Säkra din Commerce webbplats och infrastruktur

Att skapa och underhålla en säker miljö för Adobe Commerce-projekt som körs i molninfrastruktur är ett ansvar som delas mellan Adobe Commerce kunder, lösningspartners och Adobe. Syftet med den här guiden är att ge bästa praxis för kundens sida av ekvationen.

Även om du inte kan eliminera alla säkerhetsrisker, så blir säkerhetspositionen för Commerce-installationer svårare om du använder dessa bästa metoder. En säker plats och infrastruktur gör att målsättningen för skadliga attacker blir mindre attraktiv, garanterar säkerheten för lösningen och kundens känsliga information och minimerar säkerhetsrelaterade incidenter som kan orsaka störningar på platsen och kostsamma utredningar.

Alla versioner som stöds av:

Prioriterade rekommendationer

Adobe anser att följande rekommendationer har högsta prioritet för alla kunder. Implementera dessa viktiga säkerhetsrutiner för alla Commerce-installationer:

Aktivera tvåfaktorautentisering för administratören och alla SSH-anslutningar

När MFA är aktiverat i ett projekt måste alla Adobe Commerce på molninfrastrukturkonton med SSH-åtkomst följa ett autentiseringsarbetsflöde. Det här arbetsflödet kräver antingen en tvåfaktorsautentiseringskod (2FA) eller en API-token och ett SSH-certifikat för att komma åt miljön.

Skydda administratören

Uppgradera till den senaste utgåvan av Adobe Commerce

Håll koden uppdaterad genom att uppgradera ditt Commerce-projekt till den senaste utgåvan av Adobe Commerce, Commerce Services och tillägg, inklusive säkerhetsuppdateringar, snabbkorrigeringar och andra korrigeringar från Adobe.

Skydda känsliga konfigurationsvärden

Använd konfigurationshantering för att låsa kritiska konfigurationsvärden.

Kommandona lock config och lock env CLI konfigurerar miljövariabler så att de inte kan uppdateras från administratören. Kommandot skriver värdet till filen <Commerce base dir>/app/etc/env.php. (Information om Commerce i molninfrastrukturprojekt finns i Lagra konfigurationshantering.)

Kör säkerhetssökningar

Använd Commerce-tjänsten för säkerhetssökning för att övervaka alla Adobe Commerce-webbplatser för kända säkerhetsrisker och skadlig kod, och registrera dig för att få korrigeringsuppdateringar och säkerhetsmeddelanden.

Säkerställ säkerheten för tillägg och anpassad kod

När du utökar Adobe Commerce genom att lägga till tillägg från tredje part från Adobe Commerce Marketplace, eller lägger till anpassad kod, ska du se till att anpassningarna är säkra genom att använda följande metodtips:

Välj en partner- eller lösningsintegrator (SI) som är väl insatt i säkerhet - Säkerställ säkra integreringar och säker leverans av anpassad kod genom att välja organisationer som följer säkra utvecklingsmetoder och som har en gedigen erfarenhet av att förebygga och åtgärda säkerhetsproblem.

Använd säkra tillägg - Identifiera de lämpligaste och säkraste tilläggen för Commerce-distributioner genom att konsultera lösningsintegratören eller utvecklaren och följa god praxis för Adobe-tillägg.

Granskningskod - Granska server- och källkodsdatabasen för att se om det finns utvecklingsrester. Kontrollera att det inte finns några tillgängliga loggfiler, offentliga Git-kataloger, tunnlar för att köra SQL-satser, databasdumpar, PHP-informationsfiler eller andra oskyddade filer som inte behövs och som kan användas i en attack.

Uppgradera till den senaste versionen

Adobe släpper kontinuerligt uppdaterade komponenter för att förbättra säkerheten och bättre skydda kunderna mot eventuella kompromisser. Uppgradering till den senaste versionen av Adobe Commerce-programmet, installerade tjänster och tillägg och användning av aktuella korrigeringsfiler är den första och bästa skyddsåtgärden mot säkerhetshot.

Commerce släpper vanligtvis säkerhetsuppdateringar varje kvartal, men förbehåller sig rätten att göra programfixar för större säkerhetshot baserat på prioritet och andra faktorer.

Följande resurser innehåller information om tillgängliga Adobe Commerce-versioner, releasecykler samt uppgraderings- och korrigeringsprocessen:

Utveckla en plan för katastrofåterställning

Om Commerce-sajten är hotad kan du snabbt åtgärda skador och återställa normal affärsverksamhet genom att utveckla och implementera en omfattande katastrofåterställningsplan.

Om en kund kräver att en Commerce-instans återställs på grund av ett haveri, kan Adobe ge kunden säkerhetskopior. Kunden och lösningsintegratören kan utföra återställningen, om tillämpligt.

Som en del av en katastrofåterställningsplan rekommenderar Adobe starkt att kunder exporterar sin Adobe Commerce-programkonfiguration för att underlätta omdistributionen om det krävs för affärskontinuitet. Den främsta orsaken till att exportera konfigurationen till filsystemet är att systemkonfigurationen har företräde framför databaskonfigurationen. I ett skrivskyddat filsystem måste programmet distribueras om för att ändra känsliga konfigurationsinställningar, vilket ger ett extra skydd.

Ytterligare information

Adobe Commerce har distribuerats i molninfrastruktur

Adobe Commerce har distribuerats lokalt

Underhåll en säker plats och infrastruktur

I det här avsnittet sammanfattas de effektivaste strategierna för underhåll av plats- och infrastruktursäkerhet för en Adobe Commerce-installation. Många av dessa bästa metoder fokuserar på att skydda datorinfrastrukturen i allmänhet, så vissa rekommendationer kanske redan har implementerats.

Blockera obehörig åtkomst - Arbeta med din värdpartner för att konfigurera en VPN-tunnel så att obehörig åtkomst till Commerce webbplats och kunddata blockeras. Konfigurera en SSH-tunnel för att blockera obehörig åtkomst till Commerce-programmet.

Använd en brandvägg för webbprogram - Analysera trafik och upptäcka misstänkta mönster, t.ex. kreditkortsinformation som skickas till en okänd IP-adress med hjälp av en Brandvägg för webbprogram.

Adobe Commerce-installationer som distribueras i molninfrastruktur kan använda inbyggda WAF-tjänster som är tillgängliga med integreringen av snabbtjänster

Konfigurera avancerade säkerhetsinställningar för lösenord - Konfigurera starka lösenord och ändra dem minst var 90:e dag, vilket rekommenderas av PCI-datasäkerhetsstandarden i avsnitt 8.2.4. Se Konfigurera säkerhetsinställningar för administratörer.

Använd HTTPS - Om Commerce-webbplatsen nyligen har implementerats startar du hela webbplatsen med HTTPS. Google använder inte bara HTTPS som rangordningsfaktor, utan många användare överväger inte ens att köpa från en webbplats om den inte är skyddad med HTTPS.

Protect mot skadlig programvara

Det är alldeles för vanligt att angripa skadlig kod på e-handelsplatser, och hotskådespelare utvecklar ständigt nya sätt att få ut kreditkort och personlig information från transaktioner.

Adobe har dock kommit fram till att de flesta webbplatsklipp inte beror på en innovativ hackare. I stället utnyttjar hotskådespelare ofta befintliga, ej patchade säkerhetsluckor, dåliga lösenord och svaga ägar- och behörighetsinställningar i filsystemet.

I de vanligaste attackerna injiceras skadlig kod i en kunds absoluta sidhuvud eller absoluta sidfot. Där samlar koden in formulärdata som kunden anger i butiken, inklusive inloggningsuppgifter och utcheckningsdata för formulär. Sedan skickas dessa data till en annan plats för skadliga syften i stället för till Commerce serverdel. Dessutom kan skadlig kod utgöra ett hot mot administratören när det gäller att köra kod som ersätter det ursprungliga betalningsformuläret med ett falskt formulär som åsidosätter eventuella skydd som anges av betalningsleverantören.

Kreditkortskannrar på klientsidan är en typ av skadlig kod som bäddar in kod i handlarens webbplatsinnehåll som kan köras i en användares webbläsare, vilket visas i följande bild.

När vissa åtgärder har utförts, t.ex. en användare som skickar ett formulär eller ändrar ett fältvärde, serialiseras data och skickas till slutpunkter från tredje part. Dessa slutpunkter är vanligtvis andra komprometterade webbplatser som fungerar som ett relä för att skicka data till den slutliga destinationen.

Lär känna de vanligaste attackerna

Nedan följer en lista över vanliga kategorier av attacker som Adobe rekommenderar alla Commerce-kunder att känna till och vidta åtgärder för att skydda mot:

Protect mot lösenordsgissningsattacker

Brute force-attacker för lösenordsgissning kan leda till obehörig administratörsåtkomst. Protect er webbplats från dessa attacker genom att följa dessa standarder:

Förhindra clickjacking-attacker

Adobe skyddar din butik från clickjacking-attacker genom att tillhandahålla HTTP-begärandehuvudet X-Frame-Options som du kan inkludera i begäranden till din butik. Se Förhindra clickjacking-attacker i Adobe Commerce Configuration Guide.