Beveiliging

Laatste update: 2023-05-04
  • Onderwerpen:
  • Developing
    Meer informatie over dit onderwerp
  • Gemaakt voor:
  • Developer
LET OP

AEM 6.4 heeft het einde van de uitgebreide ondersteuning bereikt en deze documentatie wordt niet meer bijgewerkt. Raadpleeg voor meer informatie onze technische ondersteuningsperioden. Ondersteunde versies zoeken hier.

De Veiligheid van de toepassing begint tijdens de ontwikkelingsfase. Adobe raadt aan de volgende best practices op het gebied van beveiliging toe te passen.

Aanvraagsessie gebruiken

Na het beginsel van minste voorrecht, adviseert Adobe dat elke bewaarplaatstoegang door de zitting te gebruiken verbindend aan het gebruikersverzoek en behoorlijk toegangsbeheer wordt gedaan.

Protect tegen XSS (Cross-Site Scripting)

Met XSS (Cross-site scripting) kunnen aanvallers code injecteren in webpagina's die door andere gebruikers worden weergegeven. Deze kwetsbaarheid op het gebied van beveiliging kan door kwaadaardige webgebruikers worden misbruikt om toegangsbesturingselementen te omzeilen.

AEM past het beginsel toe van het filtreren van alle gebruiker-geleverde inhoud op output. Het voorkomen van XSS krijgt de hoogste prioriteit tijdens zowel ontwikkeling als testen.

Het door AEM geboden XSS-beveiligingsmechanisme is gebaseerd op AntiSamy Java-bibliotheek verstrekt door EIWASP (het Open Project van de Veiligheid van de Toepassing van het Web). De standaardconfiguratie van AntiSamy vindt u op

/libs/cq/xssprotection/config.xml

Het is belangrijk dat u deze configuratie aan uw eigen veiligheidsbehoeften aanpast door het configuratiedossier te bedekken. De ambtenaar AntiSamy-documentatie zal u van alle informatie voorzien u nodig hebt om uw veiligheidsvereisten uit te voeren.

OPMERKING

We raden u ten zeerste aan om altijd toegang te krijgen tot de XSS-API via de XSSAPI verstrekt door AEM.

Daarnaast is er een webtoepassingsfirewall, zoals mod_security voor Apache, kan betrouwbare, centrale controle over de veiligheid van het plaatsingsmilieu verstrekken en tegen eerder onontdekte dwars-plaats scripting aanvallen beschermen.

Toegang tot informatie over Cloud Servicen

OPMERKING

ACLs voor de Informatie van de Cloud Service evenals de montages OSGi die worden vereist om uw instantie te beveiligen worden geautomatiseerd als deel van Productie-klaar-modus. Terwijl dit betekent dat u niet de configuratieveranderingen manueel hoeft aan te brengen, wordt het nog geadviseerd dat u hen herzien alvorens u met uw plaatsing gaat leven.

Wanneer u uw AEM-exemplaar integreren met de Adobe Marketing Cloud u gebruikt Cloud Service configuraties. Informatie over deze configuraties, samen met alle verzamelde statistieken, wordt opgeslagen in de gegevensopslagruimte. Wij adviseren dat, als u deze functionaliteit gebruikt, u controleert of de standaardveiligheid op deze informatie uw vereisten aanpast.

De module webservicesSupport schrijft statistieken en configuratiegegevens onder:

/etc/cloudservices

Met de standaardmachtigingen:

  • Auteursomgeving: read for contributors

  • Publicatie-omgeving: read for everyone

Protect tegen aanvallen van smeedmachines voor aanvragen voor meerdere sites

Voor meer informatie over de veiligheidsmechanismen AEM tewerkstellen om aanvallen te verlichten CSRF, zie Filter Verschuivingsverwijzing van de lijst van beveiligingscontroles en de CSRF-beschermingskaderdocumentatie.

Op deze pagina