Questa pagina è stata tradotta dall'API Cloud Translation.

Criterio XMLThreatProtection

Stai visualizzando la documentazione di Apigee Edge.
Vai alla documentazione di Apigee X. informazioni

Cosa

Risolvi le vulnerabilità XML e riduci al minimo gli attacchi alla tua API. Facoltativamente, rileva gli attacchi di payload XML in base ai limiti configurati. Confronta le minacce XML utilizzando i seguenti approcci:

Nota: questo criterio viene eseguito solo se il valore Content-Type dell'intestazione della richiesta o della risposta è impostato su application/xml.

Convalida i messaggi in base a uno schema XML (.xsd)
Valuta i contenuti del messaggio in base a parole chiave o pattern specifici da escludere
Rileva i messaggi corrotti o non corretti prima che vengano analizzati

Riferimento elemento

Il riferimento all'elemento descrive gli elementi e gli attributi del criterio XMLThreatProtection.

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

Attributi <XMLThreatProtection>

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">

La tabella seguente descrive gli attributi comuni a tutti gli elementi principali dei criteri:

Attributo	Descrizione	Predefinito	Presenza
`name`	Il nome interno della norma. Il valore dell'attributo `name` può contenere lettere, numeri, spazi, trattini, trattini bassi e punti. Questo valore non può superare i 255 caratteri. Facoltativamente, utilizza l'elemento `<DisplayName>` per etichettare il criterio nell'editor proxy dell'interfaccia utente di gestione con un nome diverso in linguaggio naturale.	N/A	Obbligatorie
`continueOnError`	Impostalo su `false` per restituire un errore in caso di errore di un criterio. Questo è il comportamento previsto per la maggior parte dei criteri. Imposta su `true` per fare in modo che l'esecuzione del flusso continui anche in caso di errore di un criterio.	false	Facoltativo
`enabled`	Imposta il criterio su `true` per applicare il criterio. Impostala su `false` per disattivare il criterio. Il criterio non verrà applicato anche se rimane associato a un flusso.	true	Facoltativo
`async`	Questo attributo è obsoleto.	false	Deprecata

Elemento <DisplayName>

Utilizzalo in aggiunta all'attributo name per etichettare il criterio nell'editor proxy dell'interfaccia utente di gestione con un nome diverso in linguaggio naturale.

<DisplayName>Policy Display Name</DisplayName>

Predefinito

Predefinito	N/A Se ometti questo elemento, viene utilizzato il valore dell'attributo `name` del criterio.
Presenza	Facoltativo
Tipo	Stringa

N/A

Se ometti questo elemento, viene utilizzato il valore dell'attributo name del criterio.

Presenza Facoltativo

Tipo Stringa

Elemento <NameLimits>

Specifica i limiti di caratteri che devono essere controllati e applicati dal criterio.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Predefinito:	N/A
Presenza:	Facoltativo
Tipo:	N/A

Elemento <NameLimits>/<Element>

Specifica un limite per il numero massimo di caratteri consentiti nel nome di qualsiasi elemento nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <Element> nello snippet delle norme riportato di seguito consente di verificare che i nomi degli elementi (book, title, author e year) non superino i 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <NameLimits>/<Attribute>

Specifica un limite per il numero massimo di caratteri consentiti nel nome di qualsiasi attributo nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <Attribute> nello snippet del criterio riportato di seguito consente di verificare che il nome dell'attributo category non superi 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <NameLimits>/<NamespacePrefix>

Specifica un limite per il numero massimo di caratteri consentiti nel prefisso dello spazio dei nomi nel documento XML.

Ad esempio, considera il seguente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <NamespacePrefix> nello snippet del criterio riportato di seguito confermerà che il prefisso dello spazio dei nomi ns1 non supera 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <NameLimits>/<processingInstructionTarget>

Specifica un limite al numero massimo di caratteri consentiti nel target di qualsiasi istruzione di elaborazione nel documento XML.

Ad esempio, considera il seguente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <ProcessingInstructionTarget> nello snippet del criterio riportato di seguito consente di verificare che il target dell'istruzione di elaborazione xml-stylesheet non superi i 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <Source>

Messaggio da filtrare per attacchi di payload XML. Di solito è impostato su request, perché in genere devi convalidare le richieste in entrata dalle app client. Se impostato su message, questo elemento valuterà automaticamente il messaggio della richiesta se allegato al flusso di richiesta e il messaggio di risposta se allegato al flusso di risposta.

<Source>request</Source>

Predefinito: richiesta

Presenza: Facoltativo

Tipo:

Stringa.

Scegli tra request, response o message.

Elemento <StructuralLimits>

Specifica i limiti strutturali che devono essere controllati e applicati dal criterio.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Predefinito:	N/A
Presenza:	Facoltativo
Tipo:	N/A

Elemento <StructuralLimits>/<Nodedepth>

Specifica la profondità massima dei nodi consentita nel file XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <StructuralLimits>/<AttributeCountPerElement>

Specifica il numero massimo di attributi consentiti per ogni elemento.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi il codice XML riportato sopra, il valore dell'elemento <AttributeCountPerElement> nello snippet del criterio riportato di seguito confermerà che gli elementi book, title, author e year non hanno più di 2 attributi ciascuno. Tieni presente che gli attributi utilizzati per la definizione degli spazi dei nomi non vengono conteggiati.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <StructuralLimits>/<NameSpaceCountPerElement>

Specifica il numero massimo di definizioni dello spazio dei nomi consentite per qualsiasi elemento.

Ad esempio, considera il seguente XML:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <NamespaceCountPerElement> nello snippet del criterio riportato di seguito confermerà che gli elementi e1 e e2 non hanno ciascuno più di 2 definizioni dello spazio dei nomi ciascuno. In questo caso, <e1> ha 0 definizioni dello spazio dei nomi e <e2> ha 2 definizioni dello spazio dei nomi: xmlns="http://apigee.com" e xmlns:yahoo="http://yahoo.com".

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <StructuralLimits>/<ChildCount>

Specifica il numero massimo di elementi secondari consentiti per ogni elemento.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Attributi

Attributo	Predefinito	Presenza
includeComment	true	Facoltativo
includeElement	true	Facoltativo
includeProcessingInstructions	true	Facoltativo
includeText	true	Facoltativo

Elemento <ValueLimits>

Specifica i limiti di caratteri per i valori che devono essere controllati e applicati dal criterio.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Predefinito:	N/A
Presenza:	Facoltativo
Tipo:	N/A

Elemento <ValueLimits>/<Text>

Specifica un limite di caratteri per tutti i nodi di testo presenti nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi il codice XML riportato sopra, il valore dell'elemento <Text> nello snippet di criteri riportato di seguito confermerà che i valori di testo dell'elemento Learning XML,

Erik T.
Ray,

e 2003 non superano i 15 caratteri ciascuno.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<Attribute>

Specifica un limite di caratteri per i valori degli attributi presenti nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi il codice XML riportato sopra, il valore dell'elemento <Attribute> nello snippet del criterio riportato di seguito conferma che il valore dell'attributo WEB non supera i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<NamespaceURI>

Specifica un limite di caratteri per tutti gli URI dello spazio dei nomi presenti nel documento XML.

Ad esempio, considera il seguente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <NamespaceURI> nello snippet del criterio riportato di seguito conferma che il valore dell'URI dello spazio dei nomi http://ns1.com non supera i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<Comment>

Specifica un limite di caratteri per tutti i commenti presenti nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <Comment> nello snippet delle norme riportato di seguito confermerà che il testo del commento This is a comment non supera i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<ProcessingInstructionData>

Specifica un limite di caratteri per il testo delle istruzioni di elaborazione presente nel documento XML.

Ad esempio, considera il seguente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Quando analizzi il codice XML riportato sopra, il valore dell'elemento <ProcessingInstructionData> nello snippet delle norme riportato di seguito confermerà che il testo dell'istruzione di elaborazione type="text/xsl" href="style.xsl" non supera i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di `-1`, che equivale a nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Messaggi di errore

Nota: questo criterio viene eseguito solo se il valore Content-Type dell'intestazione della richiesta o della risposta è impostato su application/xml.

Questa sezione descrive i codici e i messaggi di errore restituiti e le variabili di errore impostate da Edge quando questo criterio attiva un errore. Queste informazioni sono importanti per sapere se si stanno sviluppando regole di errore per gestire gli errori. Per scoprire di più, consulta gli articoli Cosa devi sapere sugli errori relativi alle norme e Gestione degli errori.

Errori di runtime

Questi errori possono verificarsi quando il criterio viene eseguito.

Codice di errore	Stato HTTP	Causa
`steps.xmlthreatprotection.ExecutionFailed`	500	Il criterio XMLThreatProtection può generare molti tipi diversi di errori ExecutionFailed. La maggior parte di questi errori si verifica quando viene superata una soglia specifica impostata nel criterio. Questi tipi di errore includono: lunghezza del nome dell'elemento, conteggio figlio, profondità del nodo, conteggio attributi, lunghezza del nome dell'attributo e molti altri. Puoi visualizzare l'elenco completo nell'argomento Risoluzione degli errori di runtime dei criteri XMLThreatProtection.
`steps.xmlthreatprotection.InvalidXMLPayload`	500	Questo errore si verifica se il payload dei messaggi di input specificato dall'elemento `<Source>` del criterio XMLThreatProtection non è un documento XML valido.
`steps.xmlthreatprotection.SourceUnavailable`	500	Questo errore si verifica se la variabile message specificata nell'elemento `<Source>` è: Fuori ambito (non disponibile nel flusso specifico in cui viene eseguito il criterio) Non è uno dei valori validi `request`, `response` o `message`
`steps.xmlthreatprotection.NonMessageVariable`	500	Questo errore si verifica se l'elemento `<Source>` è impostato su una variabile non di tipo message.

Note

Il nome di errore ExecutionFailed è il nome di errore predefinito e verrà restituito indipendentemente dal tipo di errore rilevato; tuttavia, questo valore predefinito può essere modificato impostando una proprietà a livello di organizzazione. Se viene impostata questa proprietà, il nome dell'errore rifletterà l'errore effettivo. Ad esempio, "TextExceeded" o "AttrValueExceeded". Vedi Note sull'utilizzo per i dettagli.
Lo stato HTTP 500 è il valore predefinito; tuttavia, lo stato HTTP può essere modificato in 400 per errori del flusso delle richieste impostando una proprietà a livello di organizzazione. Vedi Note sull'utilizzo per i dettagli.

Errori di deployment

Nessuna.

Variabili di errore

Queste variabili vengono impostate quando si verifica un errore di runtime. Per maggiori informazioni, consulta la sezione Cosa devi sapere sugli errori relativi ai criteri.

Variabili	Dove	Esempio
`fault.name="fault_name"`	`fault_name` è il nome dell'errore, come indicato nella tabella Errori di runtime riportata sopra. Il nome del guasto è l'ultima parte del codice di errore.	`fault.name Matches "SourceUnavailable"`
`xmlattack.policy_name.failed`	`policy_name` è il nome specificato dall'utente del criterio che ha generato l'errore.	`xmlattack.XPT-SecureRequest.failed = true`

Esempio di risposta di errore

Nota: per la gestione degli errori, la best practice consiste nell'eseguire il trap della parte errorcode della risposta di errore. Non fare affidamento sul testo in faultstring, perché potrebbe cambiare.

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Esempio di regola di errore

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Schemi

Note sull'utilizzo

Qualsiasi server che riceve dati online è soggetto ad attacchi, dannosi o non intenzionali. Alcuni attacchi sfruttano la flessibilità di XML creando documenti non validi che possono potenzialmente compromettere i sistemi di backend. I documenti XML corrotti o estremamente complessi possono causare l'allocazione di più memoria da parte dei server di quella disponibile, l'utilizzo delle risorse di CPU e memoria, l'arresto anomalo di parser e, in generale, la disattivazione dell'elaborazione dei messaggi e la creazione di attacchi denial of service a livello di applicazione.

Configurazione degli errori di protezione dalle minacce

Informazioni importanti se crei FaultRules per questo criterio: per impostazione predefinita, Edge genera un codice di stato HTTP 500 Internal Server Error e un codice di errore ExecutionFailed se un messaggio non supera un criterio di protezione dalle minacce JSON o XML. Puoi modificare questo comportamento di errore con una nuova proprietà a livello di organizzazione. Quando la proprietà dell'organizzazione features.isPolicyHttpStatusEnabled viene impostata su true, si verifica il seguente comportamento:

Richiesta: con un criterio di protezione dalle minacce associato a qualsiasi flusso di richiesta, i messaggi non validi restituiscono un codice di stato 400 Bad Request, insieme al codice di errore del criterio corrispondente (anziché solo ExecutionFailed).
Risposta: con un criterio di protezione dalle minacce collegato a qualsiasi flusso di risposta, i messaggi non validi restituiscono comunque un codice di stato Errore interno del server 500 e viene generato uno dei codici di errore del criterio corrispondenti (anziché solo ExecutionFailed).

I clienti Cloud devono contattare l'assistenza Apigee Edge per impostare la proprietà dell'organizzazione.

Private Cloud: i clienti Private Cloud possono impostare la proprietà con una chiamata API come la seguente.

curl -u email:password -X POST -H "Content-type:application/xml" http://host:8080/v1/o/myorg -d \
"<Organization type="trial" name="MyOrganization">
    <Environments/>
    <Properties>
        <Property name="features.isPolicyHttpStatusEnabled">true</Property>
        ...
    </Properties>
</Organization>"

Argomenti correlati

Criterio di protezione dalle minacce JSON

Norme di protezione delle espressioni regolari