Apigee에서는 고객이 자신의 엔드포인트를 Apigee에서 스캔하고 테스트하는 것이 허용되며, 심지어 권장됩니다. 스캔으로 인해 서비스 문제가 발생할 경우 스캔을 인지할 수 있도록 스캔에 대한 알림만 요구됩니다. 계획된 테스트를 Apigee에 알리기 위해서는 테스트 시작 최소 1일 전(업무일 기준) 지원 티켓을 열고 다음 세부정보를 제공합니다.
테스트 날짜(시간대를 포함한 시작 날짜 및 예상 종료 날짜)
테스트를 수행하는 사람/회사 이름
테스트를 수행하는 사람의 연락처 정보
테스트의 소스 IP 주소
타겟/대상 IP 및 테스트 대상 시스템의 이름(API 엔드포인트 이름)
고객 계약에는 테스트가 특별히 금지되지 않습니다. Apigee에서 고객의 자체 엔드포인트 테스트 및 구성에 대한 금지 사항이 없기 때문에 승인 이메일 전송 또는 승인 문서 서명이 수행되지 않습니다.
고객 테스트 중 Apigee 플랫폼 자체 문제로 여겨지는 취약점이 발견된 경우 표준 지원 티켓을 사용해서 이 정보를 Apigee에 제출하도록 요구됩니다. 지원 티켓을 열고 문제를 적절하게 추적, 에스컬레이션, 해결할 수 있습니다.
고객이 표준 Apigee 지원 프로세스를 통해 취약점 보고를 제출하는 경우 지원 팀이 해당 티켓을 검토하고 필요에 따라 이를 보안팀 및 엔지니어링팀으로 에스컬레이션합니다. 보고된 취약점에 대해 추가 정보가 필요한 경우 Google 보안팀 또는 엔지니어링팀에서 직접 후속 조치가 취해질 수 있지만 일반적으로 고객에게는 해당 티켓으로 응답이 제공됩니다.
Apigee의 Google 스캔
Apigee는 Apigee를 매주 스캔합니다. 하지만 이러한 스캔은 내부 목적으로 사용되며 고객들에게 공유되지 않습니다. Google 스캔은 공개적으로 노출된 엔드포인트 및 내부 인프라를 조사합니다. 이러한 스캔은 누락된 패치, 취약점, 잘못 구성된 호스트, 잘못된 TLS 구성 등을 찾습니다. 이러한 작업은 '플랫폼 보안'을 위한 Google 약정에 해당합니다.
고객과 직접 관련된 문제가 식별되었고 명백하게 잘못 구성된 경우에는 이를 해당 고객에게 알립니다. 하지만 고객에서 일반 텍스트 및 TLS 구성이 모두 사용되고, 일부 고객은 공개 데이터에 대해 Apigee를 사용하고 다른 일부 고객은 PCI 또는 의료 또는 기타 PII 유형 데이터에 대해 Apigee를 사용하기 때문에 모든 고객들에게 항상 적합한 대상을 확정할 수는 없습니다.
이러한 Google 스캔은 PCI 및 기타 산업 또는 규정 표준에 요구되는 대로 고객 측에서 엔드포인트 테스트 및 보안 구성 확인에 대한 책임을 성실하게 이행함으로써 고객에 사용되지 않을 수 있습니다.
고객은 Apigee에서 보안 또는 규정 준수 요구에 맞게 엔드포인트에 대해 자체 테스트를 수행하는 것이 좋습니다. 자세한 내용은 이 문서의 고객 요청 Apigee 테스트를 참조하세요.
고객 Apigee Hybrid 테스트
Apigee Hybrid 고객은 자신의 네트워크에 Apigee 소프트웨어가 있기 때문에 고객이 소프트웨어를 테스트하도록 허용됩니다. 고객이 직접 관리하는 시스템 또는 서비스의 테스트에는 제한사항이 없습니다.
하지만 따라서 Apigee는 Apigee Hybrid 고객에게 테스트 보고서를 제공하지 않습니다. Apigee는 고객에게 출시되기 전 Apigee 코드에서 멀웨어 스캔을 수행합니다.
하이브리드 고객의 경우 API 처리 서비스가 고객 네트워크 내에 있고 관리 인터페이스는 Apigee Cloud에 있습니다. 관리 인터페이스 테스트 제한사항에 대한 자세한 내용은 이 문서의 고객 요청 Apigee Cloud 테스트 섹션을 참조하세요.
Pantheon 또는 Acquia에서 호스팅되는 Apigee 지원 개발자 포털에 대한 고객 테스트
고객은 Pantheon 또는 Acquia에서 호스팅되는 자신의 포털에서 침투 시험을 수행할 수 있습니다.
Apigee 및 Pantheon(또는 Acquia)에 먼저 알림을 제공해야 하며, 고객이 Apigee에 지원 티켓을 개설하여 이를 수행할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-18(UTC)"],[[["\u003cp\u003eApigee allows customers to conduct their own security testing on their Apigee and Apigee hybrid endpoints, requiring notification via a support ticket at least one business day in advance.\u003c/p\u003e\n"],["\u003cp\u003eCustomers need to include testing date, tester details, contact information, source IP addresses, and target IP/endpoint names when notifying Apigee about planned testing.\u003c/p\u003e\n"],["\u003cp\u003eGoogle performs weekly internal scans of Apigee for security vulnerabilities, but these results are not shared with customers, and customers must still perform their own security testing for compliance.\u003c/p\u003e\n"],["\u003cp\u003eApigee hybrid customers have unrestricted testing rights within their own networks, but Apigee only performs malware scanning of code released to them and does not provide testing reports.\u003c/p\u003e\n"],["\u003cp\u003eCustomers using Apigee-sponsored developer portals hosted by Pantheon or Acquia are permitted to conduct penetration testing, but must notify Apigee via a support ticket with the relevant testing details.\u003c/p\u003e\n"]]],[],null,["# Customer security testing requests\n\n*This page\napplies to **Apigee** and **Apigee hybrid**.*\n\n\n*View [Apigee Edge](https://docs.apigee.com/api-platform/get-started/what-apigee-edge) documentation.*\n\nCustomer-requested testing of Apigee\n------------------------------------\n\nApigee allows and even encourages our customers to scan or test their own endpoints in\nApigee. We ask for notification of the scan only so that we are aware of the scanning in the\nevent the scanning causes an issue for your services. To notify Apigee of your planned testing,\nopen a support ticket at least one business day prior to the start of testing and provide the\nfollowing details:\n\n- Date of tests (start date and projected end date including time zone)\n- Name of person/company performing the testing\n- Contact info for person performing the testing\n- Source IP addresses of the testing\n- Target/Destination IPs and names of the systems being tested (API endpoint names)\n\nTesting is specifically not prohibited in customer agreements. Approval emails will not be\nsent, nor will authorization letters be signed, because there is no prohibition against the\ncustomer testing their own end points and configurations in Apigee.\n\nIf customers find vulnerabilities during their testing that they believe are because of the\nApigee platform itself, we ask them to submit this information to Apigee using a standard\nsupport ticket. By opening a support ticket, the issue can be tracked, escalated, and resolved\nas appropriate.\n\nOnce customers submit a vulnerability report through the standard Apigee support process, the\nSupport team will review the ticket and escalate to security and engineering teams as\nappropriate. Customers should expect a response in the ticket, although follow-up could come\ndirectly from Google security or engineering if more information is needed about the reported\nvulnerability.\n\nGoogle scanning of Apigee\n-------------------------\n\nApigee scans Apigee weekly. However, these scans are for internal\npurposes and not shared with customers. The Google scans look at publicly exposed endpoints and\nthe internal infrastructure. These scans are looking for missing patches, vulnerabilities,\nmisconfigured hosts, poor TLS configurations, and so on. They are part of the Google commitment\nto \"secure the platform.\"\n\nIf something was identified that directly related to a customer and was obviously incorrectly\nconfigured, we would notify the customer. But, since customers use both clear text and TLS\nconfigurations, and since some customers use Apigee for public data while others use Apigee for PCI\nor healthcare or other PII types of data, we are not in a position to determine what is always\nappropriate for all of our customers.\n\nThese Google scans may not be used by customers as fulfilling their own due diligence in\ntesting their endpoints and verifying secure configurations such as are required by PCI and other\nindustry or regulatory standards.\n\nCustomers are encouraged to perform their own testing of endpoints in Apigee for security or\ncompliance needs. See the [Customer-requested testing of Apigee](#request)\nsection of this document for instructions.\n\nCustomer testing of Apigee hybrid\n---------------------------------\n\nBecause Apigee hybrid customers have Apigee software within their own\nnetworks, customers are permitted to test the software. There are no limitations on testing of\nsystems or services that are managed by the customer directly.\n\nAs a result, however, Apigee does not provide testing reports to Apigee hybrid\ncustomers. Apigee *does* perform malware scanning of Apigee code before it is released to\ncustomers.\n\nFor Hybrid customers, the API processing services are within the customer's network, while the\nmanagement interface is in Apigee Cloud. Please review the [Customer-requested\ntesting of Apigee Cloud](#request) section of this document for details on management interface testing\nrestrictions.\n\nCustomer testing of\nApigee-sponsored developer portals hosted at Pantheon or Acquia\n-----------------------------------------------------------------------------------\n\nCustomers can perform penetration testing on their portals hosted by Pantheon or Acquia.\nApigee and Pantheon (or Acquia) need to be notified first, and customers can do this by opening a\nsupport ticket with Apigee.\n\nCustomers must provide the Support team with following details of the planned testing:\n\n- Date of tests (start date and projected end date including time zone)\n- Name of person/company performing the testing\n- Contact info for person performing the testing\n- Source IP addresses of the testing\n- Pantheon Site Names and URLs being tested"]]
