Esaminare gli avvisi di azioni privilegiate nei registri di accesso di Adobe Experience Manager Assets
Questo articolo spiega come interpretare le voci del registro di accesso in Adobe Experience Manager (AEM) che coinvolgono account di servizio utilizzati per agenti di condivisione delle risorse e convalida della sicurezza, aiutando a distinguere le attività legittime dagli eventi sospetti.
Descrizione description
Ambiente
Adobe Experience Manager (AEM), tutti i modelli e le versioni di distribuzione.
Problema/Sintomi
Gli strumenti di monitoraggio della sicurezza possono rilevare le voci del log degli accessi che indicano che un account del servizio ha eseguito un’azione privilegiata. Queste voci spesso includono:
- Utente: account del servizio di condivisione risorse
- Agente: agente di convalida della sicurezza
- Percorso: endpoint di navigazione delle risorse (ad esempio
/libs/cq/i18n/foo.assetnavigation.json) - Referer: URL relativi alla condivisione di risorse o alla convalida
- Metodo HTTP: GET
- Codice HTTP: 200
Causa
Questi rilevamenti vengono in genere attivati da attività di convalida della sicurezza automatizzata legittime e autorizzate o da funzionalità di condivisione di risorse all’interno di AEM. L’account del servizio e l’agente vengono utilizzati per i processi di condivisione e convalida delle risorse e i modelli di richiesta osservati corrispondono al comportamento previsto per queste operazioni.
Risoluzione resolution
Per risolvere il problema, segui i passaggi seguenti:
-
Esaminare la voce del log degli accessi e verificare che abbia le seguenti caratteristiche:
- L’utente è un account di servizio associato alla condivisione delle risorse.
- L’agente utente viene identificato come agente di convalida della sicurezza.
- Il percorso della richiesta corrisponde agli endpoint di condivisione risorse o navigazione risorse.
- La richiesta utilizza il metodo
GETe restituisce una risposta HTTP200.
-
Correlare la richiesta con la condivisione di risorse prevista o con l’attività di convalida automatizzata nell’ambiente.
-
Ai fini del rilevamento, classifica le richieste che corrispondono a questo modello come attività automatizzata legittima.
-
Non eliminare gli avvisi solo in base all’account utente, all’agente utente, al referente o all’indirizzo IP del client, perché questi valori possono essere oggetto di spoofing.
-
Continua a esaminare e generare avvisi per la seguente attività:
- Richieste che eseguono il targeting di endpoint imprevisti.
- Richieste che utilizzano i metodi HTTP per la modifica dello stato, ad esempio
POST,PUToDELETE. - Errori di autorizzazione.
- Volumi di richiesta anomali.
- Attività eseguita da account non di servizio.
-
Se identifichi un’attività sostanzialmente diversa o sospetta, raccogli la marca temporale e i dettagli completi della richiesta per ulteriori analisi.
-
Verifica che l’attività corrisponda ai modelli di condivisione delle risorse o di convalida automatizzata previsti e non indichi l’accesso non autorizzato.