המדיניות של StandardExpressionProtection

כרגע מוצג התיעוד של Apigee Edge.
כניסה למסמכי התיעוד של Apigee X. מידע

מה

מחלץ מידע מהודעה (לדוגמה, נתיב URI , פרמטר שאילתה, כותרת, חלונית טופס, משתנה, מטען ייעודי (payload) של XML או מטען ייעודי (payload) של JSON) ומעריך את התוכן מול ביטויים רגולריים מוגדרים מראש. אם ביטוי רגולרי כלשהו מוגדר כ-true, ההודעה נחשבת לאיום והיא נדחתה.

סרטונים

למידע נוסף על המדיניות בנושא הגנה על ביטויים רגולריים, מומלץ לצפות בסרטונים הבאים.

טעימות

<RegularExpressionProtection name="JsonPathRegExProtection">
    <DisplayName>Regular Expression Protection 1</DisplayName>
    <Source>request</Source>
    <JSONPayload escapeSlashCharacter="true">
       <JSONPath>
          <Expression>$.</Expression>
          <Pattern>&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*\/\s*script\s*&gt;
          </Pattern>
          <Pattern>n\s*\\\\\s*slash</Pattern>
          <Pattern>n\s*\/\s*slash</Pattern>
          <Pattern>n\s*\\"\s*quotes</Pattern>
          <Pattern>n\s*\\b\s*space</Pattern>
          <Pattern>n\s*\\f\s*forwardfeed</Pattern>
          <Pattern>n\s*\\n\s*newline</Pattern>
          <Pattern>n\s*\\r\s*carria</Pattern>
          <Pattern>n\s*\\t\s*tab</Pattern>
          <Pattern>n\s*\\uFFFF\s*hex</Pattern>
       </JSONPath>
    </JSONPayload>
 </RegularExpressionProtection>

<Pattern>[\s]*(?i)((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>

מידע על המדיניות בנושא הגנה על ביטויים רגולריים

ב-Apigee Edge אפשר להגדיר ביטויים רגולריים שניתן להעריך אותם ביחס לתנועת API בזמן ריצה, כדי לזהות איומים נפוצים ברמת התוכן שעוקבים אחרי דפוסים מסוימים.

ביטוי רגולרי, או בקיצור regex, הוא קבוצה של מחרוזות שמציינות דפוס במחרוזת. ביטויים רגולריים מאפשרים לבצע הערכה פרוגרמטית של תוכן כדי לאתר דפוסים. אפשר להשתמש בביטויים רגולריים, למשל, כדי להעריך כתובת אימייל על מנת לוודא שהיא בנויה כראוי. מידע נוסף זמין במאמר ביטויים רגולריים במדריכי Java.

השימוש הנפוץ ביותר ב-regularExpressionProtection הוא הערכת מטענים ייעודיים (payloads) של JSON ו-XML עבור תוכן זדוני.

אין ביטוי רגולרי שיכול למנוע את כל המתקפות המבוססות על תוכן, וצריך לשלב מספר מנגנונים כדי לאפשר הגנה לעומק. בקטע הזה מתוארות כמה תבניות מומלצות להחרגת תוכן.

דפוסי החרגה לדוגמה

ביטויים רגולריים חייבים להיות מקודדים בפורמט XML בקובץ התצורה של המדיניות ב-XML.

[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))

<!--#(include|exec|echo|config|printenv)\s+.*

<!--#(include|exec|echo|config|printenv)\s+.*

(/(@?[\w_?\w:\*]+(\[[^]]+\])*)?)+

/?(ancestor(-or-self)?|descendant(-or-self)?|following(-sibling))

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

.*?Exception in thread.*

הגדרת הכותרת Content-Type בבקשה באמצעות מטען ייעודי (payload) של XML או של JSON

המטען הייעודי (payload) של המדיניות בנושא 'הגנה על ביטוי רגולרי' יכול לכלול את הרכיבים הבאים:

• רכיב <XMLPayload>: מציין שיש לשלוף את המידע ממטען ייעודי של XML ולהעריך אותו מול הביטוי הרגולרי שסופק.

  אם משתמשים ב-<XMLPayload> במדיניות, הכותרת Content-Type של הבקשה חייבת להיות סוג תוכן XML, כמו application/xml או text/xml.

• רכיב <JSONPayload>: מציין שיש לשלוף את המידע ממטען ייעודי של JSON ולהעריך אותו מול הביטוי הרגולרי שסופק.

  אם משתמשים ב-<JSONPayload> במדיניות, הכותרת Content-Type של הבקשה חייבת להיות מסוג תוכן JSON כמו application/json.

בדרך כלל מעצבים API שיקבל XML או JSON. עם זאת, עשוי להיות תרחיש שבו ה-API קיבל את שניהם. לאחר מכן אפשר להגדיר מדיניות של הגנה על ביטויים רגולריים שמשתמשת גם ברכיבים <XMLPayload> וגם ברכיבים <JSONPayload>. רק רכיב אחד יחול על בקשה ספציפית על סמך הערך של הכותרת Content-Type.

הפניה לרכיב

בהפניה לרכיב מתוארים הרכיבים והמאפיינים של המדיניות regularExpressionProtection.

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">
   <DisplayName>Regular Expression Protection 1</DisplayName>
   <Source>response</Source>
   <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
   <URIPath>
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </URIPath>
   <QueryParam name="a-query-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </QueryParam>
   <Header name="a-header">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Header>
   <FormParam name="a-form-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </FormParam>
   <Variable name="request.content">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Variable>
   <XMLPayload>
     <Namespaces>
       <Namespace prefix="apigee">http://www.apigee.com</Namespace>
     </Namespaces>
     <XPath>
       <Expression>/apigee:Greeting/apigee:User</Expression>
       <Type>string</Type>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </XPath>
   </XMLPayload>
   <JSONPayload>
     <JSONPath>
       <Expression>$.store.book[*].author</Expression>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </JSONPath>
    </JSONPayload>
</RegularExpressionProtection>

מאפייני <regularExpressionProtection>

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">

בטבלה הבאה מפורטים המאפיינים שמשותפים לכל רכיבי ההורה של המדיניות:

רכיב <DisplayName>

יש להשתמש במאפיין הזה בנוסף למאפיין name כדי להוסיף למדיניות בכלי לעריכת שרת ה-proxy לניהול ממשק משתמש עם שם אחר בשפה טבעית.

<DisplayName>Policy Display Name</DisplayName>

רכיב <Source>

מציין את ההודעה שממנה יש לשלוף את המידע.

אם לא תציינו את הרכיב <Source>, ברירת המחדל של הערך תהיה message. לדוגמה, <Source>message</Source>. אם המדיניות מוגדרת לערך message, הודעת הבקשה תשמש כמקור כאשר היא מצורפת לתהליך בקשה. באופן דומה, המדיניות תשתמש בהודעת התשובה כשהיא מצורפת לתהליך התשובה.

אם לא ניתן לפענח את הודעת המקור או אם היא מובילה לסוג שאינו הודעה, המדיניות תחזיר שגיאה.

<Source>response</Source>

הרכיב <ignoreUnresolvedVariables>>

המדיניות הזו קובעת אם המדיניות תחזיר שגיאה כשהיא נתקלת במשתנה שלא ניתן לפתרון.

אם המדיניות מוגדרת כ-false (ברירת המחדל), המדיניות תחזיר שגיאה כשנמצא משתנה שלא ניתן לפתרון. אם הוא מוגדר כ-true, המערכת תתייחס למשתנה שלא נפתר כמחרוזת ריקה (Null).

<IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

אלמנט <URIPath>

מציינת שיש לחלץ את המידע מנתיב ה-URI של הבקשה ולהעריך מול הביטויים הרגולריים שסופקו. עליך לספק לפחות רכיב <Pattern> אחד שמציין דפוס של ביטוי רגולרי להתאמה.

<URIPath>
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</URIPath>

האלמנט <QueryParam>

מציינת שצריך לחלץ את המידע מהפרמטר של שאילתת הבקשה ולהעריך אותם ביחס לביטויים הרגולריים שסופקו. עליך לספק לפחות רכיב <Pattern> אחד שמציין דפוס של ביטוי רגולרי להתאמה.

<QueryParam name="a-query-param">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</QueryParam>

מאפיינים

האלמנט <Header>

מציינת שצריך לחלץ את המידע מהכותרות של הבקשות והתגובות, ולהעריך את הנתונים ביחס לביטויים הרגולריים שסופקו. עליך לספק לפחות רכיב <Pattern> אחד שמציין דפוס של ביטוי רגולרי להתאמה.

<Header name="a-header">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</Header>

מאפיינים

אלמנט <FormParam>

מציינת שיש לחלץ את המידע מהפרמטר של טופס הבקשה ולהעריך את הנתונים ביחס לביטויים הרגולריים שסופקו. עליך לספק לפחות רכיב <Pattern> אחד שמציין דפוס של ביטוי רגולרי להתאמה.

<FormParam name="a-form-param">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>     
</FormParam>

מאפיינים

רכיב <Variable>

מציינת שצריך לחלץ את המידע מהמשתנה הנתון ולהעריך אותם ביחס לביטויים הרגולריים שסופקו.

<Variable name="request.content">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</Variable>

מאפיינים

רכיב <XMLPayload>

מציינת שצריך לחלץ את המידע ממטען ייעודי של XML ולהעריך אותו מול הביטויים הרגולריים שסופקו.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

אלמנט <XMLPayload>/<Namespaces>

מציינת את מרחבי השמות שישמשו בהערכה של XPath.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

רכיב <XMLPayload>/<Namespaces>/<Namespace>

<Namespaces>
   <Namespace prefix="apigee">http://www.apigee.com</Namespace>
</Namespaces>

מאפיינים

רכיב <XMLPayload>/<XPath>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

רכיב <XMLPayload>/<XPath>/<Expression>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

רכיב <XMLPayload>/<XPath>/<Type>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

רכיב <XMLPayload>/<XPath>/<Pattern>

מגדיר את הדפוס של הביטוי הרגולרי. אם ביטוי רגולרי ברכיב <Pattern> כולל תווים שמורים ב-XML (", &, ', < או .), צריך לקודד אותו XML לפני שמוסיפים אותו.

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

רכיב <JSONPayload>

מציינת שיש לחלץ את המידע ממטען ייעודי של JSON ולהעריך אותם ביחס לביטויים הרגולריים שסופקו.

<JSONPayload>
   <JSONPath>
      <Expression>$.store.book[*].author</Expression>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </JSONPath>
</JSONPayload>

מאפיינים

אלמנט <JSONPayload>/<JSONPath>/<Expression>

מציין את הביטוי של JSONPath שהוגדר עבור המשתנה.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

אלמנט <JSONPayload>/<JSONPath>/<Pattern>

מגדיר את הדפוס של הביטוי הרגולרי. אם ביטוי רגולרי ברכיב <Pattern> כולל תווים שמורים ב-XML (", &, ', < או .), צריך לקודד אותו XML לפני שמוסיפים אותו.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

הפניה לשגיאות

בקטע הזה מתוארים קודי השגיאה וההודעות שהוחזרו ומשתני השגיאות שהוגדרו על ידי Edge כשהמדיניות הזו גורמת לשגיאה. חשוב לדעת אם אתם מפתחים כללים לתקלות כדי לטפל בתקלות. כדי לתעד שגיאה ולהעלות שגיאה מותאמת אישית משלך, צריך להגדיר את המאפיין continueOnError="true" ברכיב הבסיס של המדיניות. מידע נוסף זמין במאמרים מה צריך לדעת על שגיאות מדיניות ועל טיפול בפגמים.

השגיאות שהוחזרו ממדיניות Edge הן בפורמט עקבי, כמו שמתואר בחומר העזר בנושא קוד שגיאה.

שגיאות בזמן ריצה

השגיאות האלה יכולות להתרחש כשהמדיניות מופעלת.

שגיאות בפריסה

משתני שבר

המשתנים האלה מוגדרים כשהמדיניות הזו גורמת לשגיאה. אפשר לקרוא מידע נוסף במאמר מה צריך לדעת על שגיאות מדיניות.

סכימות

נושאים קשורים

המדיניות בנושא הגנה מפני איומים ב-JSON

המדיניות בנושא הגנה מפני איומים ב-XML