Chính sách về mối đe dọa JSON

Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến Tài liệu về Apigee X. thông tin

Nội dung

Giảm thiểu rủi ro phát sinh từ các cuộc tấn công ở cấp độ nội dung bằng cách cho phép bạn chỉ định giới hạn cho nhiều Các cấu trúc JSON, chẳng hạn như mảng và chuỗi.

Tham chiếu phần tử

Tài liệu tham khảo phần tử mô tả các phần tử và thuộc tính của JSONThreatProtection .

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1">
   <DisplayName>JSONThreatProtection 1</DisplayName>
   <ArrayElementCount>20</ArrayElementCount>
   <ContainerDepth>10</ContainerDepth>
   <ObjectEntryCount>15</ObjectEntryCount>
   <ObjectEntryNameLength>50</ObjectEntryNameLength>
   <Source>request</Source>
   <StringValueLength>500</StringValueLength>
</JSONThreatProtection>

<JSONThreatProtection> thuộc tính

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1"> 

Bảng sau đây mô tả những thuộc tính chung cho tất cả phần tử mẹ của chính sách:

<DisplayName> phần tử

Hãy sử dụng cùng với thuộc tính name để gắn nhãn chính sách trong phần trình chỉnh sửa proxy giao diện người dùng quản lý có tên ngôn ngữ tự nhiên khác.

<DisplayName>Policy Display Name</DisplayName>

<ArrayElementCount> phần tử

Chỉ định số lượng phần tử tối đa được phép trong một mảng.

<ArrayElementCount>20</ArrayElementCount>

<ContainerDepth> phần tử

Chỉ định chiều sâu tối đa của vùng chứa được phép, trong đó vùng chứa là các đối tượng hoặc mảng. Ví dụ: một mảng chứa một đối tượng có chứa một đối tượng sẽ dẫn đến việc ngăn chặn độ sâu 3.

<ContainerDepth>10</ContainerDepth>

<ObjectEntryCount> phần tử

Chỉ định số lượng mục tối đa được phép trong một đối tượng.

<ObjectEntryCount>15</ObjectEntryCount>

<ObjectEntryNameLength> phần tử

Chỉ định độ dài chuỗi tối đa được phép cho tên thuộc tính trong một đối tượng.

<ObjectEntryNameLength>50</ObjectEntryNameLength>

<Source> phần tử

Thông báo cần được sàng lọc để phát hiện các cuộc tấn công tải trọng JSON. Thường được đặt thành request, vì thông thường, bạn cần xác thực các yêu cầu gửi đến từ ứng dụng khách. Khi bạn đặt thành message, phần tử này sẽ tự động đánh giá thông báo yêu cầu khi được đính kèm vào luồng yêu cầu và thông báo phản hồi khi được đính kèm vào phản hồi luồng.

<Source>request</Source>

<StringValueLength> phần tử

Chỉ định độ dài tối đa được phép cho một giá trị chuỗi.

<StringValueLength>500</StringValueLength>

Tham chiếu lỗi

Phần này mô tả các mã lỗi và thông báo lỗi được trả về cũng như các biến lỗi do Edge đặt khi chính sách này kích hoạt lỗi. Thông tin này rất quan trọng nếu bạn đang phát triển các quy tắc lỗi để xử lý lỗi. Để tìm hiểu thêm, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách và Xử lý lỗi.

Lỗi thời gian chạy

Những lỗi này có thể xảy ra khi chính sách này thực thi.

Lỗi triển khai

Không có.

Biến lỗi

Các biến này được đặt khi chính sách này kích hoạt lỗi. Để biết thêm thông tin, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách.

Ví dụ về phản hồi khi gặp lỗi

{
  "fault": {
    "faultstring": "JSONThreatProtection[JPT-SecureRequest]: Execution failed. reason: JSONThreatProtection[JTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.jsonthreatprotection.ExecutionFailed"
    }
  }
}

Ví dụ về quy tắc lỗi

<FaultRule name="JSONThreatProtection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(jsonattack.JPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Giản đồ

Lưu ý về cách sử dụng

Giống như các dịch vụ dựa trên XML, những API hỗ trợ ký hiệu đối tượng JavaScript (JSON) dễ bị tấn công tấn công cấp nội dung. Các cuộc tấn công JSON đơn giản cố sử dụng các cấu trúc làm choáng ngợp trình phân tích cú pháp JSON để xảy ra sự cố một dịch vụ và tạo ra các cuộc tấn công từ chối dịch vụ ở cấp ứng dụng. Tất cả các chế độ cài đặt là không bắt buộc và nên được điều chỉnh để tối ưu hoá yêu cầu dịch vụ của bạn so với tiềm năng lỗ hổng bảo mật.

Chủ đề có liên quan

Chính sách JSONtoXML

Chính sách XMLThreatProtection

Chính sách RegularExpressionProtection