המדיניות של StandardExpressionProtection

מוצג המסמך של Apigee Edge.
עוברים אל מסמכי תיעוד של Apigee X. מידע

מה

שולפת מידע מהודעה (לדוגמה, נתיב URI, פרמטר שאילתה, כותרת, פרמטר טופס, משתנה, מטען ייעודי (payload) של XML או מטען ייעודי (payload) של JSON) והערכה של התוכן הזה מול תקן מוגדר מראש הבעות פנים. אם ביטויים רגולריים מסוימים מקבלים את הערך True, ההודעה נחשבת איום ונדחה.

סרטונים

לקבלת מידע נוסף על המדיניות בנושא הגנה על ביטויים רגולריים (regex) אפשר לצפות בסרטונים הבאים.

דוגמאות

<RegularExpressionProtection name="JsonPathRegExProtection">
    <DisplayName>Regular Expression Protection 1</DisplayName>
    <Source>request</Source>
    <JSONPayload escapeSlashCharacter="true">
       <JSONPath>
          <Expression>$</Expression>
          <Pattern>&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*\/\s*script\s*&gt;
          </Pattern>
          <Pattern>n\s*\\\\\s*slash</Pattern>
          <Pattern>n\s*\/\s*slash</Pattern>
          <Pattern>n\s*\\"\s*quotes</Pattern>
          <Pattern>n\s*\\b\s*space</Pattern>
          <Pattern>n\s*\\f\s*forwardfeed</Pattern>
          <Pattern>n\s*\\n\s*newline</Pattern>
          <Pattern>n\s*\\r\s*carria</Pattern>
          <Pattern>n\s*\\t\s*tab</Pattern>
          <Pattern>n\s*\\uFFFF\s*hex</Pattern>
       </JSONPath>
    </JSONPayload>
 </RegularExpressionProtection>

<Pattern>[\s]*(?i)((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>

מידע על המדיניות בנושא הגנה על ביטויים רגולריים

באמצעות Apigee Edge אפשר להגדיר ביטויים רגולריים מוערכת מול תנועה ב-API בזמן הריצה כדי לזהות איומים נפוצים ברמת התוכן, בהתאם לפעולות הבאות: דפוסים מסוימים.

ביטוי רגולרי, או regex בקיצור, הוא קבוצת מחרוזות שמציין את הדפוס במחרוזת. ביטויים רגולריים מאפשרים לתוכן להיות פרוגרמטי לבדוק דפוסים. אפשר להשתמש בביטויים רגולריים, למשל, כדי להעריך כתובת אימייל כדי לוודא שהמבנה שלו תקין. מידע נוסף זמין במאמר רגילה ביטויים במדריכים של Java.

השימוש הנפוץ ביותר ב-regularExpressionProtection הוא הערכת JSON ו-XML מטענים ייעודיים (payloads) של תוכן זדוני.

אף ביטוי רגולרי לא יכול למנוע את כל ההתקפות מבוססות התוכן, ויש מספר מנגנונים משולב כדי לאפשר הגנה לעומק. בקטע הזה מתוארות כמה דפוסים מומלצים עבור אי הכללה של תוכן.

החרגה לדוגמה דפוסים

ביטויים רגולריים חייבים להיות מקודדים ב-XML בקובץ תצורת ה-XML של המדיניות.

[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))

<!--#(include|exec|echo|config|printenv)\s+.*

<!--#(include|exec|echo|config|printenv)\s+.*

(/(@?[\w_?\w:\*]+(\[[^]]+\])*)?)+

/?(ancestor(-or-self)?|descendant(-or-self)?|following(-sibling))

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

.*?Exception in thread.*

הגדרת הכותרת Content-Type בבקשה עם מטען ייעודי (payload) של XML או JSON

המטען הייעודי (payload) של המדיניות בנושא 'הגנה על ביטוי רגולרי' יכול לכלול את הרכיבים הבאים: רכיבים:

• רכיב <XMLPayload>: מציין שיש לחלץ את המידע מטען ייעודי (payload) של XML שנבדק ביחס לביטוי הרגולרי שסופק.

  אם המדיניות כוללת שימוש ב-<XMLPayload>, הכותרת Content-Type של הבקשה חייבת להיות סוג תוכן XML כמו application/xml או text/xml.

• רכיב <JSONPayload>: מציין שצריך לחלץ את המידע ממטען ייעודי (payload) של JSON, שנבדק ביחס לביטוי הרגולרי שסופק.

  אם המדיניות כוללת שימוש ב-<JSONPayload>, הכותרת Content-Type של הבקשה חייבת להיות סוג תוכן JSON כמו application/json.

בדרך כלל מעצבים API לקבלת XML או JSON. אבל עלול להיות תרחיש שבו ה-API קיבל את שניהם. לאחר מכן אפשר להגדיר מדיניות בנושא 'הגנה על ביטויים רגולריים' שמשתמש גם ברכיב <XMLPayload> וגם ברכיב <JSONPayload>. רק רכיב אחד יחול על בקשה ספציפית על סמך הערך של הכותרת Content-Type.

הפניה לרכיב

בהפניה לרכיב מתוארים הרכיבים והמאפיינים של regularExpressionProtection המדיניות בנושא

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">
   <DisplayName>Regular Expression Protection 1</DisplayName>
   <Source>response</Source>
   <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
   <URIPath>
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </URIPath>
   <QueryParam name="a-query-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </QueryParam>
   <Header name="a-header">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Header>
   <FormParam name="a-form-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </FormParam>
   <Variable name="request.content">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Variable>
   <XMLPayload>
     <Namespaces>
       <Namespace prefix="apigee">http://www.apigee.com</Namespace>
     </Namespaces>
     <XPath>
       <Expression>/apigee:Greeting/apigee:User</Expression>
       <Type>string</Type>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </XPath>
   </XMLPayload>
   <JSONPayload>
     <JSONPath>
       <Expression>$.store.book[*].author</Expression>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </JSONPath>
    </JSONPayload>
</RegularExpressionProtection>

<RegularExpressionProtection> מאפיינים

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">

בטבלה הבאה מתוארים מאפיינים שמשותפים לכל רכיבי ההורה של המדיניות:

<DisplayName> רכיב

צריך להשתמש בנוסף למאפיין name כדי להוסיף תווית למדיניות עורך proxy של ממשק משתמש לניהול עם שם אחר בשפה טבעית.

<DisplayName>Policy Display Name</DisplayName>

<Source> רכיב

מציין את ההודעה שממנה צריך לחלץ את המידע.

אם לא משמיטים את הרכיב <Source>, ברירת המחדל של הערך תהיה message. לדוגמה, <Source>message</Source>. כשההגדרה מוגדרת לערך message, המדיניות משתמשת בהודעת הבקשה כמקור כשהיא מצורפת לבקשה . באופן דומה, המדיניות תשתמש בהודעת התשובה כשהיא מצורפת לתהליך תשובה.

אם לא ניתן לפענח את הודעת המקור או אם היא מובילה לסוג שאינו הודעה, המדיניות מחזירה שגיאה.

<Source>response</Source>

<IgnoreUnresolvedVariables> רכיב

קובעת אם המדיניות תחזיר שגיאה כשהיא נתקלת במשתנה בלתי ניתן לפתרון.

אם המדיניות מוגדרת לערך false (ברירת המחדל), המדיניות תחזיר שגיאה כשהמערכת לא יכולה לפתור את הבעיה נמצא במשתנה. אם הערך שמוגדר לפרמטר הוא true, המשתנה הזה לא יטופל כריק מחרוזת (Null).

<IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

<URIPath> רכיב

מציינת שצריך לחלץ את המידע מנתיב ה-URI של הבקשה ולבדוק אותו לביטויים הרגולריים שצוינו. צריך להזין ערך אחד לפחות רכיב <Pattern> שמציין תבנית של ביטוי רגולרי להתאמה.

<URIPath>
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</URIPath>

<QueryParam> רכיב

מציינת שצריך לחלץ את המידע מהפרמטר של שאילתת הבקשה מוערך ביחס לביטויים הרגולריים שסופקו. צריך להזין ערך אחד לפחות רכיב <Pattern> שמציין תבנית של ביטוי רגולרי להתאמה.

<QueryParam name="a-query-param">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</QueryParam>

מאפיינים

<Header> רכיב

מציינת שצריך לחלץ את המידע מהכותרות של הבקשה והתשובה, וכן מוערך ביחס לביטויים הרגולריים שסופקו. צריך להזין ערך אחד לפחות רכיב <Pattern> שמציין תבנית של ביטוי רגולרי להתאמה.

<Header name="a-header">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</Header>

מאפיינים

<FormParam> רכיב

מציינת שצריך לחלץ את המידע מהפרמטר של טופס הבקשה ולבדוק אותו לביטויים הרגולריים שצוינו. צריך להזין ערך אחד לפחות רכיב <Pattern> שמציין תבנית של ביטוי רגולרי להתאמה.

<FormParam name="a-form-param">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</FormParam>

מאפיינים

<Variable> רכיב

מציינת שצריך לחלץ את המידע מהמשתנה הנתון ולבדוק אותו מולו את הביטויים הרגולריים שצוינו.

<Variable name="request.content">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</Variable>

מאפיינים

<XMLPayload> רכיב

מציינת שצריך לחלץ את המידע ממטען ייעודי (payload) של XML ולבדוק אותו מול ביטויים רגולריים.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

<XMLPayload>/<Namespaces> רכיב

מציינת את מרחבי השמות לשימוש בהערכת ה-XPath.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

<XMLPayload>/<Namespaces>/<Namespace> רכיב

<Namespaces>
   <Namespace prefix="apigee">http://www.apigee.com</Namespace>
</Namespaces>

מאפיינים

<XMLPayload>/<XPath> רכיב

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Expression> רכיב

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Type> רכיב

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Pattern> רכיב

מגדיר את דפוס הביטויים הרגולריים. אם ביטוי רגולרי בשדה הרכיב <Pattern> כולל תווים שמורים XML (", &, ', <, או .), צריך לקודד אותו בפורמט XML לפני שמוסיפים אותו.

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

&lt;JSONPayload&gt; רכיב

מציינת שצריך לחלץ את המידע ממטען ייעודי (payload) של JSON ולבדוק אותו מול ביטויים רגולריים.

<JSONPayload>
   <JSONPath>
      <Expression>$.store.book[*].author</Expression>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </JSONPath>
</JSONPayload>

מאפיינים

&lt;JSONPayload&gt;/&lt;JSONPath&gt;/&lt;Expression&gt; רכיב

מציינת את ביטוי ה-JSONPath שהוגדר למשתנה.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

&lt;JSONPayload&gt;/&lt;JSONPath&gt;/&lt;Pattern&gt; רכיב

מגדיר את דפוס הביטויים הרגולריים. אם ביטוי רגולרי הרכיב <Pattern> כולל תווים שמורים XML (", &, ', < או .), צריך לקודד אותו בפורמט XML לפני שמוסיפים אותו.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

התייחסות לשגיאות

בקטע הזה מתוארים קודי השגיאה וההודעות שהוחזרו ומשתני השגיאות שהוגדרו על ידי Edge כשהמדיניות הזו גורמת לשגיאה. חשוב לדעת אם אתם מפתחים כללים לתקלות כדי לטפל בתקלות. כדי לתעד שגיאה ולהעלות שגיאה מותאמת אישית משלך, צריך להגדיר את המאפיין continueOnError="true" ברכיב הבסיס של המדיניות. מידע נוסף זמין במאמרים מה צריך לדעת על שגיאות מדיניות ועל טיפול בפגמים.

השגיאות שהוחזרו ממדיניות Edge הן בפורמט עקבי, כמו שמתואר בחומר העזר בנושא קוד שגיאה.

שגיאות בזמן ריצה

השגיאות האלה יכולות להתרחש כשהמדיניות מופעלת.

שגיאות בפריסה

משתני שבר

המשתנים האלה מוגדרים כשהמדיניות הזו גורמת לשגיאה. אפשר לקרוא מידע נוסף במאמר מה צריך לדעת על שגיאות מדיניות.

סכימות

נושאים קשורים

איום בפורמט JSON מדיניות ההגנה

איום בפורמט XML מדיניות ההגנה