Adobe Experience Manager as a Cloud Serviceでの再帰的なディレクトリリストリクエストへの対応
Adobe Experience Manager as a Cloud Service（AEMaaCS）のお客様は、Adobeが基盤となるオペレーティングシステム、ファイルシステム、サービスインフラストラクチャを管理するため、サーバーレベルの再帰的ディレクトリリスト（RDL）を生成できません。 ファイルとディレクトリの公開に関するセキュリティ要件は、アーキテクチャドキュメントと顧客管理の設定の検証を通じて対処する必要があります。 この問題を解決するには、関連するAdobe リソースを補足証拠として提供し、アプリケーションとDispatcherの設定を確認し、外部からアクセスできるファイルとディレクトリを検証し、必要に応じて特定の証拠要件をAdobe サポートにエスカレーションします。
説明 description
環境
Adobe Experience Manager as a Cloud Service（AEMaaCS）、すべてのバージョン
問題/症状
セキュリティ評価を受けている組織は、Web サーバーの完全な再帰的ディレクトリリスト（RDL）の要求を受け取ることがあります。 これは通常、Web （ドキュメント）ルートの下にあるすべてのファイルとディレクトリのインベントリーを提供することを含みます。多くの場合、UNIX/Linux システム上のls -laRやfindなどのオペレーティングシステムのコマンドによって生成されます。
根本原因
AEM as a Cloud Serviceでは、Adobeが基盤となるオペレーティングシステム、ファイルシステム、サービスインフラストラクチャを包括的に管理します。 お客様は、基になるサーバーにOS レベルでアクセスできず、サーバーレベルのRDLを自分で生成することはできません。 ファイルとディレクトリの公開に関するセキュリティ要件は、アーキテクチャドキュメントを使用し、お客様が管理する設定を検証することで対処する必要があります。
解決策 resolution
問題を解決するには、次の手順に従います。
-
AEM as a Cloud Serviceが管理プラットフォームであり、お客様がOS レベルのアクセス権を持たず、サーバーレベルの再帰的ディレクトリリスト（RDL）を生成することをセキュリティ担当者に通知します。
-
監査または評価の目的で、次のAdobe資料を補償証拠として提供します。
- Adobe Experience Manager as a Cloud Service アーキテクチャの概要
- AEM as a Cloud Serviceのセキュリティ概要
- Adobe Trust Center
- Dispatcher Security Checklist
-
デプロイされたアプリケーションコード、コンテンツ、およびDispatcherの設定を確認して、一時ファイル、バックアップファイル、または意図しないファイルが含まれていないか公開されていないことを確認します。
-
外部スキャンツールを使用して、ディレクトリのリストや機密ファイルがパブリック URLからアクセスできないことを確認します。
-
不要なファイルタイプとパスへのアクセスをブロックするようにDispatcher ルールが設定されていることを確認します。
-
評価に正式な声明が必要な場合は、次のように説明します。
- AEM as a Cloud Serviceはマネージドサービスであり、お客様はサーバーレベルのRDLを生成することはできません。
- Adobeは、アーキテクチャおよびセキュリティに関するドキュメントを補足的な証拠として提供します。
- お客様には、アプリケーションレベルとDispatcherの設定を保護する責任があります。
-
審査担当者が追加の証拠または特定の補償管理を必要とする場合は、正確な管理文と必要な証拠フォーマットを収集し、Adobe サポートにリクエストをエスカレーションします。
-
公開URLを介してディレクトリリストまたは機密ファイルにアクセスできないこと、およびセキュリティスキャンによって、ブロックされたパスに対する404または403の応答などの想定される結果が返されることを確認します。