Chính sách về XMLThreatProtection

Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào tài liệu Apigee X. thông tin

Nội dung

Khắc phục các lỗ hổng XML và giảm thiểu các cuộc tấn công vào API của bạn. Bạn có thể phát hiện các cuộc tấn công bằng tải trọng XML dựa trên các giới hạn đã định cấu hình. Lọc các mối đe doạ XML bằng cách sử dụng các phương pháp sau:

• Xác thực thông báo dựa trên giản đồ XML (.xsd)
• Đánh giá nội dung tin nhắn theo các từ khoá hoặc mẫu cụ thể cần loại trừ
• Phát hiện các thông báo bị hỏng hoặc sai định dạng trước khi những thông báo đó được phân tích cú pháp

Tài liệu tham khảo về phần tử

Tài liệu tham khảo về phần tử mô tả các phần tử và thuộc tính của chính sách XMLThreatProtection.

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

Thuộc tính <XMLThreatProtection>

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> 

Bảng sau đây mô tả những thuộc tính chung cho tất cả phần tử mẹ của chính sách:

&lt;DisplayName&gt; phần tử

Hãy sử dụng cùng với thuộc tính name để gắn nhãn chính sách trong phần trình chỉnh sửa proxy giao diện người dùng quản lý có tên ngôn ngữ tự nhiên khác.

<DisplayName>Policy Display Name</DisplayName>

Phần tử <NameLimits>

Chỉ định giới hạn ký tự mà chính sách sẽ kiểm tra và thực thi.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Phần tử <NameLimits>/<Element>

Chỉ định giới hạn về số lượng ký tự tối đa được phép trong bất kỳ tên phần tử nào trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Khi phân tích XML ở trên, giá trị phần tử <Element> trong đoạn mã chính sách dưới đây sẽ xác thực rằng tên phần tử (book, title, author và year)) không vượt quá 10 ký tự.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Phần tử <NameLimits>/<Attribute>

Chỉ định giới hạn về số lượng ký tự tối đa được phép trong bất kỳ tên thuộc tính nào trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Khi phân tích XML ở trên, giá trị phần tử <Attribute> trong đoạn mã chính sách bên dưới sẽ xác thực rằng tên thuộc tính category không vượt quá 10 ký tự.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Phần tử <NameLimits>/<NamespacePrefix>

Chỉ định giới hạn về số lượng ký tự tối đa được phép trong tiền tố không gian tên trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Khi phân tích tệp XML ở trên, giá trị phần tử <NamespacePrefix> trong đoạn mã chính sách bên dưới sẽ xác thực rằng tiền tố không gian tên ns1 không vượt quá 10 ký tự.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Phần tử <NameLimits>/<ProcessingInstructionTarget>

Chỉ định giới hạn về số lượng ký tự tối đa được phép trong đích của mọi chỉ thị xử lý trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Khi phân tích XML ở trên, giá trị phần tử <ProcessingInstructionTarget> trong đoạn mã chính sách bên dưới sẽ xác thực rằng mục tiêu chỉ thị xử lý xml-stylesheet không vượt quá 10 ký tự.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Phần tử <Source>

Thông báo cần được sàng lọc để phát hiện các cuộc tấn công bằng tải trọng XML. Thông thường, bạn sẽ đặt giá trị này thành request vì thường thì bạn sẽ cần xác thực các yêu cầu đến từ ứng dụng khách. Khi được đặt thành message, phần tử này sẽ tự động đánh giá thông báo yêu cầu khi được đính kèm vào luồng yêu cầu và thông báo phản hồi khi được đính kèm vào luồng phản hồi.

<Source>request</Source>

Phần tử <StructuralLimits>

Chỉ định các giới hạn về cấu trúc mà chính sách sẽ kiểm tra và thực thi.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Phần tử <StructuralLimits>/<NodeDepth>

Chỉ định độ sâu tối đa của nút được phép trong XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Phần tử <StructuralLimits>/<AttributeCountPerElement>

Chỉ định số lượng thuộc tính tối đa được phép cho mọi phần tử.

Ví dụ: hãy xem xét đoạn mã XML sau:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Phần tử <StructuralLimits>/<NameSpaceCountPerElement>

Chỉ định số lượng tối đa các định nghĩa không gian tên được phép cho bất kỳ phần tử nào.

Ví dụ: hãy xem xét đoạn mã XML sau:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Khi phân tích XML ở trên, giá trị phần tử <NamespaceCountPerElement> trong đoạn mã chính sách bên dưới sẽ xác thực rằng các phần tử e1 và e2 không có quá 2 định nghĩa không gian tên cho mỗi phần tử. Trong trường hợp này, <e1> có 0 định nghĩa không gian tên và <e2> có 2 định nghĩa không gian tên: xmlns="http://apigee.com" và xmlns:yahoo="http://yahoo.com".

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<ChildCount> element

Chỉ định số lượng tối đa các phần tử con được phép cho bất kỳ phần tử nào.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Thuộc tính

Phần tử <ValueLimits>

Chỉ định giới hạn ký tự cho các giá trị mà chính sách sẽ kiểm tra và thực thi.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Phần tử <ValueLimits>/<Text>

Chỉ định giới hạn ký tự cho mọi nút văn bản có trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Phần tử <ValueLimits>/<Attribute>

Chỉ định giới hạn ký tự cho mọi giá trị thuộc tính có trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Phần tử <ValueLimits>/<NamespaceURI>

Chỉ định giới hạn ký tự cho mọi URI không gian tên có trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Phần tử <ValueLimits>/<Comment>

Chỉ định giới hạn ký tự cho mọi bình luận có trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Phần tử <ValueLimits>/<ProcessingInstructionData>

Chỉ định giới hạn ký tự cho mọi văn bản hướng dẫn xử lý có trong tài liệu XML.

Ví dụ: hãy xem xét đoạn mã XML sau:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Tham chiếu lỗi

Phần này mô tả các mã lỗi và thông báo lỗi được trả về cũng như các biến lỗi do Edge đặt khi chính sách này kích hoạt lỗi. Thông tin này rất quan trọng nếu bạn đang phát triển các quy tắc lỗi để xử lý lỗi. Để tìm hiểu thêm, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách và Xử lý lỗi.

Lỗi thời gian chạy

Những lỗi này có thể xảy ra khi chính sách này thực thi.

Lưu ý:

• Tên lỗi ExecutionFailed là tên lỗi mặc định và sẽ được trả về bất kể loại lỗi được phát hiện; Tuy nhiên, bạn có thể thay đổi chế độ mặc định này bằng cách đặt thuộc tính cấp tổ chức. Khi bạn đặt thuộc tính này, tên lỗi sẽ phản ánh . Ví dụ: "TextĐã vượt quá" hoặc "AttrValueVượt quá". Hãy xem Ghi chú sử dụng để chi tiết.
• Trạng thái HTTP 500 là trạng thái mặc định; tuy nhiên, Trạng thái HTTP có thể được thay đổi thành 400 đối với lỗi luồng yêu cầu bằng cách đặt thuộc tính cấp tổ chức. Hãy xem Ghi chú sử dụng để chi tiết.

Lỗi triển khai

Không có.

Biến lỗi

Các biến này được đặt khi xảy ra lỗi thời gian chạy. Để biết thêm thông tin, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách.

Ví dụ về phản hồi khi gặp lỗi

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Ví dụ về quy tắc lỗi

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Giản đồ

Lưu ý về cách sử dụng

Bất kỳ máy chủ nào nhận dữ liệu trực tuyến đều có thể bị tấn công, dù là cố ý hay vô tình. Một số cuộc tấn công tận dụng tính linh hoạt của XML bằng cách tạo các tài liệu không hợp lệ có khả năng xâm nhập vào các hệ thống phụ trợ. Tài liệu XML bị hỏng hoặc cực kỳ phức tạp có thể khiến máy chủ phân bổ nhiều bộ nhớ hơn mức có sẵn, làm cạn kiệt tài nguyên CPU và bộ nhớ, làm hỏng trình phân tích cú pháp, đồng thời thường vô hiệu hoá quá trình xử lý thông báo và tạo các cuộc tấn công từ chối dịch vụ ở cấp ứng dụng.

Lỗi cấu hình biện pháp bảo vệ khỏi mối đe doạ

Thông tin quan trọng nếu bạn đang tạo FaultRules cho chính sách này: Theo mặc định, Edge sẽ gửi mã trạng thái Lỗi máy chủ nội bộ HTTP 500 và mã lỗi ExecutionFailed nếu một thông báo không vượt qua được chính sách Bảo vệ khỏi mối đe doạ JSON hoặc XML. Bạn có thể thay đổi hành vi lỗi đó bằng một thuộc tính mới ở cấp tổ chức. Khi bạn đặt thuộc tính org features.isPolicyHttpStatusEnabled thành true, hành vi sau đây sẽ xảy ra:

• Yêu cầu: Khi một chính sách bảo vệ khỏi mối đe doạ được đính kèm vào bất kỳ luồng yêu cầu nào, các thông báo không hợp lệ sẽ trả về mã trạng thái 400 Yêu cầu không hợp lệ, cùng với mã lỗi chính sách tương ứng (thay vì chỉ ExecutionFailed).
• Phản hồi: Khi có chính sách bảo vệ khỏi mối đe doạ được đính kèm vào bất kỳ luồng phản hồi nào, các thông báo không hợp lệ vẫn trả về mã trạng thái 500 Lỗi máy chủ nội bộ và một trong các mã lỗi chính sách tương ứng sẽ được gửi (thay vì chỉ ExecutionFailed).

Khách hàng Cloud phải liên hệ với Nhóm hỗ trợ Apigee Edge để thiết lập thuộc tính tổ chức.

Chủ đề có liên quan

Chính sách bảo vệ khỏi mối đe doạ JSON

Chính sách bảo vệ biểu thức chính quy