Вы просматриваете документацию Apigee Edge .
Перейдите в документацию Apigee X.info
Вы можете предпринять действия для перехвата подозрительных запросов, например, блокировать запросы или помечать их для специальной обработки в ваших API-прокси. Вы также можете явно разрешить запросы с определенных IP-адресов.
Как работают действия
В консоли Apigee Sense вы можете явно разрешать, блокировать или помечать запросы от определенных клиентов. Apigee Edge применяет эти действия к запросам до того, как ваши API-прокси обработают их. Как правило, вы предпринимаете действия либо потому, что запросы соответствуют шаблонам нежелательного поведения, либо (в случае действия «Разрешить») потому, что хотите исключить клиента из уже предпринятых вами запретительных действий.
Чтобы определить, на какие запросы следует реагировать, используйте отчет об обнаружении (в консоли Apigee Sense щелкните меню «Обнаружение», затем «Отчет»), чтобы выявить модели поведения запросов, которые вы хотите заблокировать или пометить. Например, в отчете об обнаружении может быть указано, что набор запросов демонстрирует поведение «метода перебора паролей». Вы можете принять меры для блокировки запросов с этих IP-адресов.
Вы можете предпринять следующие действия.
| Действие | Описание | порядок приоритета |
|---|---|---|
| Позволять | Разрешите запросы в выбранной категории. Вы можете использовать действие «Разрешить», чтобы явно разрешить запросы с определенных IP-адресов клиентов, несмотря на другие действия, которые могут повлиять на этот IP-адрес. Например, вы можете разрешить запросы с внутреннего или партнерского IP-адреса клиента, несмотря на то, что они соответствуют «нежелательному» поведению. | 1 |
| Блокировать | Блокируйте запросы в выбранной категории. Если вы решите полностью заблокировать запросы, Apigee Edge ответит клиенту кодом состояния 403. | 2 |
| Флаг | Помечайте запросы в выбранной категории, чтобы иметь возможность обрабатывать их в коде API-прокси. Когда вы помечаете запросы клиента, Apigee Edge добавляет к запросу заголовок X-SENSE-BOT-DETECTED со значением SENSE . Ваш API-прокси может отвечать в зависимости от наличия этого заголовка, например, отправлять клиенту определенный ответ. | 3 |
Порядок приоритета действий Apigee Sense
Apigee Sense применяет действия в порядке приоритета, от «Разрешить» к «Блокировать» и «Пометить». Например, если для данного IP-адреса включены как действие «Разрешить», так и действие «Блокировать», Apigee Sense применит действие «Разрешить» и проигнорирует действие «Блокировать».
Apigee Sense обеспечивает порядок приоритета, поскольку к одному IP-адресу можно применять несколько действий, даже не осознавая этого. Это происходит потому, что обычно вы выполняете действие, связанное с определенным поведением — например, блокируете попытки перебора паролей — с которым связано множество IP-адресов. Когда вы позже выполняете другое действие с одним IP-адресом — например, выделяете дружественный IP-адрес для разрешения доступа — для этого IP-адреса активируются как действие, примененное к определенному поведению, так и действие, примененное к отдельному IP-адресу. Однако для запросов с данного IP-адреса применяется только действие с наивысшим приоритетом.
Таким образом, хотя для IP-адреса можно разрешить действия всех трех типов, действие «Разрешить» будет иметь приоритет над действиями «Заблокировать» или «Пометить».
Выявление запросов и клиентов для принятия мер.
В консоли Apigee Sense вы можете фильтровать и группировать подозрительных клиентов по их происхождению и причине подозрительности. После того, как вы выделите нужную группу, вы можете предпринять действия в отношении IP-адресов в этой группе, например, заблокировать их.
Вы можете фильтровать подозрительных клиентов по следующим разделам:
| Раздел | Описание |
|---|---|
| Причина использования одного бота | Причина, по которой запрос вызывает подозрение. Подробнее о причинах см. ниже. |
| Группа причин для бота | Набор причин, связанных с одним или несколькими IP-адресами. Например, анализ мог выявить четыре IP-адреса, запросы которых соответствовали критериям по трем причинам. |
| Страна | Страна, из которой поступил запрос. |
| Автономная организация системы | Организация AS, от которой поступил запрос. |
Причины
При анализе API-запросов Apigee Sense измеряет запросы, используя критерии, определяющие, является ли поведение запроса подозрительным. Если запросы с IP-адреса соответствуют критериям, указывающим на причину подозрительной активности, Apigee Sense сообщает об этом в своей консоли.
В таблице ниже описаны причины, по которым запросы классифицируются как подозрительные. На портале вы можете увидеть список критериев и отфильтровать клиентов, отправляющих подозрительные запросы, по этим причинам.
Вы также можете настроить критерии в соответствии с потребностями использования вашего API. Подробнее см. раздел «Настройка правил обнаружения» .
| Причина | Зафиксированное поведение |
|---|---|
| Грубый Угадатель | Более высокая доля ошибок при ответах за предыдущие 24 часа. |
| Превышение квоты контента | Дополнительные запросы после ошибки 403 из-за превышения квоты контента |
| Вор контента | Несколько сессий OAuth с большим объемом трафика в течение 5 минут. |
| Парсер контента | Большое количество запросов URI в течение 5 минут. |
| Отдельная ОС | В течение 5 минут использовалось несколько семейств операционных систем. |
| Отдельные семейства пользовательских агентов | В течение 5-минутного интервала использовалось несколько семейств пользовательских агентов. |
| Наводнение | Высокая доля трафика с IP-адресов в течение 5-минутного интервала. |
| Гессор | Большое количество ошибок ответа в течение 5 минут. |
| Вход в систему Guessor | Большой объем трафика по небольшому количеству URI в течение 5-минутного интервала. |
| Нарушитель OAuth | За последние 24 часа зафиксировано большое количество сессий OAuth с небольшим числом пользовательских агентов. |
| OAuth Collector | За последние 24 часа зафиксировано большое количество сессий OAuth с небольшим числом семейств пользовательских агентов. |
| OAuth Harvestor | Большое количество сессий OAuth со значительным трафиком в течение 5-минутного окна. |
| Робот-насильник | За последние 24 часа зафиксировано больше ошибок с кодом 403. |
| Краткая сессия | Большое количество коротких сессий OAuth |
| Парсер статического контента | Высокая доля ответных данных с IP-адресов, размер которых превышает необходимый за 5 минут. |
| Шторм | Несколько резких скачков интенсивности движения в течение 5 минут. |
| Торнадо | Постоянные всплески трафика в течение 5 минут. |
| Правило списка Tor | IP-адрес получен из проекта TOR и запускает как минимум одно другое правило бота. |