Sicherheit

Anwendungssicherheit beginnt während der Entwicklung. Adobe empfiehlt die folgenden Best Practices, um die Sicherheit zu verbessern.

Verwenden Sie Sitzungsanfragen

Gemäß dem Grundsatz der geringsten Berechtigung empfiehlt Adobe, dass jeder Repository-Zugriff über die mit der Benutzeranfrage verknüpfte Sitzung und eine ordnungsgemäße Zugriffskontrolle erfolgt.

Schutz vor Cross-Site Scripting (XSS)

Mit Cross-Site Scripting (XSS) können Angreifer Code in Webseiten einfügen, die von anderen Benutzern aufgerufen werden. Diese Sicherheitslücke kann von böswilligen Nutzern ausgenutzt werden, um die Zugriffssteuerung zu umgehen.

AEM filtert prinzipiell sämtliche vom Benutzer bereitgestellten Inhalte bei der Ausgabe. Bei Entwicklung und Tests hat das Vermeiden von XSS höchste Priorität.

Der XSS-Schutzmechanismus, der von AEM bereitgestellt wird, basiert auf der AntiSamy Java Library von OWASP (Open Web Application Security Project). Die standardmäßige AntiSamy-Konfiguration finden Sie unter

/libs/cq/xssprotection/config.xml

Es ist wichtig, dass Sie diese Konfiguration an Ihre eigenen Sicherheitsanforderungen anpassen, indem Sie die Konfigurationsdatei überlagern. Die offizielle AntiSamy-Dokumentation bietet alle notwendigen Informationen, um Ihre Sicherheitsanforderungen zu implementieren.

HINWEIS

Wir empfehlen Ihnen dringend, immer mit der von AEM bereitgestellten XSSAPI auf die XSS-Schutz-API zuzugreifen.

Zusätzlich kann eine Firewall in der Web-Anwendung wie mod_security für Apache die Sicherheit der Bereitstellungsumgebung zuverlässig und zentral steuern und diese vor bisher unerkannten Cross-Site-Scripting-Angriffen schützen.

Zugriff auf Cloud-Service-Informationen

HINWEIS

ACLs für die Cloud-Service-Information sowie die OSGi-Einstellungen, die zum Sichern Ihrer Instanz erforderlich sind, sind im produktionsbereiten Modus automatisiert. Das bedeutet, dass Sie die Konfigurationsänderungen nicht manuell vornehmen müssen. Sie sollten sie dennoch überprüfen, bevor Sie Ihre Bereitstellung live schalten.

Wenn Sie Ihre AEM-Instanz mit Adobe Marketing Cloud integrieren, verwenden Sie die Cloud-Service-Konfigurationen. Informationen über diese Konfigurationen sowie sämtliche erfassten Statistiken werden im Repository gespeichert. Wenn Sie diese Funktion verwenden, empfehlen wir Ihnen, zu überprüfen, ob die Standard-Sicherheitseinstellungen für diese Daten Ihren Anforderungen entsprechen.

Das webservicesupport-Modul schreibt Statistiken und Konfigurationsinformationen unter:

/etc/cloudservices

Mit den Standardberechtigungen:

  • Autorenumgebung: read für contributors

  • Veröffentlichungsumgebung: read für everyone

Schützen Sie sich vor Cross-Site Request Forgery-Angriffen

Weitere Informationen zu den Sicherheitsmechanismen, die AEM zur Minderung von CSRF-Angriffen einsetzen, finden Sie in der Sling Referrer Filter der Sicherheitscheckliste und der Dokumentation zum CSRF Protection Framework.

Auf dieser Seite