Zasada XMLThreatProtection

Przeglądasz dokumentację Apigee Edge.
Przejdź do Dokumentacja Apigee X. informacje.

Co

Eliminuj luki w zabezpieczeniach kodu XML i zminimalizuj liczbę ataków na interfejs API. Opcjonalnie wykrywaj ładunek XML ataków opartych na skonfigurowanych limitach. Filtruj zagrożenia związane z plikami XML za pomocą: podejścia:

• Weryfikowanie wiadomości przy użyciu schematu XML (.xsd)
• Oceń treść wiadomości pod kątem określonych słów kluczowych lub wzorców, które chcesz wykluczyć
• Wykrywaj uszkodzone lub uszkodzone wiadomości, zanim zostaną one przeanalizowane

Odwołanie do elementu

Odwołanie do elementu opisuje elementy i atrybuty obiektu XMLThreatProtection .

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

<XMLThreatProtection> atrybuty

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> 

W tej tabeli opisano atrybuty wspólne dla wszystkich elementów nadrzędnych zasad:

<DisplayName> element

Używaj oprócz atrybutu name do oznaczania zasady w edytor proxy interfejsu zarządzania z inną nazwą w języku naturalnym.

<DisplayName>Policy Display Name</DisplayName>

<NameLimits> element

Określa limity znaków, które mają być sprawdzane i egzekwowane przez zasadę.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<Element> element

Określa limit maksymalnej liczby znaków dozwolonej w dowolnej nazwie elementu w pliku XML dokument.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Podczas analizowania powyższego kodu XML wartość elementu <Element> w zasadzie Fragment poniżej zweryfikuje, że nazwy elementów (book , title, author i year) nie przekraczają 10 znaków.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<Attribute> element

Określa limit maksymalnej liczby znaków dozwolonej w nazwie atrybutu w atrybucie Dokument XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Podczas analizowania powyższego kodu XML wartość elementu <Attribute> w zasadzie poniższy fragment kodu sprawdzi, czy nazwa atrybutu category nie przekracza 10 znaków.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<NamespacePrefix> element

Określa limit maksymalnej liczby znaków dozwolonej w prefiksie przestrzeni nazw w Dokument XML.

Weźmy na przykład ten kod XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Analizując powyższy kod XML, wartość elementu <NamespacePrefix> w parametrze poniższy fragment zasad sprawdzi, czy prefiks przestrzeni nazw ns1 nie przekracza 10 znaków.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<NameLimits>/<ProcessingInstructionTarget> element

Określa limit maksymalnej liczby znaków w elemencie docelowym z instrukcjami przetwarzania w dokumencie XML.

Weźmy na przykład ten kod XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Podczas analizowania powyższego kodu XML element <ProcessingInstructionTarget> w poniższym fragmencie zasad sprawdzi się, czy cel instrukcji przetwarzania Maksymalna liczba znaków w polu xml-stylesheet wynosi 10.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

<Source> element

Komunikat kontroli pod kątem ataków ładunków XML. Najczęściej jest to wartość request, ponieważ zwykle trzeba zweryfikować żądania przychodzące z aplikacji klienckich. Gdy ustawisz wartość message, ten element automatycznie sprawdzi wiadomość z prośbą. po dołączeniu do procesu żądania i komunikatu z odpowiedzią (po dołączeniu do odpowiedzi). przepływu danych.

<Source>request</Source>

<StructuralLimits> element

Określa limity strukturalne, które mają być sprawdzane i egzekwowane przez zasadę.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<NodeDepth> element

Określa maksymalną głębokość węzła w pliku XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<AttributeCountPerElement> element

Określa maksymalną liczbę atrybutów dozwolonych dla dowolnego elementu.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

<StructuralLimits>/<NameSpaceCountPerElement> element

Określa maksymalną liczbę definicji przestrzeni nazw dozwoloną dla każdego elementu.

Weźmy na przykład ten kod XML:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Podczas analizowania powyższego kodu XML wartość elementu <NamespaceCountPerElement> w poniższym fragmencie zasad sprawdzi, czy elementy e1 i e2 nie mają więcej niż 2 definicji przestrzeni nazw każda. W tym przypadku tag <e1> ma 0 definicji przestrzeni nazw. <e2> ma 2 przestrzenie nazw definicje: xmlns="http://apigee.com" oraz xmlns:yahoo="http://yahoo.com"

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

&lt;StructuralLimits&gt;/&lt;ChildCount&gt; element

Określa maksymalną liczbę elementów podrzędnych dozwolonych dla dowolnego elementu.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Atrybuty

&lt;ValueLimits&gt; element

Określa limit znaków dla wartości, które mają być sprawdzane i egzekwowane przez zasadę.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Text&gt; element

Określa limit znaków dla wszystkich węzłów tekstowych w dokumencie XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Attribute&gt; element

Określa limit znaków dla dowolnej wartości atrybutu w dokumencie XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;NamespaceURI&gt; element

Określa limit znaków dla dowolnych identyfikatorów URI przestrzeni nazw znajdujących się w dokumencie XML.

Weźmy na przykład ten kod XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;Comment&gt; element

Określa limit znaków dla komentarzy w dokumencie XML.

Weźmy na przykład ten kod XML:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

&lt;ValueLimits&gt;/&lt;ProcessingInstructionData&gt; element

Określa limit znaków dla dowolnego tekstu instrukcji przetwarzania znajdującego się w pliku XML. dokument.

Weźmy na przykład ten kod XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Informacje o błędzie

W tej sekcji opisano kody błędów i komunikaty o błędach, które są zwracane, oraz zmienne błędów ustawiane przez Edge, gdy ta zasada wyzwala błąd. Warto o tym wiedzieć, jeśli rozwijasz reguły błędów, aby obsługi błędów. Więcej informacji znajdziesz w artykule Co musisz wiedzieć o błędach związanych z zasadami i postępowaniu z błędami

Błędy w czasie wykonywania

Te błędy mogą wystąpić podczas wykonywania zasady.

Uwagi:

• Nazwa błędu ExecutionFailed to domyślna nazwa błędu i będzie zwracana niezależnie od tego, typ wykrytego błędu; ale można je zmienić, ustawiając usłudze na poziomie organizacji. Jeśli określisz tę właściwość, nazwa błędu będzie odzwierciedlać . Na przykład „TextExceeded” lub „AttrValueExceeded”. Zobacz informacje o korzystaniu z .
• Domyślnym stanem jest HTTP 500. ale stan HTTP można zmienić na 400 przez błędy w przepływie żądania przez ustawienie usługi na poziomie organizacji. Zobacz informacje o korzystaniu z .

Błędy wdrażania

Brak.

Zmienne błędów

Te zmienne są ustawiane po wystąpieniu błędu działania. Więcej informacji znajdziesz w artykule Podstawowe informacje o błędach związanych z naruszeniem zasad.

Przykładowa odpowiedź na błąd

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Przykładowa reguła błędu

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Schematy

Zastosowanie

Każdy serwer odbierający dane online jest podatny na atak, zarówno złośliwy, jak i niezamierzony. Niektóre ataki wykorzystują elastyczność języka XML, tworząc nieprawidłowe dokumenty może zagrażać bezpieczeństwu systemów. Uszkodzone lub bardzo złożone dokumenty XML mogą powoduje, że serwery przydzielają więcej pamięci, niż jest dostępne, przez co łączą zasoby procesora i pamięci usterki parserów, a także wyłączenie przetwarzania wiadomości i tworzenia na poziomie aplikacji ataki typu DoS.

Konfiguracja błędu ochrony przed zagrożeniami

Ważne informacje dotyczące tworzenia reguł FaultRule dla tej zasady: domyślnie Edge zgłasza kod stanu wewnętrznego błędu serwera HTTP 500 i błąd ExecutionFailed w przypadku, gdy wiadomość nie przejdzie poza zasady ochrony przed zagrożeniami w formacie JSON lub XML. Możesz zmienić z nową usługą na poziomie organizacji. Podczas ustawiania organizacji właściwość features.isPolicyHttpStatusEnabled ma wartość true (prawda), następujące zachowanie zachodzi:

• Żądanie: gdy do każdego przepływu żądań dołączona jest zasada ochrony przed zagrożeniami, nieprawidłowe wiadomości zwraca kod stanu nieprawidłowego żądania 400 wraz z odpowiednim błędem związanym z zasadami. (a nie tylko ExecutionFailed).
• Odpowiedź: gdy do dowolnego przepływu odpowiedzi dołączono zasadę ochrony przed zagrożeniami, nieprawidłowe wiadomości nadal zwracają kod stanu wewnętrznego błędu serwera 500, a także jeden z zgłaszane są odpowiednie kody błędów związanych z zasadami (a nie tylko ExecutionFailed);

Klienci Cloud muszą skontaktować się z zespołem pomocy Apigee Edge, aby ustawić usłudze organizacji.

Powiązane artykuły

Zagrożenie w JSON Zasady ochrony

Zwykłe zasady ochrony wyrażeń