Начало работы с консолью Apigee Sense

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

В этой статье рассказывается о консоли Apigee Sense. В консоли можно посмотреть результаты анализа трафика к прокси API с помощью Apigee Sense. Если вы обнаружите, что клиенты отправляют подозрительные запросы, например при атаке ботов, вы можете заблокировать или пометить запросы с IP-адреса этого клиента.

Как описано в статье Что такое Apigee Sense?, Apigee Sense собирает и анализирует данные о запросах к вашим API. На основе этого анализа Apigee Sense выявляет шаблоны, которые могут представлять подозрительные запросы. В консоли Apigee Sense можно просматривать результаты анализа запросов и выполнять с ними различные действия.

1. Откройте новый интерфейс Edge.

2. В новом интерфейсе Edge нажмите на меню Анализ, а затем выберите Sense.

   

3. На странице Анализ вы увидите графическое представление активности запросов, в том числе подозрительных.

4. В правом верхнем углу консоли выберите организацию Apigee Edge, для которой хотите посмотреть данные о запросах.

   Организация, содержащая прокси API, для которых Apigee Sense собирает данные запросов.

5. В левом верхнем углу выберите дату, для которой у вас есть данные анализа Apigee Sense.

   После выбора даты на графиках этой страницы будет показана общая информация об анализе Apigee Sense, в том числе о трафике запросов.

   

Как посмотреть сводку анализа запроса

Вы можете получить общее представление о подозрительной активности. Используя эти данные, вы можете получить более подробную информацию.

1. В верхней части страницы нажмите на меню Обнаружение > Отчет, чтобы посмотреть данные о подозрительной активности, обнаруженной в запросах.

   На странице Отчет об анализе ботов в разделе Подозрительный трафик ботов вверху страницы приводится сводная информация о трафике с показателями, относящимися к подозрительным запросам.

   На странице "Обнаружение" также представлены два вида подозрительной активности.

   • Представление "Разделы" группирует клиентов по причине, по которой Apigee Sense считает их подозрительными.
   • В списке клиенты, отправившие запрос, перечислены по IP-адресу, а также указаны другие аспекты данных.

2. В разделе "Разбиение" можно посмотреть трафик, разбитый на шаблоны, которые представляют подозрительную активность. Подробнее о действиях в случае подозрительной активности… Запросы, сгруппированные по этим шаблонам, являются результатом анализа данных запросов с помощью Apigee Sense.

   Не все запросы, соответствующие шаблону, являются злоупотреблением. Вы хотите получить очень большое количество ботов и/или трафика.

   Например, шаблон Попытка входа представляет собой большое количество попыток доступа к прокси-серверу в течение 24 часов. На изображении ниже очень высокое значение Количество ботов (относительно других шаблонов) указывает на то, что большое количество клиентов пытается в течение одного дня получить доступ к прокси-серверу для входа в систему. Поэтому стоит изучить этот шаблон.

   

Как использовать подробные сведения об анализе

Если вы обнаружили группу запросов, которые могут быть частью подозрительной активности, например атаки ботов, вы можете посмотреть более подробную информацию о них. Чтобы выявлять настоящие атаки ботов, вам нужно будет сочетать анализ Apigee Sense с собственными знаниями о клиентах, вызывающих ваши API.

1. В разделе Partition View (Представление разделов) на странице Detection (Обнаружение) найдите нужный шаблон, например с большим количеством ботов, и нажмите кнопку View (Посмотреть), чтобы узнать, что он означает.

   Здесь вы можете посмотреть подробную информацию о действиях, соответствующих выбранному шаблону. В списке, показанном на изображении, есть несколько важных элементов:

   

   • Большое количество IP-адресов – почти тысяча за 24 часа.
   • За этими IP-адресами стоит сравнительно небольшое количество автономных систем (АС), которые географически широко распределены.
   • Количество трафика ботов довольно стабильно и составляет около 250–260 для каждого IP-адреса. Также это отражено в показателе Доля трафика ботов.

   Вся эта информация указывает на то, что запросы с этих IP-адресов представляют собой скоординированную автоматизированную атаку на URI для входа.

2. Чтобы посмотреть подробную информацию об отдельном клиенте, нажмите на один из IP-адресов в левом столбце.

3. Нажмите на вкладку Обнаружение, чтобы посмотреть, что Apigee Sense обнаружил в запросах с этого IP-адреса.

   

   В верхней части диалогового окна вы увидите список действий, обнаруженных Apigee Sense для запросов с этого IP-адреса.

   В разделе Обнаружение используйте категории в раскрывающемся списке, чтобы определить, как Apigee Edge должен обрабатывать запросы, поступающие с IP-адреса. Например, следующие категории значений помогут вам определить, является ли IP-адрес источником атаки:

   • Код статуса ответа. Если в списке преобладают коды ошибок, например 500, это означает, что клиент многократно отправлял неправильные запросы. Иными словами, клиент просто отправляет запрос повторно, не зная о результате ошибки.
   • URI запроса. Некоторые URI особенно важны как точки атаки. Один из них – URI для входа.

4. Нажмите на вкладку Защита, чтобы посмотреть список правил защиты, которые уже включены для запросов с этого IP-адреса.

   

   Правила перечислены в порядке приоритета: вверху – действие с наивысшим приоритетом (Разрешить), внизу – с наименьшим (Пометить). В Apigee Sense можно выполнять различные действия с одним IP-адресом. Обычно это происходит, когда вы выполняете действие с поведением, которое включает несколько IP-адресов, например блокируете пользователей, пытающихся угадать пароль. Однако некоторые IP-адреса могут соответствовать нежелательным моделям поведения, например Brute Guessor, но при этом быть дружественными, например когда вы или партнер тестируете систему. В таком случае вы разрешите эти IP-адреса независимо от их поведения. Таким образом, хотя для IP-адреса будут включены действия всех трех типов, действие "Разрешить" будет иметь приоритет над действиями "Заблокировать" и "Пометить".

   После того как вы убедитесь, что IP-адрес принадлежит клиенту, с которым вы хотите взаимодействовать, вы можете перехватывать его запросы.

5. В подробном представлении нажмите кнопку Закрыть.

Как реагировать на подозрительные запросы клиентов

Вы уверены, что хотите перехватывать запросы определенного клиента, например при атаке ботов? Создайте правило, чтобы блокировать или отмечать запросы от клиента до того, как они достигнут ваших прокси-серверов.

1. На странице Обнаружение в отчете об анализе ботов нажмите на вкладку Разбивка, чтобы вернуться к списку шаблонов.

   В разделе "Разбиение" обратите внимание, что список шаблонов сократился и теперь содержит только тот шаблон, который вы выбрали ранее. Это связано с тем, что, когда вы выбрали просмотр шаблона, полный список результатов был отфильтрован по этому шаблону. Шаблоны, по которым выполняется фильтрация, показываются в поле Фильтры в верхней части страницы.

2. В строке с шаблоном нажмите кнопку Действие, чтобы указать, что нужно делать с запросами от IP-адресов, соответствующих шаблону.

3. В диалоговом окне Compose Rule (Создать правило) укажите, как Apigee Edge будет реагировать на запросы от IP-адресов, которые выполняют вызовы по выбранному вами шаблону.

   

   Здесь вы зададите правило, которое Apigee Edge будет использовать при получении запросов с IP-адреса, соответствующего шаблону.

   1. Введите название нового правила, например Block login attempters.

   2. В списке фильтров выберите действие, которое Apigee Edge должен выполнить:

      • Разрешите запросу пройти через ваш прокси-сервер, как и раньше.
      • Блокировать запрос полностью до того, как прокси начнет его обрабатывать.
      • Пометить запрос, добавив в него специальный заголовок HTTP, который может искать ваш прокси-сервер. Apigee Edge добавит заголовок X-SENSE-BOT-DETECTED со значением SENSE. Например, вы можете настроить прокси-сервер так, чтобы при получении запроса от определенного клиента отправлять ему поддельные данные. В прокси-сервере вы будете проверять заголовки входящих запросов и соответствующим образом реагировать на запросы, помеченные как подозрительные.

   3. В поле Правила убедитесь, что правила, которые вы хотите использовать при создании правила, отображаются в Apigee Sense.

   4. В поле Активно выберите Да, чтобы включить правило.

   5. Выберите период, по истечении которого правило должно перестать действовать (Apigee Edge перестанет его применять).

4. Нажмите Создать, чтобы отправить правило в Apigee Edge.

Как посмотреть созданные вами правила

Если вы настроили правила для определенных клиентов, вы можете управлять ими на странице "Правила защиты".

1. В верхней части страницы нажмите на меню Защита > Правила, чтобы посмотреть список действующих правил.
2. На странице Правила защиты можно посмотреть список созданных вами правил. Вы можете:
   • Введите значение в строку поиска, чтобы отфильтровать правила по значениям в списке, например по названию или IP-адресу.
   • Посмотреть сведения о правиле или узнать, с какими IP-адресами вы выполняете действия.
   • Нажмите на значение в столбце Правила фильтрации, чтобы посмотреть, из чего состоит правило.
   • Включать и отключать правила.