Chính sách về mối đe dọa JSON

Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào tài liệu Apigee X. thông tin

Nội dung

Giảm thiểu rủi ro do các cuộc tấn công ở cấp nội dung bằng cách cho phép bạn chỉ định giới hạn đối với nhiều cấu trúc JSON, chẳng hạn như mảng và chuỗi.

Tài liệu tham khảo về phần tử

Tài liệu tham khảo về phần tử mô tả các phần tử và thuộc tính của chính sách JSONThreatProtection.

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1">
   <DisplayName>JSONThreatProtection 1</DisplayName>
   <ArrayElementCount>20</ArrayElementCount>
   <ContainerDepth>10</ContainerDepth>
   <ObjectEntryCount>15</ObjectEntryCount>
   <ObjectEntryNameLength>50</ObjectEntryNameLength>
   <Source>request</Source>
   <StringValueLength>500</StringValueLength>
</JSONThreatProtection>

Thuộc tính <JSONThreatProtection>

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1"> 

Bảng sau đây mô tả những thuộc tính chung cho tất cả phần tử mẹ của chính sách:

&lt;DisplayName&gt; phần tử

Hãy sử dụng cùng với thuộc tính name để gắn nhãn chính sách trong phần trình chỉnh sửa proxy giao diện người dùng quản lý có tên ngôn ngữ tự nhiên khác.

<DisplayName>Policy Display Name</DisplayName>

Phần tử <ArrayElementCount>

Chỉ định số lượng phần tử tối đa được phép trong một mảng.

<ArrayElementCount>20</ArrayElementCount>

Phần tử <ContainerDepth>

Chỉ định độ sâu tối đa được phép của vùng chứa, trong đó vùng chứa là các đối tượng hoặc mảng. Ví dụ: một mảng chứa một đối tượng chứa một đối tượng sẽ dẫn đến độ sâu chứa là 3.

<ContainerDepth>10</ContainerDepth>

Phần tử <ObjectEntryCount>

Chỉ định số mục tối đa được phép trong một đối tượng.

<ObjectEntryCount>15</ObjectEntryCount>

Phần tử <ObjectEntryNameLength>

Chỉ định độ dài chuỗi tối đa được phép cho tên thuộc tính trong một đối tượng.

<ObjectEntryNameLength>50</ObjectEntryNameLength>

Phần tử <Source>

Thông báo cần được sàng lọc để phát hiện các cuộc tấn công bằng tải trọng JSON. Thông thường, bạn sẽ đặt giá trị này thành request vì thường thì bạn sẽ cần xác thực các yêu cầu đến từ ứng dụng khách. Khi được đặt thành message, phần tử này sẽ tự động đánh giá thông báo yêu cầu khi được đính kèm vào luồng yêu cầu và thông báo phản hồi khi được đính kèm vào luồng phản hồi.

<Source>request</Source>

Phần tử <StringValueLength>

Chỉ định độ dài tối đa được phép cho một giá trị chuỗi.

<StringValueLength>500</StringValueLength>

Tham chiếu lỗi

Phần này mô tả các mã lỗi và thông báo lỗi được trả về cũng như các biến lỗi do Edge đặt khi chính sách này kích hoạt lỗi. Thông tin này rất quan trọng nếu bạn đang phát triển các quy tắc lỗi để xử lý lỗi. Để tìm hiểu thêm, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách và Xử lý lỗi.

Lỗi thời gian chạy

Những lỗi này có thể xảy ra khi chính sách này thực thi.

Lỗi triển khai

Không có.

Biến lỗi

Các biến này được đặt khi chính sách này kích hoạt lỗi. Để biết thêm thông tin, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách.

Ví dụ về phản hồi khi gặp lỗi

{
  "fault": {
    "faultstring": "JSONThreatProtection[JPT-SecureRequest]: Execution failed. reason: JSONThreatProtection[JTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.jsonthreatprotection.ExecutionFailed"
    }
  }
}

Ví dụ về quy tắc lỗi

<FaultRule name="JSONThreatProtection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(jsonattack.JPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Giản đồ

Lưu ý về cách sử dụng

Giống như các dịch vụ dựa trên XML, những API hỗ trợ ký hiệu đối tượng JavaScript (JSON) rất dễ bị tấn công ở cấp nội dung. Các cuộc tấn công JSON đơn giản cố gắng sử dụng các cấu trúc làm quá tải trình phân tích cú pháp JSON để làm hỏng một dịch vụ và gây ra các cuộc tấn công từ chối dịch vụ ở cấp ứng dụng. Tất cả các chế độ cài đặt đều không bắt buộc và bạn nên điều chỉnh để tối ưu hoá các yêu cầu về dịch vụ của mình trước các lỗ hổng tiềm ẩn.

Chủ đề có liên quan

Chính sách JSONtoXML

Chính sách XMLThreatProtection

Chính sách RegularExpressionProtection