Beveiliging

De Veiligheid van de toepassing begint tijdens de ontwikkelingsfase. Adobe raadt aan de volgende best practices op het gebied van beveiliging toe te passen.

Aanvraagsessie gebruiken

Volgens het beginsel van bevoegdheden op het gebied van gegevensopslag, raadt Adobe aan dat elke toegang tot de gegevensopslagruimte wordt uitgevoerd door gebruik te maken van de sessie die is gebonden aan het verzoek van de gebruiker en het juiste toegangsbeheer.

Protect tegen XSS (Cross-Site Scripting)

Met XSS (Cross-site scripting) kunnen aanvallers code injecteren in webpagina's die door andere gebruikers worden weergegeven. Deze kwetsbaarheid op het gebied van beveiliging kan door kwaadaardige webgebruikers worden misbruikt om toegangsbesturingselementen te omzeilen.

AEM past het beginsel toe van het filtreren van alle gebruiker-geleverde inhoud op output. Het voorkomen van XSS krijgt de hoogste prioriteit tijdens zowel ontwikkeling als testen.

Het XSS-beveiligingsmechanisme dat door AEM wordt geboden, is gebaseerd op de AntiSamy Java Library die wordt geleverd door OWASP (het Open Web Application Security Project). De standaardconfiguratie van AntiSamy vindt u op

/libs/cq/xssprotection/config.xml

Het is belangrijk dat u deze configuratie aanpast aan uw eigen veiligheidsbehoeften door het configuratiedossier te bedekken. De officiële AntiSamy documentatie zal u van alle informatie voorzien u nodig hebt om uw veiligheidsvereisten uit te voeren.

OPMERKING

We raden u ten zeerste aan om altijd toegang te krijgen tot de XSS-beveiligings-API met behulp van de XSSAPI-API van AEM.

Bovendien, kan een firewall van de Webtoepassing, zoals mod_security voor Apache, betrouwbare, centrale controle over de veiligheid van het plaatsingsmilieu verstrekken en tegen eerder niet ontdekte dwars-plaats scripting aanvallen beschermen.

Toegang tot Cloud Service-informatie

OPMERKING

ACLs voor de Informatie van de Cloud Service evenals de montages OSGi die worden vereist om uw instantie te beveiligen worden geautomatiseerd als deel van Productie Klaar Modus. Terwijl dit betekent dat u niet de configuratieveranderingen manueel hoeft aan te brengen, wordt het nog geadviseerd dat u hen herzien alvorens u met uw plaatsing gaat leven.

Wanneer u uw AEM instantie met Adobe Marketing Cloud integreert gebruikt u Cloud Service configuraties. Informatie over deze configuraties, samen met alle verzamelde statistieken, wordt opgeslagen in de gegevensopslagruimte. Wij adviseren dat, als u deze functionaliteit gebruikt, u controleert of de standaardveiligheid op deze informatie uw vereisten aanpast.

De module webservicesSupport schrijft statistieken en configuratiegegevens onder:

/etc/cloudservices

Met de standaardmachtigingen:

  • Auteursomgeving: read voor contributors

  • Publicatie-omgeving: read voor everyone

Protect tegen aanvallen van smeedmachines voor aanvragen voor andere sites

Voor meer informatie over de veiligheidsmechanismen AEM aanwenden om aanvallen te verlichten CSRF, zie het Verkopen van Filter van de Referateur sectie van de Controlelijst van de Veiligheid en CSRF de documentatie van het Kader.

Op deze pagina