Elenco di controllo della sicurezza di Dispatcher the-dispatcher-security-checklist

Prima di procedere con la produzione, Adobe consiglia di completare l’elenco di controllo seguente.

Utilizzo della versione più recente di Dispatcher use-the-latest-version-of-dispatcher

Installa la versione più recente disponibile per la tua piattaforma. Aggiorna l’istanza di Dispatcher per utilizzare la versione più recente e usufruire dei miglioramenti a livello di prodotto e sicurezza. Consulta Installazione di Dispatcher.

Limita il numero dei client che possono eseguire il flushing della cache restrict-clients-that-can-flush-your-cache

Adobe consiglia di limitare il numero dei client che possono eseguire il flushing della cache.

Abilitare HTTPS per la sicurezza del livello di trasporto enable-https-for-transport-layer-security

Adobe consiglia di abilitare il livello di trasporto HTTPS sia sulle istanze di authoring che di pubblicazione.

Limitare l’accesso restrict-access

Durante la configurazione di Dispatcher, limita il più possibile l’accesso esterno. Vedi Esempio di sezione /filter nella documentazione di Dispatcher.

Accertati che l’accesso agli URL amministrativi sia interdetto make-sure-access-to-administrative-urls-is-denied

Utilizza i filtri per bloccare l’accesso esterno a qualsiasi URL amministrativo, ad esempio alla console Web.

Per un elenco degli URL da bloccare, consulta Test di sicurezza di Dispatcher.

Utilizza gli elenchi Consentiti invece degli elenchi Bloccati use-allowlists-instead-of-blocklists

Gli elenchi Consentiti permettono un migliore controllo degli accessi, in quanto presuppongono che tutte le richieste di accesso debbano essere negate, a meno che non facciano parte esplicitamente dell’elenco Consentiti. Questo modello offre un controllo più restrittivo sulle nuove richieste che potrebbero non essere state ancora esaminate o prese in considerazione durante una determinata fase della configurazione.

Eseguire Dispatcher con un utente di sistema dedicato run-dispatcher-with-a-dedicated-system-user

Quando configuri Dispatcher, accertati che il server web sia gestito da un utente dedicato con privilegi minimi. Si consiglia di concedere l’accesso in scrittura solo alla cartella della cache di Dispatcher.

Inoltre, gli utenti IIS devono configurare il proprio sito web nel modo seguente:

Previeni gli attacchi Denial of Service (DoS) prevent-denial-of-service-dos-attacks

Un attacco Denial of Service (DoS) è un tentativo di rendere la risorsa di un computer indisponibile per gli utenti a cui è destinata.

A livello di Dispatcher, esistono due metodi di configurazione per evitare gli attacchi DoS: i Filtri

Per abilitare in modo sicuro la funzionalità completa sulle istanze di pubblicazione, configura i filtri per impedire l’accesso ai seguenti nodi:

Quindi, configura i filtri per consentire l’accesso ai seguenti percorsi di nodi:

Configura Dispatcher per impedire gli attacchi CSRF configure-dispatcher-to-prevent-csrf-attacks

AEM fornisce un framework per prevenire gli attacchi di tipo Cross-Site Request Forgery. Per utilizzare in modo appropriato questo framework, inserisci nell’elenco Consentiti il supporto per token CSRF in Dispatcher effettuando le seguenti operazioni:

Previeni il clickjacking prevent-clickjacking

Per prevenire gli attacchi clickjacking, Adobe consiglia di configurare il server web in modo da fornire l’X-FRAME-OPTIONSintestazione HTTP impostata su SAMEORIGIN.

Per ulteriori informazioni sul clickjacking, consulta il sito OWASP.

Eseguire un test di penetrazione perform-a-penetration-test

Adobe consiglia vivamente di eseguire un test di penetrazione dell’infrastruttura AEM prima di procedere alla produzione.