenden. Befolgen Sie die Anweisungen im Einrichtungsabschnitt CDN-Protokollaufnahme, um die CDN-Protokolle in den ELK-Stack aufzunehmen.

Im folgenden Screenshot sehen Sie die CDN-Protokolle der AEM-Entwicklungsumgebung, die in den ELK-Stack aufgenommen wurden.

Im ELK-Programm sollte das CDN-Traffic-Dashboard die während der simulierten DoS-Angriffe aufgetretenen Spitzen am Edge und am Ursprung anzeigen.

Die beiden Panels Edge RPS per Client IP and POP und Origin RPS per Client IP and POP zeigen die Anfragen pro Sekunde (RPS) am Edge bzw. am Ursprung an, gruppiert nach Client-IP und Point of Presence (POP).

Sie können auch andere Panels im CDN-Traffic-Dashboard verwenden, um die Traffic-Muster zu analysieren, z. B. Top Client IPs, Top Countries und Top User Agents. Diese Panels unterstützen Sie dabei, potenzielle Bedrohungen zu identifizieren und Ihre Traffic-Filterregeln entsprechend anzupassen.

Splunk-Integration

Kundinnen und Kunden, die die Splunk Log-Weiterleitung aktiviert haben, können neue Dashboards erstellen, um Traffic-Muster zu analysieren.

Um Dashboards in Splunk zu erstellen, folgen Sie den Schritten Splunk-Dashboards für AEMCS CDN Log Analysis.

Der folgende Screenshot zeigt ein Beispiel für ein Splunk-Dashboard, das die maximalen Ursprungs- und Edge-Anforderungen pro IP anzeigt, damit Sie potenzielle DoS-Angriffe identifizieren können.

Zeitpunkt und Methode zum Optimieren von Regeln

Sie möchten verhindern, dass legitimer Traffic blockiert wird, und gleichzeitig Ihre AEM-Site vor potenziellen Bedrohungen schützen. Die Standard-Traffic-Filterregeln sind so konzipiert, dass sie vor Bedrohungen warnen und diese protokollieren (und schließlich blockieren, wenn der Modus gewechselt wird), ohne den legitimen Traffic zu blockieren.

Gehen Sie wie folgt vor, um die Regeln zu optimieren:

Zusammenfassung

In diesem Tutorial haben Sie gelernt, wie Sie AEM-Websites mit von Adobe empfohlenen Standard-Traffic-Filterregeln in AEM as a Cloud Service vor Denial of Service(DoS)- und Distributed Denial of Service(DDoS)-Angriffen sowie Bot-Missbrauch schützen.

Empfohlene WAF-Regeln

Erfahren Sie, wie Sie die von Adobe empfohlenen WAF-Regeln implementieren, um Ihre AEM-Websites vor komplexen Bedrohungen zu schützen, die herkömmliche Sicherheitsmaßnahmen durch erweiterte Methoden umgehen.

Schützen von AEM-Websites mit WAF-Traffic-Filterregeln

Erfahren Sie, wie Sie AEM-Websites mit den von Adobe empfohlenen Traffic-Filterregeln der Web Application Firewall (WAF) in AEM as a Cloud Service vor komplexen Bedrohungen wie DoS, DDoS und Bot-Missbrauch schützen.

WAF aktivieren

Anwendungsfälle – jenseits der Standardregeln

Für komplexere Szenarien können Sie die folgenden Anwendungsfälle erkunden. Diese demonstrieren, wie Sie benutzerdefinierte Traffic-Filterregeln basierend auf bestimmten Unternehmensanforderungen implementieren:

Überwachen sensibler Anfragen

Erfahren Sie, wie Sie sensible Anfragen überwachen, indem Sie sie mit Traffic-Filterregeln in AEM as a Cloud Service protokollieren.

Weitere Informationen

Einschränken des Zugriffs

Erfahren Sie, wie Sie den Zugriff durch Blockierung bestimmter Anfragen mit Traffic-Filterregeln in AEM as a Cloud Service einschränken.

Weitere Informationen

Normalisieren von Anfragen

Erfahren Sie, wie Sie Anfragen durch Transformation mit Traffic-Filterregeln in AEM as a Cloud Service normalisieren.

Mehr erfahren

Zusätzliche Ressourcen