Zasada XMLThreatProtection

Przeglądasz dokumentację Apigee Edge.
Przejdź do Dokumentacja Apigee X. informacje.

Co

Eliminuj luki w zabezpieczeniach kodu XML i zminimalizuj liczbę ataków na interfejs API. Opcjonalnie wykrywaj ładunek XML ataków opartych na skonfigurowanych limitach. Filtruj zagrożenia związane z plikami XML za pomocą: podejścia:

• Weryfikowanie wiadomości przy użyciu schematu XML (.xsd)
• Oceń treść wiadomości pod kątem określonych słów kluczowych lub wzorców, które chcesz wykluczyć
• Wykrywaj uszkodzone lub uszkodzone wiadomości, zanim zostaną one przeanalizowane

Odwołanie do elementu

Odwołanie do elementu opisuje elementy i atrybuty obiektu XMLThreatProtection .

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

<XMLThreatProtection> atrybuty

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> 

W tej tabeli opisano atrybuty wspólne dla wszystkich elementów nadrzędnych zasad:

<DisplayName> element

Używaj oprócz atrybutu name do oznaczania zasady w edytor proxy interfejsu zarządzania z inną nazwą w języku naturalnym.

<DisplayName>Policy Display Name</DisplayName>

<NameLimits> element

Określa limity znaków, które mają być sprawdzane i egzekwowane przez zasadę.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<Element> element

Określa limit maksymalnej liczby znaków dozwolonej w dowolnej nazwie elementu w pliku XML dokument.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Podczas analizowania powyższego kodu XML wartość elementu <Element> w zasadzie Fragment poniżej zweryfikuje, że nazwy elementów (book , title, author i year) nie przekraczają 10 znaków.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<Attribute> element

Określa limit maksymalnej liczby znaków dozwolonej w nazwie atrybutu w atrybucie Dokument XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Podczas analizowania powyższego kodu XML wartość elementu <Attribute> w zasadzie poniższy fragment kodu sprawdzi, czy nazwa atrybutu category nie przekracza 10 znaków.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<NamespacePrefix> element

Określa limit maksymalnej liczby znaków dozwolonej w prefiksie przestrzeni nazw w Dokument XML.

Weźmy na przykład ten kod XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Analizując powyższy kod XML, wartość elementu <NamespacePrefix> w parametrze poniższy fragment zasad sprawdzi, czy prefiks przestrzeni nazw ns1 nie przekracza 10 znaków.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<ProcessingInstructionTarget> element

Określa limit maksymalnej liczby znaków w elemencie docelowym z instrukcjami przetwarzania w dokumencie XML.

Weźmy na przykład ten kod XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Podczas analizowania powyższego kodu XML element <ProcessingInstructionTarget> w poniższym fragmencie zasad sprawdzi się, czy cel instrukcji przetwarzania Maksymalna liczba znaków w polu xml-stylesheet wynosi 10.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<Source> element

Komunikat kontroli pod kątem ataków ładunków XML. Najczęściej jest to wartość request, ponieważ zwykle trzeba weryfikować żądania przychodzące z aplikacji klienckich. Gdy ustawisz wartość message, ten element automatycznie sprawdzi wiadomość z prośbą. po dołączeniu do procesu żądania i komunikatu z odpowiedzią (po dołączeniu do odpowiedzi). przepływu danych.

<Source>request</Source>

<StructuralLimits> element

Określa limity strukturalne, które mają być sprawdzane i egzekwowane przez zasadę.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<NodeDepth> element

Określa maksymalną głębokość węzła w pliku XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<AttributeCountPerElement> element

Określa maksymalną liczbę atrybutów dozwolonych dla dowolnego elementu.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<NameSpaceCountPerElement> element

Określa maksymalną liczbę definicji przestrzeni nazw dozwoloną dla każdego elementu.

Weźmy na przykład ten kod XML:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Podczas analizowania powyższego kodu XML wartość elementu <NamespaceCountPerElement> w poniższym fragmencie zasad sprawdzi, czy elementy e1 i e2 nie mają więcej niż 2 definicji przestrzeni nazw każda. W tym przypadku tag <e1> ma 0 definicji przestrzeni nazw. <e2> ma 2 przestrzenie nazw definicje: xmlns="http://apigee.com" oraz xmlns:yahoo="http://yahoo.com"

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

&lt;StructuralLimits&gt;/&lt;ChildCount&gt; element

Określa maksymalną liczbę elementów podrzędnych dozwolonych dla dowolnego elementu.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Atrybuty

&lt;ValueLimits&gt; element

Określa limit znaków dla wartości, które mają być sprawdzane i egzekwowane przez zasadę.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Text&gt; element

Określa limit znaków dla wszystkich węzłów tekstowych w dokumencie XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Attribute&gt; element

Określa limit znaków dla dowolnej wartości atrybutu w dokumencie XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;NamespaceURI&gt; element

Określa limit znaków dla dowolnych identyfikatorów URI przestrzeni nazw znajdujących się w dokumencie XML.

Weźmy na przykład ten kod XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Comment&gt; element

Określa limit znaków dla komentarzy w dokumencie XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;ProcessingInstructionData&gt; element

Określa limit znaków dla dowolnego tekstu instrukcji przetwarzania znajdującego się w pliku XML. dokument.

Weźmy na przykład ten kod XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Informacje o błędzie

This section describes the fault codes and error messages that are returned and fault variables that are set by Edge when this policy triggers an error. This information is important to know if you are developing fault rules to handle faults. To learn more, see What you need to know about policy errors and Handling faults.

Runtime errors

These errors can occur when the policy executes.

Notes:

• The error name ExecutionFailed is the default error name and will be returned regardless of the type of error detected; however, this default can be changed by setting an organization-level property. When this property is set, the error name will reflect the actual error. For example, "TextExceeded" or "AttrValueExceeded". See Usage Notes for details.
• The 500 HTTP status is the default; however, the HTTP Status can be changed to 400 for request flow faults by setting an organization-level property. See Usage Notes for details.

Deployment errors

None.

Fault variables

These variables are set when a runtime error occurs. For more information, see What you need to know about policy errors.

Example error response

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Example fault rule

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Schematy

Zastosowanie

Każdy serwer odbierający dane online jest podatny na atak, zarówno złośliwy, jak i niezamierzony. Niektóre ataki wykorzystują elastyczność języka XML, tworząc nieprawidłowe dokumenty może zagrażać bezpieczeństwu systemów. Uszkodzone lub bardzo złożone dokumenty XML mogą powoduje, że serwery przydzielają więcej pamięci, niż jest dostępne, przez co łączą zasoby procesora i pamięci usterki parserów, a także wyłączenie przetwarzania wiadomości i tworzenia na poziomie aplikacji ataki typu DoS.

Konfiguracja błędu ochrony przed zagrożeniami

Ważne informacje dotyczące tworzenia reguł FaultRule dla tej zasady: domyślnie Edge zgłasza kod stanu wewnętrznego błędu serwera HTTP 500 i błąd ExecutionFailed w przypadku, gdy wiadomość nie przejdzie poza zasady ochrony przed zagrożeniami w formacie JSON lub XML. Możesz zmienić z nową usługą na poziomie organizacji. Podczas ustawiania organizacji właściwość features.isPolicyHttpStatusEnabled ma wartość true (prawda), następujące zachowanie zachodzi:

• Żądanie: gdy do każdego przepływu żądań dołączona jest zasada ochrony przed zagrożeniami, nieprawidłowe wiadomości zwraca kod stanu nieprawidłowego żądania 400 wraz z odpowiednim błędem związanym z zasadami. (a nie tylko ExecutionFailed).
• Odpowiedź: gdy do dowolnego przepływu odpowiedzi dołączono zasadę ochrony przed zagrożeniami, nieprawidłowe wiadomości nadal zwracają kod stanu wewnętrznego błędu serwera 500, a także jeden z zgłaszane są odpowiednie kody błędów związanych z zasadami (a nie tylko ExecutionFailed);

Klienci Cloud muszą skontaktować się z zespołem pomocy Apigee Edge, aby ustawić usłudze organizacji.

Powiązane artykuły

Zagrożenie w JSON Zasady ochrony

Zwykłe zasady ochrony wyrażeń