Réponse aux requêtes de liste de répertoires récursifs dans Adobe Experience Manager as a Cloud Service
Les clients d’Adobe Experience Manager as a Cloud Service (AEMaaCS) ne peuvent pas générer de liste de répertoires récursifs (RDL) au niveau du serveur, car Adobe gère le système d’exploitation, le système de fichiers et l’infrastructure de service sous-jacents. Les exigences de sécurité relatives à l’exposition des fichiers et des répertoires doivent plutôt être traitées par le biais de la documentation architecturale et de la validation des configurations contrôlées par le client. Pour résoudre ce problème, fournissez les ressources Adobe appropriées en tant que preuves compensatoires, passez en revue les configurations de l’application et de Dispatcher, validez les fichiers et répertoires accessibles de l’extérieur et transmettez les exigences spécifiques en matière de preuves à l’assistance Adobe, si nécessaire.
Description description
Environnement
Adobe Experience Manager as a Cloud Service (AEMaaCS), toutes les versions
Problème/Symptômes
Les organisations soumises à des évaluations de sécurité peuvent recevoir des demandes de liste de répertoires récursifs (RDL) complète du serveur web. Cela implique généralement de fournir un inventaire de tous les fichiers et répertoires sous la racine web (document), souvent généré par des commandes de système d’exploitation telles que ls -laR ou find sur les systèmes UNIX/Linux.
Cause première
Dans AEM as a Cloud Service, Adobe gère entièrement le système d’exploitation, le système de fichiers et l’infrastructure de service sous-jacents. Les clients ne disposent pas d’un accès au niveau du système d’exploitation aux serveurs sous-jacents et ne peuvent pas générer eux-mêmes de fichier RDL au niveau du serveur. Les exigences de sécurité relatives à l’exposition des fichiers et des répertoires doivent être traitées à l’aide de la documentation architecturale et en validant les configurations contrôlées par le client.
Résolution resolution
Suivez les étapes ci-dessous pour résoudre le problème :
-
Informez l’évaluateur de sécurité qu’AEM as a Cloud Service est une plateforme gérée et que les clients ne disposent pas d’un accès au niveau du système d’exploitation pour générer une liste de répertoires récursifs (RDL) au niveau du serveur.
-
Fournissez les ressources Adobe suivantes en tant qu’éléments probants compensatoires à des fins d’audit ou d’évaluation :
- Présentation de l’architecture d’Adobe Experience Manager as a Cloud Service
- Présentation de la sécurité d’AEM as a Cloud Service
- Centre de gestion de la confidentialité d’Adobe
- Liste de contrôle de sécurité de Dispatcher
-
Passez en revue le code, le contenu et la configuration Dispatcher de l’application déployée pour vous assurer que les fichiers temporaires, de sauvegarde ou involontaires ne sont pas inclus ou exposés.
-
Utilisez des outils d’analyse externes pour vérifier qu’aucune liste de répertoires ou fichier sensible n’est accessible via des URL publiques.
-
Assurez-vous que les règles Dispatcher sont configurées pour bloquer l’accès aux types de fichiers et chemins d’accès indésirables.
-
Si l’évaluation nécessite une déclaration officielle, expliquer que :
- AEM as a Cloud Service est un service géré et les clients ne peuvent pas générer de fichier RDL au niveau du serveur.
- Adobe fournit une documentation sur l’architecture et la sécurité à titre de preuve compensatoire.
- Les clients sont responsables de la sécurisation des configurations au niveau de l’application et de Dispatcher.
-
Si l’évaluateur a besoin de preuves supplémentaires ou d’un contrôle de compensation spécifique, collectez le texte exact du contrôle et le format de preuve requis, puis transmettez la demande au support Adobe.
-
Vérifiez qu’aucune liste de répertoires ou aucun fichier sensible n’est accessible par le biais d’URL publiques et que les analyses de sécurité renvoient les résultats attendus, tels que des réponses 404 ou 403 pour les chemins bloqués.