Risposta alle richieste di elenchi di directory ricorsivi in Adobe Experience Manager as a Cloud Service
I clienti Adobe Experience Manager as a Cloud Service (AEMaaCS) non possono generare un elenco di directory ricorsive (RDL) a livello di server perché Adobe gestisce il sistema operativo, il file system e l’infrastruttura di servizio sottostanti. I requisiti di sicurezza per l’esposizione di file e directory devono invece essere soddisfatti tramite la documentazione dell’architettura e la convalida delle configurazioni controllate dal cliente. Per risolvere il problema, fornisci le risorse Adobe pertinenti come prova di compensazione, rivedi le configurazioni dell’applicazione e del Dispatcher, convalida file e directory accessibili esternamente e, se necessario, inoltra i requisiti di prova specifici al supporto Adobe.
Descrizione description
Ambiente
Adobe Experience Manager as a Cloud Service (AEMaaCS), tutte le versioni
Problema/Sintomi
Le organizzazioni sottoposte a valutazione della sicurezza possono ricevere richieste per un elenco di directory ricorsivo completo (RDL, Recursive Directory List) del server web. In genere, questo comporta la fornitura di un inventario di tutti i file e le directory nella radice web (document), spesso generati dai comandi del sistema operativo come ls -laR o find sui sistemi UNIX/Linux.
Causa principale
In AEM as a Cloud Service, Adobe gestisce completamente il sistema operativo, il file system e l’infrastruttura di servizio sottostanti. I clienti non dispongono dell’accesso a livello di sistema operativo ai server sottostanti e non possono generare essi stessi un RDL a livello di server. I requisiti di sicurezza per l’esposizione di file e directory devono essere soddisfatti utilizzando la documentazione dell’architettura e convalidando le configurazioni controllate dal cliente.
Risoluzione resolution
Per risolvere il problema, segui i passaggi seguenti:
-
Informare il valutatore della sicurezza che AEM as a Cloud Service è una piattaforma gestita e che i clienti non dispongono dell’accesso a livello di sistema operativo per generare un elenco di directory ricorsive (RDL) a livello di server.
-
Fornisci le seguenti risorse di Adobe come prova compensativa a scopo di audit o valutazione:
- Introduzione all’architettura di Adobe Experience Manager as a Cloud Service
- Panoramica sulla sicurezza di AEM as a Cloud Service
- Centro affidabilità Adobe
- Elenco di controllo della sicurezza di Dispatcher
-
Esaminare il codice dell’applicazione, il contenuto e la configurazione di Dispatcher distribuiti per assicurarsi che i file temporanei, di backup o non desiderati non siano inclusi o esposti.
-
Utilizzare strumenti di scansione esterni per verificare che nessun elenco di directory o file sensibili sia accessibile tramite URL pubblici.
-
Assicurati che le regole di Dispatcher siano configurate per bloccare l’accesso a tipi di file e percorsi indesiderati.
-
Se la valutazione richiede una dichiarazione formale, spiegare che:
- AEM as a Cloud Service è un servizio gestito e i clienti non possono generare un RDL a livello di server.
- Adobe fornisce la documentazione architetturale e di sicurezza come prova di compensazione.
- I clienti sono responsabili della protezione delle configurazioni a livello di applicazione e Dispatcher.
-
Se il valutatore richiede ulteriori prove o un controllo compensatore specifico, raccogli il testo esatto del controllo e il formato richiesto delle prove, quindi inoltra la richiesta al supporto Adobe.
-
Verificare che nessun elenco di directory o file sensibili sia accessibile tramite URL pubblici e che le analisi di sicurezza restituiscano i risultati previsti, ad esempio le risposte 404 o 403 per i percorsi bloccati.