Erste Schritte mit der Apigee Sense Console

Sie lesen gerade die Dokumentation zu Apigee Edge.
Zur Dokumentation zu Apigee X. info

In diesem Thema erhalten Sie eine Einführung in die Apigee Sense-Konsole. In der Konsole können Sie die Ergebnisse der Apigee Sense-Analyse des Traffics zu Ihren API-Proxys ansehen. Wenn Sie Clients identifizieren, die verdächtige Anfragen stellen, z. B. bei einem Bot-Angriff, können Sie über die Konsole Maßnahmen ergreifen, indem Sie Anfragen von der IP-Adresse dieses Clients blockieren oder kennzeichnen.

Wie unter Was ist Apigee Sense? beschrieben, erfasst und analysiert Apigee Sense Daten zu Anfragen an Ihre APIs. Durch diese Analyse identifiziert Apigee Sense Muster, die verdächtige Anfragen darstellen könnten. Mit der Apigee Sense-Konsole können Sie die Ergebnisse der Anfrageanalyse ansehen und darauf reagieren.

  1. Öffnen Sie die neue Edge-Benutzeroberfläche.

  2. Klicken Sie auf der neuen Edge-Benutzeroberfläche auf das Menü Analysieren und dann auf Sense.

  3. Auf der Seite Sense sehen Sie eine grafische Momentaufnahme der Anfrageaktivität, einschließlich verdächtiger Anfragen.

  4. Wählen Sie rechts oben in der Konsole die Apigee Edge-Organisation aus, für die Sie Anfragedaten ansehen möchten.

    Dies ist die Organisation, die API-Proxys enthält, für die Apigee Sense Anfragedaten erfasst.

  5. Wählen Sie links oben ein Datum aus, für das Sie Apigee Sense-Analysedaten haben.

    Wenn ein Datum ausgewählt ist, bieten die Diagramme auf dieser Seite einen sehr allgemeinen Überblick über die Apigee Sense-Analyse, einschließlich des Anfragetraffics.

Zusammenfassung der Anfrageanalyse ansehen

Sie können sich einen allgemeinen Überblick über verdächtige Aktivitäten verschaffen. So können Sie weitere Details aufrufen.

  1. Klicken Sie oben auf der Seite auf das Menü Erkennung > Bericht, um Daten zu verdächtigen Aktivitäten in Anfragen anzusehen.

    Auf der Seite Bot-Analysebericht fasst der Bereich Mutmaßlicher Bot-Traffic oben den Traffic mit Messwerten zusammen, die speziell auf verdächtige Anfragen zugeschnitten sind.

    Auf der Seite „Erkennung“ gibt es auch zwei Ansichten für verdächtige Aktivitäten.

    • In der Partition View werden Clients nach dem Grund gruppiert, warum Apigee Sense sie als verdächtig einstuft.
    • In der List View werden die anfragenden Clients nach ihrer IP-Adresse aufgelistet, zusammen mit mehreren anderen Aspekten der Daten.

  2. In der Partition View können Sie Traffic ansehen, der in Muster kategorisiert ist, die verdächtige Aktivitäten darstellen. Weitere Informationen zu Mustern finden Sie unter Maßnahmen bei verdächtigen Aktivitäten ergreifen. Der in diesen Mustern gruppierte Anfragetraffic ist das Ergebnis der Apigee Sense-Analyse Ihrer Anfragedaten.

    Nicht alle Anfragen, die einem Muster entsprechen, sind missbräuchlich. Sie suchen nach sehr hohen Bot- und/oder Traffic-Zahlen.

    Das Muster Login Attempter steht beispielsweise für eine große Anzahl von Versuchen, innerhalb von 24 Stunden einen Anmelde-Proxy zu erreichen. In der folgenden Abbildung deutet eine sehr hohe Bot-Anzahl (im Vergleich zu anderen Mustern) darauf hin, dass eine große Anzahl von Clients versucht, innerhalb eines einzigen Tages den Anmelde-Proxy zu erreichen. Dieses Muster ist also eine Untersuchung wert.

Analyse mit Details

Sobald Sie eine Reihe von Anfragen identifiziert haben, die verdächtige Aktivitäten darstellen könnten, z. B. einen Bot-Angriff, können Sie sich eine detailliertere Ansicht der Anfragen ansehen. Um echte Bot-Angriffe zu isolieren, müssen Sie die Apigee Sense-Analyse mit Ihrem eigenen Wissen über Clients kombinieren, die Ihre APIs aufrufen.

  1. Suchen Sie in der Partition View auf der Seite Erkennung nach einem Muster, das Sie interessiert, z. B. eines mit einer sehr hohen Bot-Anzahl, und klicken Sie auf die Schaltfläche Ansehen , um Details zu dem Muster zu sehen.

    Hier sehen Sie eine Drilldown-Ansicht der Aktivitäten, die dem ausgewählten Muster entsprechen. Die Liste enthält einige bemerkenswerte Daten:

    • Es gibt eine große Anzahl von IP-Adressen – fast tausend in 24 Stunden.
    • Hinter diesen IPs steht eine vergleichsweise kleine Anzahl von Organisationen mit autonomen Systemen (AS), die geografisch weit verteilt sind.
    • Die Anzahl des Bot-Traffics ist mit etwa 250 bis 260 pro IP-Adresse ziemlich konstant. Dies wird auch durch den Messwert % des Bot-Traffics dargestellt.

    Zusammengenommen deuten diese Informationen darauf hin, dass Anfragen von diesen IPs einen koordinierten, mechanisierten Angriff auf den Anmelde-URI darstellen.

  2. Wenn Sie noch mehr Details zu einem einzelnen Client sehen möchten, klicken Sie in der linken Spalte auf eine der IP-Adressen.

  3. Klicken Sie auf den Tab Erkennung , um zu sehen, was Apigee Sense über Anfragen von der IP-Adresse herausgefunden hat.

    Oben im Dialogfeld sehen Sie eine Liste der Verhaltensweisen, die Apigee Sense für Anfragen von dieser IP-Adresse erkannt hat.

    Wählen Sie unter Erkennung in der Drop-down-Liste die Kategorien aus, um festzulegen, ob Anfragen von einer IP-Adresse von Apigee Edge anders behandelt werden sollen. Die folgenden Wertkategorien können Ihnen beispielsweise helfen, festzustellen, ob die IP-Adresse einen Angriff darstellt:

    • Antwort-Statuscode. Eine Liste, die von einer hohen Anzahl von Fehlercodes wie 500 dominiert wird, deutet darauf hin, dass ein Client es wiederholt mit der falschen Anfrage versucht. Mit anderen Worten: Ein Client, der die Anfrage einfach wiederholt sendet, ohne sich des Fehlers bewusst zu sein.
    • Anfrage-URI. Einige URIs sind als Angriffspunkte besonders wichtig. Ein Anmelde-URI ist einer davon.

  4. Klicken Sie auf den Tab Schutz , um eine Liste der Schutzregeln zu sehen, die bereits für Anfragen von dieser IP-Adresse aktiviert wurden.

    Die Regeln sind in der Reihenfolge ihrer Priorität aufgeführt, wobei die Aktion mit der höchsten Priorität („Zulassen“) oben und die mit der niedrigsten Priorität („Kennzeichnen“) unten steht. In Apigee Sense können Sie verschiedene Aktionen für eine einzelne IP-Adresse ausführen. Das liegt in der Regel daran, dass Sie Maßnahmen für ein Verhalten ergreifen, das mehrere IP-Adressen umfasst, z. B. um Brute-Force-Angreifer zu blockieren. Einige IP-Adressen passen jedoch möglicherweise zu unerwünschten Verhaltensmustern wie „Brute-Force-Angreifer“, sind aber dennoch freundliche IPs, z. B. wenn Sie oder ein Partner Ihr System testen. In diesem Fall würden Sie diese bestimmten IP-Adressen zulassen , unabhängig von ihrem Verhalten. Obwohl also Aktionen aller drei Typen für die IP-Adresse aktiviert wären, hätte die Aktion „Zulassen“ Vorrang vor einer Aktion „Blockieren“ oder „Kennzeichnen“.

    Nachdem Sie bestätigt haben, dass eine IP-Adresse wahrscheinlich einen Client darstellt, für den Sie Maßnahmen ergreifen möchten, können Sie Anfragen von diesem Client abfangen.

  5. Klicken Sie in der Detailansicht auf die Schaltfläche Schließen.

Maßnahmen für Clients ergreifen, die verdächtige Anfragen stellen

Sie sind sich sicher, dass Sie einen Client haben, dessen Anfragen Sie abfangen möchten, z. B. bei einem Bot-Angriff? Erstellen Sie eine Regel, um Anfragen vom Client zu blockieren oder zu kennzeichnen, bevor die Anfrage Ihre Proxys erreicht.

  1. Klicken Sie auf der Seite Erkennung im Bot-Analysebericht auf den Tab Partition View, um zur Musterliste zurückzukehren.

    In der Partition View wurde die Musterliste verkürzt und enthält nur das Muster, das Sie zuvor ausgewählt haben. Das liegt daran, dass Sie beim Auswählen des Musters die vollständige Liste der Ergebnisse so gefiltert haben, dass nur dieses Muster angezeigt wird. Die Muster, nach denen Sie filtern, werden oben auf der Seite im Feld Filter angezeigt.

  2. Klicken Sie in der Zeile für das Muster auf die Schaltfläche Aktion , um eine Aktion für Anfragen von IPs anzugeben, die dem Muster entsprechen.

  3. Definieren Sie im Dialogfeld Regel erstellen , wie Apigee Edge auf Anfragen von IPs reagieren soll, die Aufrufe im ausgewählten Muster ausführen.

    Hier geben Sie eine Regel an, die Apigee Edge verwendet, wenn Anfragen von einer IP-Adresse im Muster eingehen.

    1. Geben Sie einen Namen für die neue Regel ein, z. B. Block login attempters.

    2. Wählen Sie in der Filter List die Aktion aus, die Apigee Edge ausführen soll:

      • Zulassen : Die Anfrage wird wie gewohnt an den Proxy weitergegeben.
      • Blockieren : Die Anfrage wird vollständig blockiert, bevor der Proxy mit der Verarbeitung beginnt.
      • Kennzeichnen : Die Anfrage wird gekennzeichnet, das heißt, Apigee Edge fügt einen speziellen HTTP-Header hinzu, nach dem Ihr Proxy suchen kann. Apigee Edge fügt einen X-SENSE-BOT-DETECTED Header mit dem Wert SENSE hinzu. Sie können Ihren Proxy beispielsweise so einrichten, dass er bei einer Anfrage von einem bestimmten Client Dummy-Daten zurücksendet, um ihn in die Irre zu führen. In Ihrem Proxy würden Sie die Header eingehender Anfragen prüfen und dann entsprechend reagieren, wenn eine gekennzeichnete Anfrage eingeht.

    3. Bestätigen Sie im Feld Regeln , dass die angezeigten Regeln diejenigen sind, die Apigee Sense beim Erstellen der Regel verwenden soll.

    4. Wählen Sie für Aktiv die Option Ja aus, um die Regel zu aktivieren.

    5. Wählen Sie einen Zeitraum aus, nach dem die Regel ablaufen soll (damit Apigee Edge sie nicht mehr erzwingt).

  4. Klicken Sie auf Erstellen , um die Regel an Apigee Edge zu senden.

Erstellte Regeln überprüfen

Wenn Sie Regeln eingerichtet haben, um auf bestimmte Clients zu reagieren, können Sie die Regeln auf der Seite „Schutzregeln“ verwalten.

  1. Klicken Sie oben auf der Seite auf das Menü Schutz > Regeln, um eine Liste der Regeln aufzurufen, die Sie eingerichtet haben.
  2. Auf der Seite Schutzregeln sehen Sie die Liste der von Ihnen erstellten Regeln. Hier haben Sie folgende Möglichkeiten:
    • Geben Sie einen Wert in das Suchfeld ein, um Regeln nach Werten in der Liste zu filtern, z. B. nach Name oder IP-Adresse.
    • Details zu einer Regel ansehen oder herausfinden, für welche IPs Sie Maßnahmen ergreifen.
    • Klicken Sie in der Spalte Regeln filtern auf einen Wert, um zu sehen, wie die Regel dort aussieht.
    • Regeln aktivieren oder deaktivieren.