Zasada ExpressExpressionProtection

Wyświetlasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. info

Co

Wyodrębnia informacje z wiadomości (np. ścieżkę URI, parametr zapytania, nagłówek, parametr formularza, zmienną, ładunek XML lub ładunek JSON) i ocenia te treści na podstawie predefiniowanych wyrażeń regularnych. Jeśli którekolwiek z podanych wyrażeń regularnych przyjmie wartość true, wiadomość zostanie uznana za zagrożenie i odrzucona.

Filmy

Aby dowiedzieć się więcej o zasadach ochrony wyrażeń regularnych, obejrzyj poniższe filmy.

Przykłady

<RegularExpressionProtection name="JsonPathRegExProtection">
    <DisplayName>Regular Expression Protection 1</DisplayName>
    <Source>request</Source>
    <JSONPayload escapeSlashCharacter="true">
       <JSONPath>
          <Expression>$</Expression>
          <Pattern>&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*\/\s*script\s*&gt;
          </Pattern>
          <Pattern>n\s*\\\\\s*slash</Pattern>
          <Pattern>n\s*\/\s*slash</Pattern>
          <Pattern>n\s*\\"\s*quotes</Pattern>
          <Pattern>n\s*\\b\s*space</Pattern>
          <Pattern>n\s*\\f\s*forwardfeed</Pattern>
          <Pattern>n\s*\\n\s*newline</Pattern>
          <Pattern>n\s*\\r\s*carria</Pattern>
          <Pattern>n\s*\\t\s*tab</Pattern>
          <Pattern>n\s*\\uFFFF\s*hex</Pattern>
       </JSONPath>
    </JSONPayload>
 </RegularExpressionProtection>

<Pattern>[\s]*(?i)((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>

Informacje o zasadach ochrony wyrażeń regularnych

Apigee Edge umożliwia konfigurowanie wyrażeń regularnych, które można oceniać w odniesieniu do ruchu API w czasie działania, aby identyfikować typowe zagrożenia na poziomie treści, które mają określone wzorce.

Wyrażenie regularne, w skrócie regex, to zbiór ciągów znaków, które określają wzorzec w ciągu znaków. Wyrażenia regularne umożliwiają programowe sprawdzanie treści pod kątem wzorców. Wyrażenia regularne można wykorzystać na przykład do sprawdzenia adresu e-mail, aby upewnić się, że ma prawidłową strukturę. Więcej informacji znajdziesz w artykule Wyrażenia regularne w samouczkach dotyczących Javy.

Najczęstszym zastosowaniem RegularExpressionProtection jest ocena ładunków JSON i XML pod kątem złośliwych treści.

Żadne wyrażenie regularne nie może wyeliminować wszystkich ataków opartych na treści, dlatego należy połączyć ze sobą wiele mechanizmów, aby zapewnić kompleksową ochronę. W tej sekcji opisujemy kilka zalecanych wzorców wykluczania treści.

Przykładowe wzorce wykluczeń

Wyrażenia regularne muszą być zakodowane w formacie XML w pliku konfiguracji XML zasad.

[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))

<!--#(include|exec|echo|config|printenv)\s+.*

<!--#(include|exec|echo|config|printenv)\s+.*

(/(@?[\w_?\w:\*]+(\[[^]]+\])*)?)+

/?(ancestor(-or-self)?|descendant(-or-self)?|following(-sibling))

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

.*?Exception in thread.*

Ustawianie nagłówka Content-Type w żądaniu z ładunkiem XML lub JSON

Ładunek zasad ochrony wyrażeń regularnych może zawierać te elementy:

• Element <XMLPayload>: określa, że informacje muszą zostać wyodrębnione z ładunku XML i sprawdzone pod kątem zgodności z podanym wyrażeniem regularnym.

  Jeśli w zasadach używasz symbolu <XMLPayload>, nagłówek Content-Type w żądaniu musi mieć typ treści XML, np. application/xml lub text/xml.

• <JSONPayload> element: określa, że informacje muszą zostać wyodrębnione z ładunku JSON i sprawdzone pod kątem zgodności z podanym wyrażeniem regularnym.

  Jeśli w zasadach używasz <JSONPayload>, nagłówek Content-Type żądania musi być typem treści JSON, np. application/json.

Zazwyczaj interfejs API jest projektowany tak, aby akceptować format XML lub JSON. Może jednak wystąpić sytuacja, w której interfejs API zaakceptuje oba te formaty. Możesz wtedy zdefiniować zasadę ochrony wyrażeń regularnych, która będzie używać elementów <XMLPayload> i <JSONPayload>. W przypadku konkretnego żądania zastosowany zostanie tylko jeden element na podstawie wartości nagłówka Content-Type.

Odwołanie do elementu

Dokumentacja elementu zawiera opis elementów i atrybutów zasady RegularExpressionProtection.

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">
   <DisplayName>Regular Expression Protection 1</DisplayName>
   <Source>response</Source>
   <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
   <URIPath>
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </URIPath>
   <QueryParam name="a-query-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </QueryParam>
   <Header name="a-header">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Header>
   <FormParam name="a-form-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </FormParam>
   <Variable name="request.content">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Variable>
   <XMLPayload>
     <Namespaces>
       <Namespace prefix="apigee">http://www.apigee.com</Namespace>
     </Namespaces>
     <XPath>
       <Expression>/apigee:Greeting/apigee:User</Expression>
       <Type>string</Type>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </XPath>
   </XMLPayload>
   <JSONPayload>
     <JSONPath>
       <Expression>$.store.book[*].author</Expression>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </JSONPath>
    </JSONPayload>
</RegularExpressionProtection>

Atrybuty <RegularExpressionProtection>

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">

W tej tabeli opisano atrybuty wspólne dla wszystkich elementów nadrzędnych zasad:

&lt;DisplayName&gt; element

Używaj oprócz atrybutu name do oznaczania zasady w edytor proxy interfejsu zarządzania z inną nazwą w języku naturalnym.

<DisplayName>Policy Display Name</DisplayName>

Element <Source>

Wskazuje wiadomość, z której należy wyodrębnić informacje.

Jeśli element <Source> zostanie pominięty, domyślna wartość to message. Na przykład: <Source>message</Source>. Gdy ta opcja ma wartość message, zasada używa wiadomości z żądaniem jako źródła, gdy jest dołączona do przepływu żądania. Podobnie zasada używa wiadomości z odpowiedzią, gdy jest dołączona do przepływu odpowiedzi.

Jeśli nie można rozpoznać wiadomości źródłowej lub jeśli jest ona innego typu niż wiadomość, zasady zwracają błąd.

<Source>response</Source>

Element <IgnoreUnresolvedVariables>

Określa, czy zasada zwraca błąd, gdy napotka zmienną, której nie można rozpoznać.

Jeśli zasada ma wartość false (domyślną), zwraca błąd, gdy napotka nierozwiązywalną zmienną. Jeśli ta opcja jest ustawiona na true, nierozwiązana zmienna jest traktowana jako pusty ciąg znaków (Null).

<IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

Element <URIPath>

Określa, że informacje muszą być wyodrębnione ze ścieżki identyfikatora URI żądania i sprawdzone pod kątem podanych wyrażeń regularnych. Musisz podać co najmniej 1 element <Pattern> określający wzorzec wyrażenia regularnego do dopasowania.

<URIPath>
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</URIPath>

Element <QueryParam>

Określa, że informacje należy wyodrębnić z parametru zapytania żądania i sprawdzić pod kątem podanych wyrażeń regularnych. Musisz podać co najmniej 1 element <Pattern> określający wzorzec wyrażenia regularnego do dopasowania.

<QueryParam name="a-query-param">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</QueryParam>

Atrybuty

Element <Header>

Określa, że informacje muszą zostać wyodrębnione z nagłówków żądania i odpowiedzi oraz sprawdzone pod kątem zgodności z podanymi wyrażeniami regularnymi. Musisz podać co najmniej 1 element <Pattern> określający wzorzec wyrażenia regularnego do dopasowania.

<Header name="a-header">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</Header>

Atrybuty

Element <FormParam>

Określa, że informacje muszą zostać wyodrębnione z parametru formularza żądania i sprawdzone pod kątem zgodności z podanymi wyrażeniami regularnymi. Musisz podać co najmniej 1 element <Pattern> określający wzorzec wyrażenia regularnego do dopasowania.

<FormParam name="a-form-param">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</FormParam>

Atrybuty

Element <Variable>

Określa, że informacje muszą zostać wyodrębnione z danej zmiennej i sprawdzone pod kątem podanych wyrażeń regularnych.

<Variable name="request.content">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</Variable>

Atrybuty

Element <XMLPayload>

Określa, że informacje muszą zostać wyodrębnione z ładunku XML i sprawdzone pod kątem podanych wyrażeń regularnych.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

Element <XMLPayload>/<Namespaces>

Określa przestrzenie nazw, które mają być używane w ocenie XPath.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

Element <XMLPayload>/<Namespaces>/<Namespace>

<Namespaces>
   <Namespace prefix="apigee">http://www.apigee.com</Namespace>
</Namespaces>

Atrybuty

Element <XMLPayload>/<XPath>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <XMLPayload>/<XPath>/<Expression>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <XMLPayload>/<XPath>/<Type>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <XMLPayload>/<XPath>/<Pattern>

Definiuje wzorzec wyrażenia regularnego. Jeśli wyrażenie regularne w elemencie Twojego<Pattern> pliku zawiera znaki zarezerwowane w XML (", &, ', < lub .), musisz je zakodować w XML przed dodaniem.

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <JSONPayload>

Określa, że informacje muszą zostać wyodrębnione z ładunku JSON i ocenione na podstawie podanych wyrażeń regularnych.

<JSONPayload>
   <JSONPath>
      <Expression>$.store.book[*].author</Expression>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </JSONPath>
</JSONPayload>

Atrybuty

Element <JSONPayload>/<JSONPath>/<Expression>

Określa wyrażenie JSONPath zdefiniowane dla zmiennej.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

Element <JSONPayload>/<JSONPath>/<Pattern>

Definiuje wzorzec wyrażenia regularnego. Jeśli wyrażenie regularne w elemencie <Pattern> zawiera znaki zarezerwowane w XML (", &, ', < lub .), musisz je zakodować w XML przed dodaniem.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

Odwołanie do błędu

W tej sekcji opisujemy kody błędów, zwracane komunikaty i zmienne błędów ustawione przez Edge, gdy ta zasada wywołuje błąd. Te informacje są ważne, aby wiedzieć, czy opracowujesz reguły dotyczące błędów w przypadku błędów. Jeśli chcesz przechwycić błąd i zgłosić własny błąd niestandardowy, ustaw atrybut continueOnError="true" w głównym elemencie zasad. Więcej informacji znajdziesz w sekcjach Co musisz wiedzieć o błędach zasad i Postępowanie w przypadku błędów.

Błędy zwracane z zasad Edge mają spójny format opisany w Informacjach na temat kodów błędów.

Błędy w czasie wykonywania

Te błędy mogą wystąpić podczas wykonywania zasady.

Błędy wdrażania

Zmienne błędów

Te zmienne są ustawiane, gdy zasada wywołuje błąd. Więcej informacji znajdziesz w artykule Co musisz wiedzieć o błędach związanych z naruszeniem zasad.

Schematy

Powiązane artykuły

Zasady ochrony przed zagrożeniami JSON

Zasady ochrony przed zagrożeniami w XML