Questa pagina si applica ad Apigee e Apigee hybrid.
Visualizza la documentazione di Apigee Edge.
Cosa
Risolvi le vulnerabilità XML e riduci al minimo gli attacchi alla tua API. Facoltativamente, rileva gli attacchi di payload XML in base ai limiti configurati. Confronta le minacce XML utilizzando i seguenti approcci:
- Valuta i contenuti del messaggio per parole chiave o pattern specifici da escludere
- Rileva i messaggi corrotti o non corretti prima che vengano analizzati
Questo criterio è un criterio estendibile e il suo utilizzo potrebbe avere implicazioni in termini di costi o utilizzo, a seconda della licenza Apigee. Per informazioni sui tipi di criteri e sulle implicazioni di utilizzo, consulta Tipi di criteri.
Guarda un breve video sulla protezione dalle minacce
Video: guarda un breve video sui criteri di protezione dalle minacce della serie di video di quattro minuti per gli sviluppatori (4MV4D).
Riferimento elemento
Il riferimento agli elementi descrive gli elementi e gli attributi del criterio XMLThreatProtection.
<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> <DisplayName>XML Threat Protection 1</DisplayName> <NameLimits> <Element>10</Element> <Attribute>10</Attribute> <NamespacePrefix>10</NamespacePrefix> <ProcessingInstructionTarget>10</ProcessingInstructionTarget> </NameLimits> <Source>request</Source> <StructureLimits> <NodeDepth>5</NodeDepth> <AttributeCountPerElement>2</AttributeCountPerElement> <NamespaceCountPerElement>3</NamespaceCountPerElement> <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount> </StructureLimits> <ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits> </XMLThreatProtection>
Attributi <XMLThreatProtection>
<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
La tabella seguente descrive gli attributi comuni a tutti gli elementi principali dei criteri:
Attributo | Descrizione | Predefinito | Presenza |
---|---|---|---|
name |
Il nome interno della norma. Il valore dell'attributo Facoltativamente, utilizza l'elemento |
N/A | Obbligatorio |
continueOnError |
Impostalo su Imposta su |
false | Facoltativo |
enabled |
Imposta il criterio su Impostala su |
true | Facoltativo |
async |
Questo attributo è obsoleto. |
false | Deprecata |
Elemento <DisplayName>
Utilizzalo in aggiunta all'attributo name
per etichettare il criterio nell'editor proxy dell'interfaccia utente di gestione con un nome diverso in linguaggio naturale.
<DisplayName>Policy Display Name</DisplayName>
Predefinito |
N/A Se ometti questo elemento, viene utilizzato il valore dell'attributo |
---|---|
Presenza | Facoltativo |
Tipo | Stringa |
Elemento <NameLimits>
Specifica i limiti di caratteri che il criterio deve controllare e applicare.
<NameLimits> <Element>10</Element> <Attribute>10</Attribute> <NamespacePrefix>10</NamespacePrefix> <ProcessingInstructionTarget>10</ProcessingInstructionTarget> </NameLimits>
Predefinita: | N/A |
Presenza: | Facoltativo |
Tipo: | N/A |
Elemento <NameLimits>/<Element>
Specifica un limite al numero massimo di caratteri consentiti nei nomi degli elementi nel documento XML.
Ad esempio, considera il seguente codice XML:
<book category="WEB"> <title>Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> </book>
Quando analizzi il codice XML riportato sopra, il valore dell'elemento <Element>
nello snippet delle norme riportato di seguito confermerà che i nomi degli elementi (book
, title
, author
e year)
non superano i 10
caratteri.
<NameLimits> <Element>10</Element> <Attribute>10</Attribute> <NamespacePrefix>10</NamespacePrefix> <ProcessingInstructionTarget>10</ProcessingInstructionTarget> </NameLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: | Numero intero |
Elemento <NameLimits>/<Attribute>
Specifica un limite al numero massimo di caratteri consentiti nei nomi degli attributi nel documento XML.
Ad esempio, considera il seguente codice XML:
<book category="WEB"> <title>Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> </book>
Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <Attribute>
nello snippet delle norme riportato di seguito confermerà che il nome dell'attributo category
non supera i 10
caratteri.
<NameLimits> <Element>10</Element> <Attribute>10</Attribute> <NamespacePrefix>10</NamespacePrefix> <ProcessingInstructionTarget>10</ProcessingInstructionTarget> </NameLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: | Numero intero |
Elemento <NameLimits>/<NamespacePrefix>
Specifica un limite al numero massimo di caratteri consentiti nel prefisso dello spazio dei nomi nel documento XML.
Ad esempio, considera il seguente codice XML:
<ns1:myelem xmlns:ns1="http://ns1.com"/>
Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <NamespacePrefix>
nello snippet delle norme riportato di seguito confermerà che il prefisso dello spazio dei nomi ns1
non supera i 10
caratteri.
<NameLimits> <Element>10</Element> <Attribute>10</Attribute> <NamespacePrefix>10</NamespacePrefix> <ProcessingInstructionTarget>10</ProcessingInstructionTarget> </NameLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: | Numero intero |
Elemento <NameLimits>/<processingInstructionTarget>
Specifica un limite al numero massimo di caratteri consentiti nel target di qualsiasi istruzione di elaborazione nel documento XML.
Ad esempio, considera il seguente codice XML:
<?xml-stylesheet type="text/xsl" href="style.xsl"?>
Quando analizzi il codice XML riportato sopra, il valore dell'elemento <ProcessingInstructionTarget>
nello snippet delle norme riportato di seguito confermerà che il target dell'istruzione di elaborazione xml-stylesheet
non supera i 10
caratteri.
<NameLimits> <Element>10</Element> <Attribute>10</Attribute> <NamespacePrefix>10</NamespacePrefix> <ProcessingInstructionTarget>10</ProcessingInstructionTarget> </NameLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: | Numero intero |
Elemento <Source>
Messaggio da filtrare per attacchi di payload XML. In genere è impostato su
request
, perché in genere dovrai convalidare le richieste in entrata dalle app client.
Se impostato su message
, questo elemento valuta automaticamente il messaggio di richiesta
se allegato al flusso di richiesta e il messaggio di risposta
se allegato al flusso di risposta.
<Source>request</Source>
Predefinita: | request |
Presenza: | Facoltativo |
Tipo: |
Stringa. Seleziona un'opzione tra |
Elemento <StructuralLimits>
Specifica i limiti strutturali che devono essere controllati e applicati dal criterio.
<StructureLimits> <NodeDepth>5</NodeDepth> <AttributeCountPerElement>2</AttributeCountPerElement> <NamespaceCountPerElement>3</NamespaceCountPerElement> <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount> </StructureLimits>
Predefinita: | N/A |
Presenza: | Facoltativo |
Tipo: | N/A |
Elemento <StructuralLimits>/<NodeDepth>
Specifica la profondità massima di nodo consentita nel file XML.
<StructureLimits> <NodeDepth>5</NodeDepth> <AttributeCountPerElement>2</AttributeCountPerElement> <NamespaceCountPerElement>3</NamespaceCountPerElement> <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount> </StructureLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <StructuralLimits>/<AttributeCountPerElement>
Specifica il numero massimo di attributi consentiti per ogni elemento.
Ad esempio, considera il seguente codice XML:
<book category="WEB"> <title>Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> </book>Quando analizzi il codice XML riportato sopra, il valore dell'elemento
<AttributeCountPerElement>
nello snippet delle norme riportato di seguito confermerà che gli elementi book
, title
, author
e year
non hanno ciascuno più di 2
attributi.
Tieni presente che gli attributi utilizzati per definire gli spazi dei nomi non vengono conteggiati.
<StructureLimits> <NodeDepth>5</NodeDepth> <AttributeCountPerElement>2</AttributeCountPerElement> <NamespaceCountPerElement>3</NamespaceCountPerElement> <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount> </StructureLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <StructuralLimits>/<NameSpaceCountPerElement>
Specifica il numero massimo di definizioni dello spazio dei nomi consentite per qualsiasi elemento.
Ad esempio, considera il seguente codice XML:
<e1 attr1="val1" attr2="val2"> <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/> </e1>
Durante l'analisi del codice XML riportato sopra, il valore dell'elemento <NamespaceCountPerElement>
nello snippet delle norme riportato di seguito confermerà che gli elementi e1
e e2
non hanno ciascuno più di 2
definizioni dello spazio dei nomi. In questo caso, <e1> ha 0 definizioni dello spazio dei nomi e
<e2> ha 2 definizioni
dello spazio dei nomi: xmlns="http://apigee.com"
e
xmlns:yahoo="http://yahoo.com"
.
<StructureLimits> <NodeDepth>5</NodeDepth> <AttributeCountPerElement>2</AttributeCountPerElement> <NamespaceCountPerElement>3</NamespaceCountPerElement> <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount> </StructureLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <StructuralLimits>/<ChildCount>
Specifica il numero massimo di elementi secondari consentiti per qualsiasi elemento.
<StructureLimits> <NodeDepth>5</NodeDepth> <AttributeCountPerElement>2</AttributeCountPerElement> <NamespaceCountPerElement>3</NamespaceCountPerElement> <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount> </StructureLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Attributi
Attributo | Predefinito | Presenza |
---|---|---|
includeComment | true | Facoltativo |
includeElement | true | Facoltativo |
includeProcessingInstructions | true | Facoltativo |
includeText | true | Facoltativo |
Elemento <ValueLimits>
Specifica i limiti di caratteri per i valori che devono essere controllati e applicati dal criterio.
<ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits>
Predefinita: | N/A |
Presenza: | Facoltativo |
Tipo: |
N/A |
Elemento <ValueLimits>/<Text>
Specifica un limite di caratteri per tutti i nodi di testo presenti nel documento XML.
Ad esempio, considera il seguente codice XML:
<book category="WEB"> <title>Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> </book>Quando analizzi il codice XML riportato sopra, il valore dell'elemento
<Text>
nello snippet criterio riportato di seguito confermerà che i valori di testo dell'elemento Learning XML
, Erik T.
Ray,
e 2003
non superano i 15
caratteri ciascuno.
<ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <ValueLimits>/<Attribute>
Specifica un limite di caratteri per tutti i valori degli attributi presenti nel documento XML.
Ad esempio, considera il seguente codice XML:
<book category="WEB"> <title>Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> </book>Quando analizzi il codice XML riportato sopra, il valore dell'elemento
<Attribute>
nello snippet dei criteri riportato di seguito confermerà che il valore dell'attributo WEB
non supera i 10
caratteri.
<ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <ValueLimits>/<NamespaceURI>
Specifica un limite di caratteri per eventuali URI dello spazio dei nomi presenti nel documento XML.
Ad esempio, considera il seguente codice XML:
<ns1:myelem xmlns:ns1="http://ns1.com"/>Quando analizzi il codice XML riportato sopra, il valore dell'elemento
<NamespaceURI>
nello snippet dei criteri riportato di seguito confermerà che il valore dell'URI dello spazio dei nomi http://ns1.com
non supera i 10
caratteri.
<ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <ValueLimits>/<Comment>
Specifica un limite di caratteri per eventuali commenti presenti nel documento XML.
Ad esempio, considera il seguente codice XML:
<book category="WEB"> <!-- This is a comment --> <title>Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> </book>Quando analizzi il codice XML riportato sopra, il valore dell'elemento
<Comment>
nello snippet delle norme riportato di seguito confermerà che il testo del commento This is a comment
non supera i 10
caratteri.
<ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Elemento <ValueLimits>/<processingInstructionData>
Specifica un limite di caratteri per il testo delle istruzioni di elaborazione presente nel documento XML.
Ad esempio, considera il seguente codice XML:
<?xml-stylesheet type="text/xsl" href="style.xsl"?>Quando analizzi il codice XML riportato sopra, il valore dell'elemento
<ProcessingInstructionData>
nello snippet delle norme riportato di seguito confermerà che il testo delle istruzioni di elaborazione type="text/xsl" href="style.xsl"
non superi i 10
caratteri.
<ValueLimits> <Text>15</Text> <Attribute>10</Attribute> <NamespaceURI>10</NamespaceURI> <Comment>10</Comment> <ProcessingInstructionData>10</ProcessingInstructionData> </ValueLimits>
Predefinita: | Se non specifichi un limite, il sistema applica un valore predefinito di -1 , che equivale a nessun limite. |
Presenza: | Facoltativo |
Tipo: |
Numero intero |
Messaggi di errore
Questa sezione descrive i codici e i messaggi di errore che vengono restituiti e le variabili di errore impostate da Apigee quando questo criterio attiva un errore. Queste informazioni sono importanti per sapere se si stanno sviluppando regole di errore per gestire gli errori. Per scoprire di più, consulta gli articoli Cosa devi sapere sugli errori relativi alle norme e Gestione degli errori.
Errori di runtime
Questi errori possono verificarsi quando il criterio viene eseguito.
Codice di errore | Stato HTTP | Causa | Correggi |
---|---|---|---|
steps.xmlthreatprotection.ExecutionFailed |
500 |
Il criterio XMLThreatProtection può generare molti tipi diversi di errori ExecutionFailed .
La maggior parte di questi errori si verifica quando viene superata una soglia specifica impostata nel criterio. Questi
tipi di errore includono:
lunghezza del nome dell'elemento,
conteggio figlio,
profondità del nodo,
conteggio attributi,
lunghezza del nome dell'attributo
e molti altri. Puoi visualizzare l'elenco completo nell'argomento Risoluzione degli errori di runtime dei criteri XMLThreatProtection.
|
build |
steps.xmlthreatprotection.InvalidXMLPayload |
500 |
Questo errore si verifica se il payload dei messaggi di input specificato dall'elemento <Source> del criterio XMLThreatProtection non è un documento XML valido.
|
build |
steps.xmlthreatprotection.SourceUnavailable |
500 |
Questo errore si verifica se la variabile message
specificata nell'elemento <Source> è:
|
build |
steps.xmlthreatprotection.NonMessageVariable |
500 |
Questo errore si verifica se l'elemento <Source> è impostato su una variabile non di tipo message.
|
build |
Errori di deployment
Nessuno.
Variabili di errore
Queste variabili vengono impostate quando si verifica un errore di runtime. Per maggiori informazioni, consulta la sezione Cosa devi sapere sugli errori relativi ai criteri.
Variabili | Dove | Esempio |
---|---|---|
fault.name="fault_name" |
fault_name è il nome dell'errore, come indicato nella tabella Errori di runtime riportata sopra. Il nome del guasto è l'ultima parte del codice di errore. | fault.name Matches "SourceUnavailable" |
xmlattack.policy_name.failed |
policy_name è il nome specificato dall'utente del criterio che ha generato l'errore. | xmlattack.XPT-SecureRequest.failed = true |
Esempio di risposta di errore
{ "fault": { "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2", "detail": { "errorcode": "steps.xmlthreatprotection.ExecutionFailed" } } }
Esempio di regola di errore
<FaultRule name="XML Threat Protection Policy Faults"> <Step> <Name>AM-CustomErrorResponse</Name> <Condition>(fault.name Matches "ExecutionFailed") </Condition> </Step> <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition> </FaultRule>
Schema
Note sull'utilizzo
Qualsiasi server che riceve dati online è soggetto ad attacchi, dannosi o non intenzionali. Alcuni attacchi sfruttano la flessibilità del linguaggio XML, costruendo documenti non validi che possono potenzialmente compromettere i sistemi di backend. Documenti XML danneggiati o estremamente complessi possono causare l'allocazione da parte dei server di più memoria disponibile, il vincolo delle risorse di CPU e memoria, l'arresto anomalo dei parser e, in generale, la disabilitazione dell'elaborazione dei messaggi e la creazione di attacchi denial of service a livello di applicazione.
Configurazione degli errori di protezione dalle minacce
Informazioni importanti se stai creando FaultRules per questo criterio: per impostazione predefinita, Apigee genera un codice di stato di errore interno del server HTTP 500 e un codice di errore ExecutionFailed se un messaggio non supera un criterio di protezione dalle minacce JSON o XML. Puoi modificare questo comportamento di errore con una nuova proprietà a livello di organizzazione. Quando la proprietà dell'organizzazione features.isPolicyHttpStatusEnabled
viene impostata su true, si verifica il seguente comportamento:
- Richiesta: se un criterio di protezione dalle minacce è associato a qualsiasi flusso di richieste, i messaggi non validi restituiscono un codice di stato di richiesta non valida 400, insieme al codice di errore del criterio corrispondente (anziché solo ExecutionFailed).
- Risposta: se un criterio di protezione dalle minacce è associato a qualsiasi flusso di risposta, i messaggi non validi restituiscono comunque un codice di stato di errore interno del server 500 e viene restituito uno dei codici di errore del criterio corrispondenti (anziché solo ExecutionFailed).
I clienti Cloud devono contattare l'assistenza Apigee per impostare la proprietà dell'organizzazione.
curl -u email:password -X POST -H "Content-type:application/xml" http://host:8080/v1/o/myorg -d \ "<Organization type="trial" name="MyOrganization"> <Environments/> <Properties> <Property name="features.isPolicyHttpStatusEnabled">true</Property> ... </Properties> </Organization>"
Argomenti correlati
Criteri di JSON Threat Protection
Norme sulla protezione delle espressioni regolari