Zasada ExpressExpressionProtection

Przeglądasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. Informacje

Co

Wyodrębnia informacje z wiadomości (np. ścieżka URI, parametr zapytania, nagłówek, parametr formularza, zmienna, ładunek XML lub ładunek JSON) i ocenia tę treść pod kątem zdefiniowanych wstępnie wyrażeń regularnych. Jeśli dowolne z określonych wyrażeń regularnych otrzyma wartość prawda, wiadomość zostanie uznana za zagrożenie i odrzucona.

Filmy

Aby dowiedzieć się więcej o zasadach ochrony wyrażeń regularnych, obejrzyj poniższe filmy.

Sample

<RegularExpressionProtection name="JsonPathRegExProtection">
    <DisplayName>Regular Expression Protection 1</DisplayName>
    <Source>request</Source>
    <JSONPayload escapeSlashCharacter="true">
       <JSONPath>
          <Expression>$.</Expression>
          <Pattern>&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*\/\s*script\s*&gt;
          </Pattern>
          <Pattern>n\s*\\\\\s*slash</Pattern>
          <Pattern>n\s*\/\s*slash</Pattern>
          <Pattern>n\s*\\"\s*quotes</Pattern>
          <Pattern>n\s*\\b\s*space</Pattern>
          <Pattern>n\s*\\f\s*forwardfeed</Pattern>
          <Pattern>n\s*\\n\s*newline</Pattern>
          <Pattern>n\s*\\r\s*carria</Pattern>
          <Pattern>n\s*\\t\s*tab</Pattern>
          <Pattern>n\s*\\uFFFF\s*hex</Pattern>
       </JSONPath>
    </JSONPayload>
 </RegularExpressionProtection>

<Pattern>[\s]*(?i)((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>

Informacje o zasadach ochrony wyrażeń regularnych

Apigee Edge umożliwia konfigurowanie wyrażeń regularnych, które można oceniać pod kątem ruchu interfejsu API w czasie działania w celu identyfikacji typowych zagrożeń na poziomie treści zgodnych z określonymi wzorcami.

Wyrażenie regularne (w skrócie wyrażenie regularne) to zestaw ciągów znaków określających wzorzec. Wyrażenia regularne umożliwiają automatyczną ocenę treści pod kątem wzorców. Wyrażenia regularne mogą posłużyć na przykład do sprawdzenia, czy adres e-mail ma prawidłową strukturę. Więcej informacji znajdziesz w sekcji Wyrażenia regularne w samouczku Javy.

Najczęściej używane jest RegularExpressionProtection do oceny ładunków JSON i XML pod kątem szkodliwych treści.

Żadne wyrażenie regularne nie wyeliminuje wszystkich ataków opartych na treściach, a my należy połączyć wiele mechanizmów, aby zapewnić dogłębną obronę. W tej sekcji opisujemy kilka zalecanych wzorców do wykluczania treści.

Przykładowe wzorce wykluczania

Wyrażenia regularne muszą być zakodowane w formacie XML w pliku konfiguracji XML zasad.

[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))

<!--#(include|exec|echo|config|printenv)\s+.*

<!--#(include|exec|echo|config|printenv)\s+.*

(/(@?[\w_?\w:\*]+(\[[^]]+\])*)?)+

/?(ancestor(-or-self)?|descendant(-or-self)?|following(-sibling))

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

.*?Exception in thread.*

Ustawianie nagłówka Content-Type w żądaniu z ładunkiem XML lub JSON

Ładunek w zasadach ochrony wyrażeń regularnych może zawierać te elementy:

• Element <XMLPayload>: określa, że informacje należy wyodrębnić z ładunku XML i ocenić za pomocą podanego wyrażenia regularnego.

  Jeśli w zasadzie używasz atrybutu <XMLPayload>, nagłówek Content-Type żądania musi być typem treści XML, takim jak application/xml lub text/xml.

• Element <JSONPayload>: określa, że informacje należy wyodrębnić z ładunku JSON i ocenić za pomocą podanego wyrażenia regularnego.

  Jeśli w zasadzie używasz <JSONPayload>, nagłówek Content-Type żądania musi być typem treści JSON, np. application/json.

Zazwyczaj projektujesz interfejs API tak, by akceptował XML lub JSON. Może się jednak zdarzyć, że interfejs API zaakceptuje oba te elementy. Następnie możesz zdefiniować zasadę ochrony wyrażeń regularnych, która będzie zawierać zarówno elementy <XMLPayload>, jak i <JSONPayload>. Na podstawie wartości nagłówka Content-Type do określonego żądania zostanie zastosowany tylko 1 element.

Odwołanie do elementu

Dokumentacja elementów opisuje elementy i atrybuty zasady RegularExpressionProtection.

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">
   <DisplayName>Regular Expression Protection 1</DisplayName>
   <Source>response</Source>
   <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
   <URIPath>
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </URIPath>
   <QueryParam name="a-query-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </QueryParam>
   <Header name="a-header">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Header>
   <FormParam name="a-form-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </FormParam>
   <Variable name="request.content">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Variable>
   <XMLPayload>
     <Namespaces>
       <Namespace prefix="apigee">http://www.apigee.com</Namespace>
     </Namespaces>
     <XPath>
       <Expression>/apigee:Greeting/apigee:User</Expression>
       <Type>string</Type>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </XPath>
   </XMLPayload>
   <JSONPayload>
     <JSONPath>
       <Expression>$.store.book[*].author</Expression>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </JSONPath>
    </JSONPayload>
</RegularExpressionProtection>

Atrybuty <RegularExpressionProtection>

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">

Tabela poniżej zawiera opis atrybutów wspólnych dla wszystkich elementów nadrzędnych zasad:

Element <DisplayName>

Użyj oprócz atrybutu name, aby oznaczyć zasadę w edytorze serwera proxy interfejsu zarządzania inną nazwą w języku naturalnym.

<DisplayName>Policy Display Name</DisplayName>

Element <Source>

Wskazuje komunikat, z którego należy wyodrębnić informacje.

Jeśli pominiesz element <Source>, wartość domyślna to message. Na przykład: <Source>message</Source>. Gdy ma wartość message, po dołączeniu do przepływu żądania zasada używa komunikatu żądania jako źródła. Podobnie zasada używa wiadomości z odpowiedzią dołączonej do procesu odpowiedzi.

Jeśli nie można rozwiązać problemu lub jeśli zostanie wyświetlony typ inny niż wiadomość, zasada zwraca błąd.

<Source>response</Source>

Element <IgnorujNierozpoznane zmienne>

Określa, czy zasada zwraca błąd, gdy napotka niemożliwą do rozpoznania zmienną.

Jeśli zasada ma wartość false (domyślną), w przypadku wystąpienia nierozstrzygniętej zmiennej zwracany jest błąd. Jeśli ma wartość true, nierozstrzygnięta zmienna jest traktowana jako pusty ciąg znaków (Null).

<IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

Element <uriPath>

Określa, że informacje trzeba wyodrębnić ze ścieżki identyfikatora URI żądania i sprawdzić je za pomocą podanych wyrażeń regularnych. Musisz podać co najmniej 1 element <Pattern> z określonym wzorcem dopasowania wyrażenia regularnego.

<URIPath>
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</URIPath>

Element <QueryParam>

Określa, że informacje muszą zostać wyodrębnione z parametru zapytania żądania i oceniane na podstawie podanych wyrażeń regularnych. Musisz podać co najmniej 1 element <Pattern> z określonym wzorcem dopasowania wyrażenia regularnego.

<QueryParam name="a-query-param">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</QueryParam>

Atrybuty

Element <Header>

Określa, że informacje muszą zostać wyodrębnione z nagłówków żądania i odpowiedzi oraz oceniane na podstawie podanych wyrażeń regularnych. Musisz podać co najmniej 1 element <Pattern> z określonym wzorcem dopasowania wyrażenia regularnego.

<Header name="a-header">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</Header>

Atrybuty

Element <FormParam>

Określa, że informacje trzeba wyodrębnić z parametru formularza żądania i sprawdzić je za pomocą podanych wyrażeń regularnych. Musisz podać co najmniej 1 element <Pattern> z określonym wzorcem dopasowania wyrażenia regularnego.

<FormParam name="a-form-param">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>     
</FormParam>

Atrybuty

Element <Zmienna>

Określa, że informacje trzeba wyodrębnić z danej zmiennej i ocenić na podstawie podanych wyrażeń regularnych.

<Variable name="request.content">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</Variable>

Atrybuty

Element <XMLPayload>

Określa, że informacje muszą zostać wyodrębnione z ładunku XML i ocenione za pomocą dostępnych wyrażeń regularnych.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

Element <XMLPayload>/<Namespaces>

Określa przestrzenie nazw do użycia podczas oceny XPath.

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

Element <XMLPayload>/<przestrzenie nazw>/<przestrzeni nazw>

<Namespaces>
   <Namespace prefix="apigee">http://www.apigee.com</Namespace>
</Namespaces>

Atrybuty

Element <XMLPayload>/<XPath>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <XMLPayload>/<XPath>/<Expression>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <XMLPayload>/<XPath>/<Type>

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <XMLPayload>/<XPath>/<Pattern>

Definiuje wzorzec wyrażenia regularnego. Jeśli wyrażenie regularne w elemencie <Pattern> zawiera znaki zarezerwowane w formacie XML („, &, ', < lub .), przed jego umieszczeniem musisz zakodować je w formacie XML.

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

Element <JSONPayload>

Określa, że informacje trzeba wyodrębnić z ładunku JSON i ocenić za pomocą podanych wyrażeń regularnych.

<JSONPayload>
   <JSONPath>
      <Expression>$.store.book[*].author</Expression>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </JSONPath>
</JSONPayload>

Atrybuty

Element <JSONPayload>/<JSONPath>/<Expression>

Określa wyrażenie JSONPath zdefiniowane dla zmiennej.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

Element <JSONPayload>/<JSONPath>/<Wzorzec>

Definiuje wzorzec wyrażenia regularnego. Jeśli wyrażenie regularne w elemencie <Pattern> zawiera znaki zarezerwowane w formacie XML („, &, ', < lub .), przed jego umieszczeniem musisz zakodować je w formacie XML.

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

Informacje o błędach

W tej sekcji opisujemy kody błędów, zwracane komunikaty i zmienne błędów ustawione przez Edge, gdy ta zasada wywołuje błąd. Te informacje są ważne, aby wiedzieć, czy opracowujesz reguły dotyczące błędów w przypadku błędów. Jeśli chcesz przechwycić błąd i zgłosić własny błąd niestandardowy, ustaw atrybut continueOnError="true" w głównym elemencie zasad. Więcej informacji znajdziesz w sekcjach Co musisz wiedzieć o błędach zasad i Postępowanie w przypadku błędów.

Błędy zwracane z zasad Edge mają spójny format opisany w Informacjach na temat kodów błędów.

Błędy w czasie wykonywania

Te błędy mogą wystąpić podczas wykonywania zasady.

Błędy wdrażania

Zmienne błędów

Te zmienne są ustawiane, gdy zasada wywołuje błąd. Więcej informacji znajdziesz w artykule Co musisz wiedzieć o błędach związanych z naruszeniem zasad.

Schematy

Powiązane artykuły

Zasada ochrony przed zagrożeniami JSON

Zasada ochrony przed zagrożeniami XML