המדיניות של XMLThreatProtection

מוצג המסמך של Apigee Edge.
עוברים אל מסמכי תיעוד של Apigee X. מידע

מה

טיפול בנקודות חולשה ב-XML וצמצום התקפות על ה-API. אופציונלי: זיהוי מטען ייעודי (payload) של XML מתקפות על בסיס מגבלות שהוגדרו. סינון איומי XML באמצעות הפקודה הבאה גישות:

• אימות הודעות מול סכימת XML (.xsd)
• הערכת תוכן ההודעה לפי מילות מפתח או דפוסים ספציפיים שצריך להחריג
• לזהות הודעות פגומות או לא תקינות לפני ניתוח ההודעות האלה

הפניה לרכיב

בהפניה לרכיב מתוארים הרכיבים והמאפיינים של XMLThreatProtection המדיניות בנושא

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

<XMLThreatProtection> מאפיינים

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> 

בטבלה הבאה מתוארים מאפיינים שמשותפים לכל רכיבי ההורה של המדיניות:

<DisplayName> רכיב

צריך להשתמש בנוסף למאפיין name כדי להוסיף תווית למדיניות עורך proxy של ממשק משתמש לניהול עם שם אחר בשפה טבעית.

<DisplayName>Policy Display Name</DisplayName>

<NameLimits> רכיב

מציינת את מגבלות התווים שצריך לבדוק ולאכוף באמצעות המדיניות.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<Element> רכיב

מציינת את המגבלה על מספר התווים המקסימלי שמותר לכל שם רכיב ב-XML מהמסמך.

למשל, שימו לב ל-XML הבא:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

בניתוח ה-XML שלמעלה, ערך הרכיב <Element> במדיניות קטע הקוד שבהמשך יאמת את שמות הרכיבים (book , title, author ו-year) לא חורגים מ-10 תווים.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<Attribute> רכיב

מציינת מגבלה על מספר התווים המקסימלי שמותר לכל שם מאפיין מסמך XML.

למשל, שימו לב ל-XML הבא:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

בניתוח ה-XML שלמעלה, ערך הרכיב <Attribute> במדיניות קטע הקוד שבהמשך יאמת ששם המאפיין category לא עולה על 10 תווים.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<NamespacePrefix> רכיב

מציינת מגבלה על מספר התווים המקסימלי שמותר בקידומת של מרחב השמות מסמך XML.

למשל, שימו לב ל-XML הבא:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

בניתוח ה-XML שלמעלה, ערך הרכיב <NamespacePrefix> בקובץ ה-XML קטע הקוד של המדיניות הבא יאשר שהקידומת של מרחב השמות ns1 לא חורגת מהמגבלה 10 תווים.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<ProcessingInstructionTarget> רכיב

מציינת מגבלה על מספר התווים המקסימלי שמותר לכלול ביעד של כל רכיב הוראות לעיבוד במסמך ה-XML.

למשל, שימו לב ל-XML הבא:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

בניתוח ה-XML שלמעלה, הרכיב <ProcessingInstructionTarget> בערך בקטע הקוד של המדיניות שלמטה, יתבצע אימות שהיעד של הוראה לעיבוד מידע xml-stylesheet לא חורגת מ-10 תווים.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<Source> רכיב

הודעה שצריך לבדוק אם יש התקפות מטען ייעודי (payload) של XML. בדרך כלל ההגדרה הזו היא request, מכיוון שבדרך כלל צריך לאמת בקשות נכנסות מאפליקציות של לקוח. אם הערך שמוגדר הוא message, הרכיב הזה יעריך באופן אוטומטי את הודעת הבקשה כאשר הם מצורפים לתהליך הבקשה ולהודעת התשובה כשהיא מצורפת לתשובה .

<Source>request</Source>

<StructuralLimits> רכיב

מציינת את המגבלות המבניות לבדיקה ולאכיפה של המדיניות.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<NodeDepth> רכיב

מציינת את עומק הצומת המקסימלי המותר ב-XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<AttributeCountPerElement> רכיב

מציינת את מספר המאפיינים המקסימלי שמותר לכל רכיב.

למשל, שימו לב ל-XML הבא:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<NameSpaceCountPerElement> רכיב

מציינת את המספר המקסימלי של הגדרות מרחב שמות שמותרות לכל רכיב.

למשל, שימו לב ל-XML הבא:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

בניתוח ה-XML שלמעלה, ערך הרכיב <NamespaceCountPerElement> בקטע הקוד של המדיניות שבהמשך יתבצע אימות שהרכיבים e1 ו-e2 לא יכולות לכלול יותר מ-2 הגדרות של מרחב שמות, כל אחת. במקרה הזה, ל-<e1> יש 0 הגדרות של מרחב שמות וגם ל-<e2> יש 2 מרחב שמות הגדרות: xmlns="http://apigee.com" ו xmlns:yahoo="http://yahoo.com"

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

&lt;StructuralLimits&gt;/&lt;ChildCount&gt; רכיב

מציינת את המספר המקסימלי של רכיבי צאצא שמותר לכל רכיב.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

מאפיינים

&lt;ValueLimits&gt; רכיב

מציינת מגבלות תווים כדי שהערכים שייבדקו וייאכפו על ידי המדיניות.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Text&gt; רכיב

מציינת מגבלת תווים לכל צומתי טקסט שנמצאים במסמך ה-XML.

למשל, שימו לב ל-XML הבא:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Attribute&gt; רכיב

מציינת מגבלת תווים לכל ערכי מאפיינים במסמך ה-XML.

למשל, שימו לב ל-XML הבא:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;NamespaceURI&gt; רכיב

מציינת מגבלת תווים לכל מזהה URI של מרחב שמות שנמצא במסמך ה-XML.

למשל, שימו לב ל-XML הבא:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Comment&gt; רכיב

מציינת מגבלת תווים של תגובות במסמך ה-XML.

למשל, שימו לב ל-XML הבא:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;ProcessingInstructionData&gt; רכיב

מציינת מגבלת תווים לכל טקסט של הוראה לעיבוד שנמצא ב-XML מהמסמך.

למשל, שימו לב ל-XML הבא:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

התייחסות לשגיאות

בקטע הזה מתוארים קודי השגיאה והודעות השגיאה שהוחזרו, ומשתני התקלה שמוגדרים על ידי Edge כשהמדיניות הזו גורמת לשגיאה. חשוב לדעת את המידע הזה אם אתם מפתחים כללי כשל כדי לטפל בתקלות. מידע נוסף זמין במאמר מה צריך לדעת? מידע על שגיאות שקשורות למדיניות וטיפול פגמים.

שגיאות זמן ריצה

השגיאות האלה עשויות להתרחש כשהמדיניות מופעלת.

הערות:

• שם השגיאה ExecutionFailed הוא שם ברירת המחדל של השגיאה והוא יוחזר ללא קשר ל- סוג השגיאה שזוהה, אבל אפשר לשנות את ברירת המחדל הזאת על ידי הגדרה של נכס ברמת הארגון. כשהמאפיין הזה מוגדר, שם השגיאה ישקף את שגיאה. לדוגמה, "חריג את הטקסט" או "AttrValueExceeded". בהערות השימוש מוסבר פרטים.
• סטטוס ה-HTTP 500 הוא ברירת המחדל. עם זאת, ניתן לשנות את מצב HTTP ל-400 שגיאות בתהליך הבקשה על ידי הגדרת נכס ברמת הארגון. בהערות השימוש מוסבר פרטים.

שגיאות פריסה

ללא.

משתני כשל

המשתנים האלה מוגדרים כשמתרחשת שגיאה בסביבת זמן הריצה. מידע נוסף זמין במאמר מה צריך לדעת? על שגיאות שקשורות למדיניות.

דוגמה לתגובת שגיאה

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

דוגמה לכלל שגוי

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

סכימות

הערות שימוש

כל שרת שמקבל נתונים אונליין כפוף למתקפה, בין אם באופן זדוני ובין אם לאו. חלק מהמתקפות מנצלים את הגמישות של XML על ידי בניית מסמכים לא חוקיים את הפוטנציאל לפגוע במערכות עורפיות. מסמכי XML פגומים או מורכבים מאוד שגורמת לשרתים להקצות יותר זיכרון ממה שזמין, מה שמקשר בין משאבי המעבד (CPU) לזיכרון, מנתחים לקריסה, ובדרך כלל השבתה של עיבוד ההודעות ויצירת ברמת האפליקציה התקפות מניעת שירות (DoS).

הגדרה של שגיאות הגנה מאיומים

מידע חשוב במקרה של יצירת כללי שגיאה למדיניות הזו: על ידי כברירת מחדל, Edge יקפיץ את קוד הסטטוס 'שגיאת שרת פנימית' מסוג HTTP 500 ושגיאת ביצוע נכשל קוד אם ההודעה לא עוברת את המדיניות של JSON או XML בנושא הגנה מפני איומים. אפשר לשנות את התנהגות השגיאה הזו בנכס חדש ברמת הארגון. בעת הגדרת הארגון המאפיין features.isPolicyHttpStatusEnabled מוגדר ל-TRUE, הפונקציה הבאה מה קורה:

• בקשה: לכל תהליך בקשה מצורפת מדיניות הגנה מפני איומים, הודעות לא חוקיות מוחזר 400 קוד סטטוס בקשה שגוי יחד עם שגיאה תואמת במדיניות הקוד (במקום רק ExecutionFailed).
• תגובה: לכל תהליך תגובה שמצורפת מדיניות הגנה מפני איומים, יש הודעות לא תקינות עדיין מוחזר קוד הסטטוס 500 Internal Server Error, קודי השגיאות התואמים של המדיניות נעשים (ולא רק ביצוע נכשל).

לקוחות Cloud צריכים לפנות לתמיכה של Apigee Edge כדי להגדיר את מאפיין הארגון.

נושאים קשורים

איום בפורמט JSON מדיניות ההגנה

רגיל המדיניות בנושא הגנה על ביטויים