Política XMLThreatProtection

Esta página se aplica a Apigee y Apigee Hybrid.

Consulta la documentación de Apigee Edge.

Qué

Aborda las vulnerabilidades de XML y minimiza los ataques que reciba tu API. También puedes detectar los ataques de carga útil de XML en función de los límites que hayas configurado. Protege tu sitio frente a amenazas XML con los siguientes métodos:

• Evalúa el contenido de los mensajes para buscar palabras clave o patrones específicos que se han incluido en listas negras.
• Detecta mensajes dañados o con formato incorrecto antes de que se analicen

Nota: Esta política solo se ejecuta si el Content-Type de la encabezado de la solicitud o de la respuesta se define como application/xml.

.

Esta política es una política extensible y su uso puede tener implicaciones en cuanto a costes o utilización, en función de tu licencia de Apigee. Para obtener información sobre los tipos de políticas y las implicaciones de uso, consulta Tipos de políticas.

Ver un breve vídeo sobre la protección contra amenazas

Vídeo: consulta un breve vídeo sobre las políticas de protección contra amenazas de la serie de vídeos de 4 minutos para desarrolladores (4MV4D).

Referencia de elemento

En la referencia de elementos se describen los elementos y atributos de la política XMLThreatProtection.

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

Atributos de <XMLThreatProtection>

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> 

En la siguiente tabla se describen los atributos que son comunes a todos los elementos superiores de la política:

Atributo	Descripción	Predeterminado	Presencia
name	El nombre interno de la política. El valor del atributo name puede contener letras, números, espacios, guiones, guiones bajos y puntos. Este valor no puede superar los 255 caracteres. Opcionalmente, usa el elemento <DisplayName> para etiquetar la política en el editor de proxy de la interfaz de gestión con un nombre diferente en lenguaje natural.	N/A	Obligatorio
continueOnError	Asigna el valor false para devolver un error cuando falle una política. Este es el comportamiento esperado de la mayoría de las políticas. Asigna el valor true para que la ejecución del flujo continúe incluso después de que falle una política. Consulta también: Las reglas de errores solo se activan cuando hay un error (sobre continueOnError) Gestionar fallos en el flujo actual	falso	Opcional
enabled	Asigna el valor true para aplicar la política. Selecciona false para desactivar la política. La política no se aplicará aunque siga adjunta a un flujo.	true	Opcional
async	Este atributo está obsoleto.	falso	Obsoleto

Elemento <DisplayName>

Úsalo junto con el atributo name para etiquetar la política en el editor de proxy de la interfaz de gestión con un nombre diferente en lenguaje natural.

<DisplayName>Policy Display Name</DisplayName>

Predeterminado	N/A Si omite este elemento, se usará el valor del atributo name de la política.
Presencia	Opcional
Tipo	Cadena

Elemento <NameLimits>

Especifica los límites de caracteres que debe comprobar y aplicar la política.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	N/A
Presencia:	Opcional
Tipo:	N/A

Elemento <NameLimits>/<Element>

Especifica un límite en el número máximo de caracteres permitidos en cualquier nombre de elemento del documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Element> del fragmento de política de abajo validará que los nombres de los elementos (book, title, author y year)) no superen los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <NameLimits>/<Attribute>

Especifica un límite en el número máximo de caracteres permitidos en cualquier nombre de atributo del documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Attribute> del fragmento de política que se muestra a continuación validará que el nombre del atributo category no supere los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <NameLimits>/<NamespacePrefix>

Especifica un límite en el número máximo de caracteres permitidos en el prefijo del espacio de nombres del documento XML.

Por ejemplo, considere el siguiente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Al analizar el XML anterior, el valor del elemento <NamespacePrefix> del fragmento de política de abajo validará que el prefijo de espacio de nombres ns1 no supere los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <NameLimits>/<ProcessingInstructionTarget>

Especifica un límite en el número máximo de caracteres permitidos en el destino de cualquier instrucción de procesamiento del documento XML.

Por ejemplo, considere el siguiente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Al analizar el XML anterior, el valor del elemento <ProcessingInstructionTarget> del fragmento de política de abajo validará que el destino de la instrucción de procesamiento xml-stylesheet no supere los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <Source>

Mensaje que se va a analizar para detectar ataques de carga útil de XML. Lo más habitual es que se defina como request, ya que normalmente tendrás que validar las solicitudes entrantes de las aplicaciones cliente. Si se define como message, este elemento evaluará automáticamente el mensaje de solicitud cuando se adjunte al flujo de solicitud y el mensaje de respuesta cuando se adjunte al flujo de respuesta.

<Source>request</Source>

Valor predeterminado:	solicitud
Presencia:	Opcional
Tipo:	Cadena. Elige entre request, response o message.

Elemento <StructuralLimits>

Especifica los límites estructurales que debe comprobar y aplicar la política.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	N/A
Presencia:	Opcional
Tipo:	N/A

Elemento <StructuralLimits>/<NodeDepth>

Especifica la profundidad máxima de los nodos permitida en el XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <StructuralLimits>/<AttributeCountPerElement>

Especifica el número máximo de atributos permitidos para cualquier elemento.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <AttributeCountPerElement> del fragmento de política de abajo validará que los elementos book, title, author y year no tengan más de 2 atributos cada uno. Ten en cuenta que los atributos que se usan para definir espacios de nombres no se contabilizan.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <StructuralLimits>/<NameSpaceCountPerElement>

Especifica el número máximo de definiciones de espacio de nombres permitidas para cualquier elemento.

Por ejemplo, considere el siguiente XML:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Al analizar el XML anterior, el valor del elemento <NamespaceCountPerElement> del fragmento de política de abajo validará que los elementos e1 y e2 no tengan más de 2 definiciones de espacio de nombres cada uno. En este caso, <e1> tiene 0 definiciones de espacio de nombres y <e2> tiene 2 definiciones de espacio de nombres: xmlns="http://apigee.com" y xmlns:yahoo="http://yahoo.com".

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <StructuralLimits>/<ChildCount>

Especifica el número máximo de elementos secundarios permitidos para cualquier elemento.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Atributos

Atributo	Predeterminado	Presencia
includeComment	true	Opcional
includeElement	true	Opcional
includeProcessingInstructions	true	Opcional
includeText	true	Opcional

Elemento <ValueLimits>

Especifica los límites de caracteres de los valores que la política debe comprobar y aplicar.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	N/A
Presencia:	Opcional
Tipo:	N/A

Elemento <ValueLimits>/<Text>

Especifica un límite de caracteres para los nodos de texto presentes en el documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Text> del fragmento de política de abajo validará que los valores de texto de los elementos Learning XML, Erik T. Ray, y 2003 no superen los 15 caracteres cada uno.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<Attribute>

Especifica un límite de caracteres para los valores de los atributos presentes en el documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Attribute> del fragmento de política de abajo validará que el valor del atributo WEB no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<NamespaceURI>

Especifica un límite de caracteres para los URIs de espacio de nombres presentes en el documento XML.

Por ejemplo, considere el siguiente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Al analizar el XML anterior, el valor del elemento <NamespaceURI> del fragmento de política que se muestra a continuación validará que el valor del URI del espacio de nombres http://ns1.com no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<Comment>

Especifica un límite de caracteres para los comentarios que haya en el documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Comment> del fragmento de política de abajo validará que el texto del comentario This is a comment no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<ProcessingInstructionData>

Especifica un límite de caracteres para cualquier texto de instrucción de procesamiento presente en el documento XML.

Por ejemplo, considere el siguiente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Al analizar el XML anterior, el valor del elemento <ProcessingInstructionData> del fragmento de política de abajo validará que el texto de la instrucción de procesamiento type="text/xsl" href="style.xsl" no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Referencia de errores

Nota: Esta política solo se ejecuta si el Content-Type del encabezado de la solicitud o de la respuesta se define como application/xml.

.

This section describes the fault codes and error messages that are returned and fault variables that are set by Apigee when this policy triggers an error. This information is important to know if you are developing fault rules to handle faults. To learn more, see What you need to know about policy errors and Handling faults.

Runtime errors

These errors can occur when the policy executes.

Fault code	HTTP status	Cause	Fix
steps.xmlthreatprotection.ExecutionFailed	500	The XMLThreatProtection policy can throw many different types of ExecutionFailed errors. Most of these errors occur when a specific threshold set in the policy is exceeded. These types of errors include: element name length, child count, node depth, attribute count, attribute name length, and many others. You can see the complete list in the XMLThreatProtection policy runtime error troubleshooting topic.
steps.xmlthreatprotection.InvalidXMLPayload	500	This error occurs if the input message payload specified by the XMLThreatProtection policy's <Source> element is not a valid XML Document.
steps.xmlthreatprotection.SourceUnavailable	500	This error occurs if the message variable specified in the <Source> element is either: Out of scope (not available in the specific flow where the policy is being executed) Is not one of the valid values request, response, or message
steps.xmlthreatprotection.NonMessageVariable	500	This error occurs if the <Source> element is set to a variable which is not of type message.

Deployment errors

None.

Fault variables

These variables are set when a runtime error occurs. For more information, see What you need to know about policy errors.

Variables	Where	Example
fault.name="fault_name"	fault_name is the name of the fault, as listed in the Runtime errors table above. The fault name is the last part of the fault code.	fault.name Matches "SourceUnavailable"
xmlattack.policy_name.failed	policy_name is the user-specified name of the policy that threw the fault.	xmlattack.XPT-SecureRequest.failed = true

Example error response

Note: For error handling, the best practice is to trap the errorcode part of the error response. Do not rely on the text in the faultstring, because it could change.

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Example fault rule

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Esquemas

Ejemplo: Consulta los ejemplos de nuestro repositorio de GitHub para ver los esquemas más recientes.

Notas de uso

Cualquier servidor que reciba datos online está sujeto a ataques, ya sean maliciosos o no intencionados. Algunos ataques aprovechan la flexibilidad de XML construyendo documentos no válidos que pueden poner en peligro los sistemas backend. Los documentos XML dañados o extremadamente complejos pueden provocar que los servidores asignen más memoria de la disponible, lo que puede agotar los recursos de CPU y memoria, bloquear los analizadores y, en general, inhabilitar el procesamiento de mensajes y crear ataques de denegación de servicio a nivel de aplicación.

Error de configuración de protección contra amenazas

Información importante si vas a crear FaultRules para esta política: de forma predeterminada, Apigee genera un código de estado HTTP 500 Internal Server Error y un código de error ExecutionFailed si un mensaje no supera una política de protección contra amenazas JSON o XML. Puedes cambiar ese comportamiento de error con una nueva propiedad a nivel de organización. Cuando se asigna el valor true a la propiedad org features.isPolicyHttpStatusEnabled, se produce lo siguiente:

• Solicitud: si se adjunta una política de protección contra amenazas a cualquier flujo de solicitudes, los mensajes no válidos devuelven un código de estado 400 (solicitud incorrecta), junto con el código de error de la política correspondiente (en lugar de ExecutionFailed).
• Respuesta: si se adjunta una política de protección contra amenazas a cualquier flujo de respuesta, los mensajes no válidos seguirán devolviendo un código de estado 500 Internal Server Error y se generará uno de los códigos de error de la política correspondientes (en lugar de ExecutionFailed).

Los clientes de Cloud deben ponerse en contacto con el equipo de Asistencia de Google Cloud para definir la propiedad de la organización.

Advertencia: Cuando hagas una solicitud PUT para actualizar las propiedades de una organización, asegúrate de incluir todas las propiedades en la llamada para evitar que se eliminen.

curl -u email:password -X POST -H "Content-type:application/xml" http://host:8080/v1/o/myorg -d \
"<Organization type="trial" name="MyOrganization">
    <Environments/>
    <Properties>
        <Property name="features.isPolicyHttpStatusEnabled">true</Property>
        ...
    </Properties>
</Organization>"

Temas relacionados

Política de protección contra amenazas JSON

Política de protección de expresiones regulares