Zasada JSONThreatProtection

Wyświetlasz dokumentację Apigee Edge.
Przejdź do dokumentacji Apigee X. info

Co

Minimalizuje ryzyko związane z atakami na poziomie treści, umożliwiając określanie limitów różnych struktur JSON, takich jak tablice i ciągi znaków.

Film: obejrzyj krótki film, aby dowiedzieć się więcej o tym, jak zasada JSONThreatProtection pomaga zabezpieczać interfejsy API przed atakami na poziomie treści.

Film: obejrzyj krótki film o platformie interfejsów API Apigee w chmurze.

Dokumentacja elementów

Dokumentacja elementów zawiera opis elementów i atrybutów zasady JSONThreatProtection.

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1">
   <DisplayName>JSONThreatProtection 1</DisplayName>
   <ArrayElementCount>20</ArrayElementCount>
   <ContainerDepth>10</ContainerDepth>
   <ObjectEntryCount>15</ObjectEntryCount>
   <ObjectEntryNameLength>50</ObjectEntryNameLength>
   <Source>request</Source>
   <StringValueLength>500</StringValueLength>
</JSONThreatProtection>

Atrybuty elementu <JSONThreatProtection>

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1">

W tej tabeli opisano atrybuty wspólne dla wszystkich elementów nadrzędnych zasad:

Atrybut Opis Domyślny Obecność
name

Wewnętrzna nazwa zasady. Wartość atrybutu name może zawierać litery, cyfry, spacje, łączniki, podkreślenia i kropki. Ta wartość nie może przekracza 255 znaków.

Opcjonalnie możesz użyć elementu <DisplayName> do oznaczenia zasady jako edytor proxy interfejsu zarządzania z inną nazwą w języku naturalnym.

 Nie dotyczy Wymagane
continueOnError

Ustaw jako false, aby w przypadku niepowodzenia zasady zwracany był błąd. To normalne w przypadku większości zasad.

Ustaw jako true, aby wykonywanie przepływu było kontynuowane nawet po zastosowaniu zasady niepowodzenie.

 fałsz Opcjonalnie
enabled

Aby egzekwować zasadę, ustaw wartość true.

Aby wyłączyć zasadę, ustaw wartość false. Te zasady nie będą jest wymuszane nawet wtedy, gdy jest ono połączone z przepływem.

 prawda Opcjonalnie
async

Ten atrybut został wycofany.

 fałsz Wycofano

&lt;DisplayName&gt; element

Używaj oprócz atrybutu name do oznaczania zasady w edytor proxy interfejsu zarządzania z inną nazwą w języku naturalnym.

<DisplayName>Policy Display Name</DisplayName>
Domyślny

Nie dotyczy

Jeśli pominiesz ten element, atrybut name zasady otrzyma wartość .
Obecność Opcjonalnie
Typ Ciąg znaków

Element <ArrayElementCount>

Określa maksymalną liczbę elementów dozwolonych w tablicy.

<ArrayElementCount>20</ArrayElementCount>
Domyślnie: Jeśli nie określisz tego elementu lub podasz ujemną liczbę całkowitą, system nie będzie egzekwować limitu.
Obecność: Opcjonalny
Typ: Liczba całkowita

Element <ContainerDepth>

Określa maksymalną dozwoloną głębokość zawierania, gdzie kontenery są obiektami lub tablicami. Na przykład tablica zawierająca obiekt, który zawiera obiekt, będzie miała głębokość zawierania równą 3.

<ContainerDepth>10</ContainerDepth>
Domyślnie: Jeśli nie określisz tego elementu lub podasz ujemną liczbę całkowitą, system nie będzie egzekwować limitu.
Obecność: Opcjonalny
Typ: Liczba całkowita

Element <ObjectEntryCount>

Określa maksymalną liczbę wpisów dozwolonych w obiekcie.

<ObjectEntryCount>15</ObjectEntryCount>
Domyślnie: Jeśli nie określisz tego elementu lub podasz ujemną liczbę całkowitą, system nie będzie egzekwować limitu.
Obecność: Opcjonalny
Typ: Liczba całkowita

Element <ObjectEntryNameLength>

Określa maksymalną długość ciągu znaków dozwoloną w przypadku nazwy właściwości w obiekcie.

<ObjectEntryNameLength>50</ObjectEntryNameLength>
Domyślnie: Jeśli nie określisz tego elementu lub podasz ujemną liczbę całkowitą, system nie będzie egzekwować limitu.
Obecność: Opcjonalny
Typ: Liczba całkowita

Element <Source>

Wiadomość, która ma zostać przeskanowana pod kątem ataków na ładunek JSON. Najczęściej jest to ustawione na request, ponieważ zwykle trzeba zweryfikować żądania przychodzące z aplikacji klienckich. Gdy ten element jest ustawiony na message, automatycznie ocenia wiadomość żądania gdy jest dołączony do przepływu żądania, oraz wiadomość odpowiedzi, gdy jest dołączony do przepływu odpowiedzi.

<Source>request</Source>
Domyślnie: request
Obecność: Opcjonalny
Typ:

Ciąg tekstowy.

Prawidłowe wartości: request, response lub message.

Element <StringValueLength>

Określa maksymalną długość dozwoloną dla wartości ciągu znaków.

<StringValueLength>500</StringValueLength>
Domyślnie: Jeśli nie określisz tego elementu lub podasz ujemną liczbę całkowitą, system nie będzie egzekwować limitu.
Obecność: Opcjonalny
Typ: Liczba całkowita

Dokumentacja błędów

W tej sekcji opisano kody błędów i komunikaty o błędach, które są zwracane, oraz zmienne błędów ustawiane przez Edge, gdy ta zasada wyzwala błąd. Warto o tym wiedzieć, jeśli rozwijasz reguły błędów, aby obsługi błędów. Więcej informacji znajdziesz w artykule Co musisz wiedzieć o błędach związanych z zasadami i postępowaniu z błędami

Błędy w czasie wykonywania

Te błędy mogą wystąpić podczas wykonywania zasady.

Kod błędu Stan HTTP Przyczyna Napraw
steps.jsonthreatprotection.ExecutionFailed 500 Zasada JSONThreatProtection może zgłaszać wiele różnych typów błędów ExecutionFailed. Większość z tych błędów występuje po przekroczeniu określonego progu ustawionego w zasadzie. Te typy błędów to między innymi: długość nazwy wpisu obiektu, liczba wpisów obiektu, liczba elementów tablicy, głębokość kontenera, długość wartości ciągu znaków. Ten błąd występuje też wtedy, gdy ładunek zawiera nieprawidłowy obiekt JSON.
steps.jsonthreatprotection.SourceUnavailable 500 Ten błąd występuje, jeśli komunikat określona w elemencie <Source> to:
    .
  • Poza zakresem (niedostępne w konkretnym procesie, w którym są realizowane zasady)
  • Nie jest jedną z prawidłowych wartości request, response, lub message
steps.jsonthreatprotection.NonMessageVariable 500 Ten błąd występuje, jeśli element <Source> jest ustawiony na zmienną, która jest innego typu wiadomość.

Błędy wdrażania

Brak.

Zmienne błędów

Te zmienne są ustawiane, gdy ta zasada wywołuje błąd. Więcej informacji znajdziesz w artykule Podstawowe informacje o błędach związanych z naruszeniem zasad.

Zmienne Gdzie Przykład
fault.name="fault_name" fault_name to nazwa błędu podana w tabeli Błędy czasu działania powyżej. Nazwa błędu to ostatnia część kodu błędu. fault.name Matches "SourceUnavailable"
jsonattack.policy_name.failed policy_name to określona przez użytkownika nazwa zasady, która spowodowała błąd. jsonattack.JTP-SecureRequest.failed = true

Przykładowa odpowiedź na błąd

{
  "fault": {
    "faultstring": "JSONThreatProtection[JPT-SecureRequest]: Execution failed. reason: JSONThreatProtection[JTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.jsonthreatprotection.ExecutionFailed"
    }
  }
}

Przykładowa reguła błędu

<FaultRule name="JSONThreatProtection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(jsonattack.JPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Schematy

Zastosowanie

Podobnie jak usługi oparte na XML, interfejsy API obsługujące notację obiektów JavaScript (JSON) są podatne na ataki na poziomie treści. Proste ataki JSON polegają na używaniu struktur, które przeciążają analizatory JSON aby spowodować awarię usługi i wywołać ataki typu DoS na poziomie aplikacji. Wszystkie ustawienia są opcjonalne i należy je dostosować, aby zoptymalizować wymagania usługi pod kątem potencjalnych luk w zabezpieczeniach.

Powiązane artykuły

Zasada JSONtoXML

Zasada XMLThreatProtection

Zasada RegularExpressionProtection