Sicherheit

Anwendungssicherheit beginnt während der Entwicklung. Adobe empfiehlt die folgenden Best Practices, um die Sicherheit zu verbessern.

Verwenden Sie Sitzungsanfragen

Entsprechend dem Prinzip der Zugriffsrechte auf das Repository empfiehlt Adobe, dass jeder Repository-Zugriff über die an die Benutzeranforderung gebundene Sitzung und die richtige Zugriffskontrolle erfolgt.

Schutz vor Cross-Site Scripting (XSS)

Mit Cross-Site Scripting (XSS) können Angreifer Code in Webseiten einfügen, die von anderen Benutzern aufgerufen werden. Diese Sicherheitslücke kann von böswilligen Nutzern ausgenutzt werden, um die Zugriffssteuerung zu umgehen.

AEM filtert prinzipiell sämtliche vom Benutzer bereitgestellten Inhalte bei der Ausgabe. Bei Entwicklung und Tests hat das Vermeiden von XSS höchste Priorität.

Der XSS-Schutzmechanismus, der von AEM bereitgestellt wird, basiert auf der AntiSamy Java Library von OWASP (Open Web Application Security Project). Die standardmäßige AntiSamy-Konfiguration finden Sie unter

/libs/cq/xssprotection/config.xml

Es ist wichtig, dass Sie diese Konfiguration an Ihre eigenen Sicherheitsanforderungen anpassen, indem Sie die Konfigurationsdatei überlagern. Die offizielle AntiSamy-Dokumentation bietet alle notwendigen Informationen, um Ihre Sicherheitsanforderungen zu implementieren.

HINWEIS

Wir empfehlen Ihnen dringend, immer mit der von AEM bereitgestellten XSSAPI auf die XSS-Schutz-API zuzugreifen.

Darüber hinaus kann eine Web-Anwendungs-Firewall, wie z. B. mod_security for Apache, eine zuverlässige und zentrale Kontrolle über die Sicherheit der Bereitstellungs-Umgebung bieten und vor zuvor unentdeckten Cross-Site-Scripting-Angriffen schützen.

Zugriff auf Cloud-Service-Informationen

HINWEIS

ACLs für die Cloud-Service-Information sowie die OSGi-Einstellungen, die zum Sichern Ihrer Instanz erforderlich sind, sind im produktionsbereiten Modus automatisiert. Das bedeutet, dass Sie die Konfigurationsänderungen nicht manuell vornehmen müssen. Sie sollten sie dennoch überprüfen, bevor Sie Ihre Bereitstellung live schalten.

Wenn Sie Ihre AEM-Instanz mit Adobe Marketing Cloud integrieren, verwenden Sie die Cloud-Service-Konfigurationen. Informationen über diese Konfigurationen sowie sämtliche erfassten Statistiken werden im Repository gespeichert. Wenn Sie diese Funktion verwenden, empfehlen wir Ihnen, zu überprüfen, ob die Standard-Sicherheitseinstellungen für diese Daten Ihren Anforderungen entsprechen.

Das webservicesupport-Modul schreibt Statistiken und Konfigurationsinformationen unter:

/etc/cloudservices

Mit den Standardberechtigungen:

  • Autor-Umgebung: read für contributors

  • Umgebung veröffentlichen: read für everyone

Schützen Sie sich vor Cross-Site Request Forgery-Angriffen

Im Sling Referrer Filter-Abschnitt der Sicherheits-Checkliste und in der Dokumentation zum CSRF-Schutz-Framework finden Sie ausführliche Informationen zu den Sicherheitsmechanismen, die AEM nutzt, um CSRF-Angriffe abzuwehren.

Auf dieser Seite

Adobe Summit Banner

A virtual event April 27-28.

Expand your skills and get inspired.

Register for free
Adobe Summit Banner

A virtual event April 27-28.

Expand your skills and get inspired.

Register for free