Adobe Commerce Advanced Security
Adobe Commerce Advanced Security est un produit qui fonctionne avec Adobe Commerce on Cloud Infrastructure pour que votre boutique en ligne soit rapide, disponible et sécurisée. Ces fonctionnalités permettent de protéger le chiffre d’affaires, de réduire les temps d’arrêt et de maintenir la confiance des clients pendant les pics de trafic et les attaques automatisées.
Adobe Commerce on Cloud Infrastructure comprend une protection DDoS de couche 3 et 4 intégrée 🔗 et un pare-feu d’application web (WAF). Dans le cadre du modèle de responsabilité partagée, la détection DDoS de couche 7, la protection des robots et le blocage proactif des adresses IP sont des responsabilités des commerçants, que Adobe Commerce Advanced Security est conçu pour traiter.
Advanced Security étend la protection du storefront grâce à des fonctionnalités de sécurité de périphérie optimisées par Fastly, qui offre une gestion des robots, une limitation de débit avancée et une protection DDoS de couche 7 dans le cadre d’une plateforme de périphérie unifiée qui combine l’évolutivité, les performances et la sécurité à la périphérie du réseau.
Fonctionnalités principales
Adobe Commerce Advanced Security comprend les protections supplémentaires suivantes :
-
Gestion des robots : identifie et réduit les activités de robots indésirables sur vos applications web. Le service de gestion des robots fait la distinction entre les robots légitimes (robots d’exploration de moteurs de recherche, robots de médias sociaux) et les robots malveillants, en fournissant une classification en temps réel à la périphérie du réseau avec des options pour bloquer, autoriser, contester ou limiter le trafic.
-
Protection DDoS : fournit une protection DDoS de couche 7 (couche d’application) au-delà de la protection existante des couches 3 et 4 incluse dans tous les projets Adobe Commerce on Cloud Infrastructure. Le service de protection contre les attaques DDoS absorbe les attaques volumétriques à grande échelle et assure la disponibilité continue des applications pendant les événements de déni de service distribué (DDoS), protégeant ainsi les recettes pendant les périodes de trafic élevé.
-
Limitation de débit avancée : fournit des règles de limitation de débit configurables qui protègent des URL spécifiques, des points d’entrée d’API et des ressources d’application contre les abus. Le service de limitation de débit avancée étend la limitation de débit de base disponible via le module Fast CDN pour cibler des modèles de trafic et des vecteurs d’attaque spécifiques, ce qui réduit la contrainte sur l’infrastructure et les coûts cloud.
Règles et protections par défaut
Les règles et protections par défaut suivantes sont disponibles avec Advanced Security.
DDoS de couche 7
- Les seuils DDoS sont intégrés à la plateforme CDN Fastly et ne peuvent actuellement pas être personnalisés par client.
- Les journaux du trafic bloqué par les protections DDoS ne sont pas directement visibles par les clients.
- Sur demande, l’assistance Adobe Commerce peut fournir des détails relatifs au trafic DDoS bloqué.
- Des fonctionnalités natives de transfert de journal DDoS sont attendues dans une prochaine version.
Gestion des robots
Les protections de base suivantes pour la gestion des robots sont disponibles via le tableau de bord Signal Sciences de Fastly.
sigsci_tagssigsci_tagsAgent_responseAgent_responseAgent_responseSurveillance de la protection des robots et de l’activité NGWAF
Les journaux CDN sont automatiquement transférés au compte New Relic du client. Pour plus d’informations, consultez la section Gestion des journaux.
Les journaux du réseau CDN incluent la télémétrie intégrée de Signal Sciences (protection des robots/WAF de nouvelle génération), ce qui permet aux clients de surveiller les événements de sécurité directement dans New Relic.
Les champs clés sont les suivants :
Sigsci_Tags: indique les classifications et les balises appliquées par Signal Sciences.Agent_response: indique l’action entreprise par l’agent de protection des robots/NGWAF.
Exemples :
-
Pour identifier le trafic bloqué par les règles de protection des robots ou NGWAF :
Agent_response:"406"Un code de réponse 406 indique que la requête a été bloquée par les contrôles de sécurité.
-
Pour identifier les requêtes marquées comme robots suspects :
Sigsci_Tags:"*SUSPECTED-BAD-BOT*"
Vous pouvez utiliser ces champs pour créer des tableaux de bord, des alertes et des investigations dans New Relic afin de surveiller l’activité des robots, les demandes bloquées et d’autres événements liés à la sécurité.
Les fonctionnalités VCL existantes restent inchangées
L’activation du module complémentaire Advanced Security ne modifie ni ne remplace les contrôles de sécurité Fastly basés sur VCL existants.
Les fonctionnalités de blocage de VCL existantes suivantes continuent à fonctionner sans aucune modification :
- Blocage par IP
- Blocage géographique
- Blocage basé sur l’agent utilisateur
- Blocage basé sur les signatures JA3
- Blocage basé sur les signatures JA4
Les clients peuvent continuer à utiliser les configurations VCL personnalisées existantes et les règles de sécurité parallèlement aux fonctionnalités de module complémentaire Advanced Security.
Le module complémentaire Advanced Security fonctionne en plus du réseau CDN Fastly standard et des protections VCL existantes déjà disponibles dans Adobe Commerce on Cloud Infrastructure.
Couverture des menaces
Advanced Security protège les vitrines contre toute une gamme de menaces automatisées et de menaces au niveau des applications.
Abus commis par des robots
- bourrage d’informations d’identification : tente automatiquement de se connecter à l’aide d’informations d’identification volées suite à des violations de données.
- Prise de contrôle de compte : robots tentant d’accéder sans autorisation à des comptes clients.
- Abus de création de compte : création automatisée de faux comptes à des fins de fraude ou d’abus.
- Test de carte : robots qui testent les numéros de carte de crédit volés auprès de votre processeur de paiement.
- Content scraping : extraction automatisée des données, des prix ou du contenu des produits depuis votre storefront.
- thésaurisation des stocks - Des robots qui détiennent des produits dans des paniers pour empêcher les achats légitimes.
Gestion des robots d’IA
- Détection de robots d’exploration d’IA : identifie et gère les robots d’exploration d’IA qui ratissent le contenu pour entraîner des modèles linguistiques volumineux sans consentement.
- AI fetcher control : contrôle les récupérateurs AI utilisés dans les résultats Recherche optimisée par l’IA en temps réel.
- Politiques de robots d’IA configurables : fait la distinction entre les robots d’IA vérifiés et suspects avec des types de signaux configurables pour l’application des politiques.
Attaques au niveau de la couche applicative
- Attaques DDoS de couche 7 : attaques distribuées ciblant la couche applicative qui contourne les protections intégrées de couche 3 et 4. Advanced Security absorbe ces attaques volumétriques à la périphérie avant qu’elles n’atteignent vos serveurs d’origine.
- Abus d’URL et d’API : les attaques ciblant des URL ou des points d’entrée d’API spécifiques s’étendent sur un grand nombre d’adresses IP, où le blocage d’adresses IP individuelles n’est pas efficace.
- Attaques par violation du cache : requêtes comportant des paramètres de requête manipulés conçus pour contourner la mise en cache CDN et surcharger le serveur d’origine.
Fonctionnalités supplémentaires
- Défis dynamiques : attribue automatiquement le défi optimal au trafic suspect. Tire parti des jetons d’accès privé (PAT) pour valider une partie des requêtes de manière transparente sans affecter l’expérience utilisateur.
- Technologie de tromperie : traite les tentatives de prise de contrôle de compte en renvoyant de fausses informations aux attaquant(e)s, en atténuant leur attaque tout en perturbant leur capacité à fonctionner à grande échelle.
Choisir la bonne protection
Utilisez les conseils suivants pour déterminer si Advanced Security est la bonne solution pour vos besoins en matière de protection du storefront, ou si les protections existantes ou les solutions alternatives sont plus appropriées.
Quand utiliser Advanced Security
Les scénarios suivants sont mieux gérés avec Advanced Security :
Quand utiliser les protections existantes ?
Les scénarios suivants sont mieux gérés avec les protections existantes :
Quand utiliser d’autres protections
Les scénarios suivants sont mieux gérés avec des protections alternatives qui peuvent compléter les Advanced Security :
Positionnement de la pile de sécurité
Advanced Security s’intègre dans l’architecture de sécurité Adobe Commerce plus large en tant que couche supplémentaire de protection basée sur les périphériques. Il fonctionne en parallèle - et ne remplace pas - les protections DDoS de WAF et de couche 3/4 déjà incluses avec Adobe Commerce on Cloud Infrastructure. Les sections suivantes expliquent en quoi cette option est liée aux protections existantes et aux responsabilités qui incombent au client.
Protections incluses
Adobe Commerce on Cloud Infrastructure comprend les fonctions de sécurité suivantes :
- Pare-feu d’application web (WAF) : protection gérée contre l’injection SQL, les scripts XSS et d’autres menaces liées aux projets Open Web Application Security Project (OWASP). Disponible uniquement sur les environnements de production.
- Protection DDoS de couches 3 et 4 : protection intégrée contre les attaques de couche réseau telles que les inondations SYN, les inondations UDP, les attaques basées sur ICMP et les attaques de niveau TCP. Activé automatiquement avec le réseau CDN Fastly.
- Certificats SSL/TLS : certificats de chiffrement validés par le domaine pour un trafic HTTPS sécurisé.
- Cloaking d’origine : assure tous les itinéraires de trafic via Fastly, en bloquant l’accès direct aux serveurs d’origine.
- Fragments de sécurité basés sur VCL : règles VCL (Custom Varnish Configuration Language) pour le blocage, le filtrage et le filtrage des demandes IP.
Protections supplémentaires issues de la sécurité avancée
Advanced Security offre une protection accrue au-delà des protections intégrées incluses dans Adobe Commerce on Cloud Infrastructure, mais avec un coût supplémentaire :
- Gestion des robots : détection et réduction des robots basés sur Edge avec la gestion des robots d’IA.
- Protection DDoS de couche 7 : absorption et défense DDoS de couche applicative.
- Limitation de débit avancée : contrôles de débit granulaires pour les URL et les points d’entrée d’API.
- Dynamic Challenges and Deception Technology : attribution automatisée des défis et atténuation de la prise de contrôle des comptes.
Responsabilité du client
- Prévention de la fraude — Notation des fraudes au niveau des transactions et détection des fraudes en matière de paiement.
- Gestion des identités et des accès : authentification, autorisation et gestion des sessions du client.
- Test de sécurité des applications—SAST/DAST et analyse des vulnérabilités.
- Configurations de sécurité personnalisées—règles basées sur VCL, places sur la liste autorisée IP et.
- Outils de conformité : analyses PCI, rapports de conformité SOC et outils d’audit réglementaire.
- Renforcement au niveau de l’application : authentification de l’API basée sur les jetons, normalisation des paramètres de requête et conception de stratégie de mise en cache.
Pour obtenir un aperçu complet des responsabilités d’Adobe et de la sécurité des clients, reportez-vous au modèle de responsabilité partagée.
Schémas et protections d’attaque courants
Le tableau suivant met en correspondance les schémas d’attaque courants avec la couche de protection appropriée au sein de la pile de sécurité Adobe Commerce.
Comportement de blocage de WAF
Le comportement de WAF suivant s’applique à tous les projets Adobe Commerce on Cloud Infrastructure, que le Advanced Security soit activé ou non. Le service WAF inclus utilise le comportement de blocage suivant pour les signaux d’attaque courants :
- Les requêtes injection SQL sont immédiatement bloquées, même pour une seule requête correspondante.
- Les requêtes identifiées avec les signaux de menace suivants provenant d’une adresse IP malveillante connue sont immédiatement bloquées : Backdoor, Attack Tooling, CMDEXE, Log4J JNDI, Traversal et XSS.
- Les requêtes provenant d’adresses IP non malveillantes qui présentent les signaux de menace ci-dessus sont bloquées lorsqu’elles dépassent les seuils suivants :
Advanced Security de la demande
Pour demander une Advanced Security :
-
Contactez votre équipe de compte Adobe ou votre représentant commercial Adobe pour discuter des Advanced Security de votre projet.
-
Après l’achat de Advanced Security, envoyez un ticket d’assistance Adobe Commerce demandant l’activation du Advanced Security. Incluez votre ID de projet Adobe Commerce on Cloud Infrastructure et les environnements nécessitant une activation (par exemple, Production et Évaluation).
-
Adobe active Advanced Security sur votre service Fastly et configure les politiques de protection initiales. L’activation est généralement effectuée dans les jours ouvrables suivant l’envoi du ticket.
-
Vous recevez une confirmation indiquant que Advanced Security est actif, ainsi que des détails sur les protections activées pour vos environnements.
Restrictions
Advanced Security offre une protection de storefront en couche de périphérie. Les fonctionnalités suivantes ne sont pas disponibles et sont mieux traitées avec des solutions complémentaires :
- Cotation de la fraude au niveau des transactions - Advanced Security n’évalue pas les transactions de paiement individuelles pour le risque de fraude. Utilisez une plateforme dédiée à la prévention des fraudes pour la notation au niveau des transactions.
- Gestion des identités et des accès (IAM) : Advanced Security ne gère pas l’authentification des utilisateurs, l’autorisation ni la gestion des sessions. Ces tâches restent des responsabilités du client.
- Tests de sécurité des applications statiques et dynamiques (SAST/DAST)—Advanced Security n’inclut pas d’analyse de vulnérabilité au niveau du code ni de test de pénétration.
- Sécurité des API : bien que la limitation de débit avancée puisse protéger les points d’entrée d’API contre les abus, aucune fonctionnalité de sécurité d’API complète, telle que la validation des schémas et la gestion des passerelles d’API, n’est fournie.
- Prévention complète de la fraude—Advanced Security se concentre sur la protection du storefront à la périphérie et n’est pas une plateforme complète de gestion de la fraude.
- Outil de conformité—Advanced Security ne fournit pas de fonctionnalités d’analyse PCI, de reporting de conformité SOC ou d’audit réglementaire.