Enquêter sur les alertes à action privilégiée dans les journaux d’accès Adobe Experience Manager Assets
Cet article explique comment interpréter les entrées du journal d’accès dans Adobe Experience Manager (AEM) qui impliquent des comptes de service utilisés pour les agents de partage de ressources et de validation de sécurité, ce qui permet de distinguer une activité légitime des événements suspects.
Description description
Environnement
Adobe Experience Manager (AEM), tous les modèles et versions de déploiement.
Problème/Symptômes
Les outils de surveillance de la sécurité peuvent détecter des entrées du journal d’accès indiquant qu’un compte de service a effectué une action privilégiée. Ces entrées incluent souvent :
- Utilisateur : compte de service de partage de ressources
- Agent : agent de validation de la sécurité
- Chemin : points d’entrée de navigation des ressources (tels que
/libs/cq/i18n/foo.assetnavigation.json) - Référent : URL de partage de ressources ou liées à la validation
- Méthode HTTP : GET
- Code HTTP : 200
Cause
Ces détections sont généralement déclenchées par une activité de validation de sécurité automatisée légitime et autorisée ou par la fonctionnalité de partage de ressources dans AEM. Le compte de service et l’agent sont utilisés pour les processus de partage et de validation des ressources, et les modèles de requête observés correspondent au comportement attendu pour ces opérations.
Résolution resolution
Suivez les étapes ci-dessous pour résoudre le problème :
-
Vérifiez l’entrée du journal d’accès et assurez-vous qu’elle présente les caractéristiques suivantes :
- L’utilisateur est un compte de service associé au partage de ressources.
- L’agent utilisateur est identifié comme un agent de validation de sécurité.
- Le chemin de requête correspond aux points d’entrée de partage ou de navigation des ressources.
- La requête utilise la méthode
GETet renvoie une réponse HTTP200.
-
Corrélez la requête avec l’activité de partage de ressources ou de validation automatisée attendue dans votre environnement.
-
À des fins de réglage de la détection, classifiez les requêtes correspondant à ce modèle comme des activités automatisées légitimes.
-
Ne supprimez pas les alertes basées uniquement sur le compte utilisateur, l’agent utilisateur, le référent ou l’adresse IP du client, car ces valeurs peuvent être falsifiées.
-
Continuez à enquêter et à générer des alertes pour l’activité suivante :
- Requêtes ciblant des points d’entrée inattendus.
- Requêtes qui utilisent des méthodes HTTP à changement d’état, telles que
POST,PUTouDELETE. - Échecs d’autorisation.
- Volumes de requêtes anormaux.
- Activité effectuée par des comptes hors service.
-
Si vous identifiez une activité différente ou suspecte, collectez l’horodatage et renseignez les détails de la demande pour une analyse plus approfondie.
-
Vérifiez que l’activité correspond aux schémas de partage de ressources ou de validation automatisée attendus et n’indique pas un accès non autorisé.