Política XMLThreatProtection

Esta página se aplica a Apigee y Apigee Hybrid.

Consulta la documentación de Apigee Edge.

Qué

Aborda las vulnerabilidades de XML y minimiza los ataques que reciba tu API. También puedes detectar los ataques de carga útil de XML en función de los límites que hayas configurado. Protege tu sitio frente a amenazas XML con los siguientes métodos:

• Evalúa el contenido de los mensajes para buscar palabras clave o patrones específicos que se han incluido en listas negras.
• Detecta mensajes dañados o con formato incorrecto antes de que se analicen

Nota: Esta política solo se ejecuta si el Content-Type de la encabezado de la solicitud o de la respuesta se define como application/xml.

.

Esta política es una política extensible y su uso puede tener implicaciones en cuanto a costes o utilización, en función de tu licencia de Apigee. Para obtener información sobre los tipos de políticas y las implicaciones de uso, consulta Tipos de políticas.

Ver un breve vídeo sobre la protección contra amenazas

Vídeo: consulta un breve vídeo sobre las políticas de protección contra amenazas de la serie de vídeos de 4 minutos para desarrolladores (4MV4D).

Referencia de elemento

En la referencia de elementos se describen los elementos y atributos de la política XMLThreatProtection.

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits> 
</XMLThreatProtection>

Atributos de <XMLThreatProtection>

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1"> 

En la siguiente tabla se describen los atributos que son comunes a todos los elementos superiores de la política:

Atributo	Descripción	Predeterminado	Presencia
name	El nombre interno de la política. El valor del atributo name puede contener letras, números, espacios, guiones, guiones bajos y puntos. Este valor no puede superar los 255 caracteres. Opcionalmente, usa el elemento <DisplayName> para etiquetar la política en el editor de proxy de la interfaz de gestión con un nombre diferente en lenguaje natural.	N/A	Obligatorio
continueOnError	Asigna el valor false para devolver un error cuando falle una política. Este es el comportamiento esperado de la mayoría de las políticas. Asigna el valor true para que la ejecución del flujo continúe incluso después de que falle una política. Consulta también: Las reglas de errores solo se activan cuando hay un error (sobre continueOnError) Gestionar fallos en el flujo actual	falso	Opcional
enabled	Asigna el valor true para aplicar la política. Selecciona false para desactivar la política. La política no se aplicará aunque siga adjunta a un flujo.	true	Opcional
async	Este atributo está obsoleto.	falso	Obsoleto

Elemento <DisplayName>

Úsalo junto con el atributo name para etiquetar la política en el editor de proxy de la interfaz de gestión con un nombre diferente en lenguaje natural.

<DisplayName>Policy Display Name</DisplayName>

Predeterminado	N/A Si omite este elemento, se usará el valor del atributo name de la política.
Presencia	Opcional
Tipo	Cadena

Elemento <NameLimits>

Especifica los límites de caracteres que debe comprobar y aplicar la política.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	N/A
Presencia:	Opcional
Tipo:	N/A

Elemento <NameLimits>/<Element>

Especifica un límite en el número máximo de caracteres permitidos en cualquier nombre de elemento del documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Element> del fragmento de política de abajo validará que los nombres de los elementos (book, title, author y year)) no superen los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <NameLimits>/<Attribute>

Especifica un límite en el número máximo de caracteres permitidos en cualquier nombre de atributo del documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Attribute> del fragmento de política que se muestra a continuación validará que el nombre del atributo category no supere los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <NameLimits>/<NamespacePrefix>

Especifica un límite en el número máximo de caracteres permitidos en el prefijo del espacio de nombres del documento XML.

Por ejemplo, considere el siguiente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Al analizar el XML anterior, el valor del elemento <NamespacePrefix> del fragmento de política de abajo validará que el prefijo de espacio de nombres ns1 no supere los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <NameLimits>/<ProcessingInstructionTarget>

Especifica un límite en el número máximo de caracteres permitidos en el destino de cualquier instrucción de procesamiento del documento XML.

Por ejemplo, considere el siguiente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Al analizar el XML anterior, el valor del elemento <ProcessingInstructionTarget> del fragmento de política de abajo validará que el destino de la instrucción de procesamiento xml-stylesheet no supere los 10 caracteres.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>     
</NameLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <Source>

Mensaje que se va a analizar para detectar ataques de carga útil de XML. Lo más habitual es que se defina como request, ya que normalmente tendrás que validar las solicitudes entrantes de las aplicaciones cliente. Si se define como message, este elemento evaluará automáticamente el mensaje de solicitud cuando se adjunte al flujo de solicitud y el mensaje de respuesta cuando se adjunte al flujo de respuesta.

<Source>request</Source>

Valor predeterminado:	solicitud
Presencia:	Opcional
Tipo:	Cadena. Elige entre request, response o message.

Elemento <StructuralLimits>

Especifica los límites estructurales que debe comprobar y aplicar la política.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	N/A
Presencia:	Opcional
Tipo:	N/A

Elemento <StructuralLimits>/<NodeDepth>

Especifica la profundidad máxima de los nodos permitida en el XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <StructuralLimits>/<AttributeCountPerElement>

Especifica el número máximo de atributos permitidos para cualquier elemento.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <AttributeCountPerElement> del fragmento de política de abajo validará que los elementos book, title, author y year no tengan más de 2 atributos cada uno. Ten en cuenta que los atributos que se usan para definir espacios de nombres no se contabilizan.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <StructuralLimits>/<NameSpaceCountPerElement>

Especifica el número máximo de definiciones de espacio de nombres permitidas para cualquier elemento.

Por ejemplo, considere el siguiente XML:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Al analizar el XML anterior, el valor del elemento <NamespaceCountPerElement> del fragmento de política de abajo validará que los elementos e1 y e2 no tengan más de 2 definiciones de espacio de nombres cada uno. En este caso, <e1> tiene 0 definiciones de espacio de nombres y <e2> tiene 2 definiciones de espacio de nombres: xmlns="http://apigee.com" y xmlns:yahoo="http://yahoo.com".

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <StructuralLimits>/<ChildCount>

Especifica el número máximo de elementos secundarios permitidos para cualquier elemento.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Atributos

Atributo	Predeterminado	Presencia
includeComment	true	Opcional
includeElement	true	Opcional
includeProcessingInstructions	true	Opcional
includeText	true	Opcional

Elemento <ValueLimits>

Especifica los límites de caracteres de los valores que la política debe comprobar y aplicar.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	N/A
Presencia:	Opcional
Tipo:	N/A

Elemento <ValueLimits>/<Text>

Especifica un límite de caracteres para los nodos de texto presentes en el documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Text> del fragmento de política de abajo validará que los valores de texto de los elementos Learning XML, Erik T. Ray, y 2003 no superen los 15 caracteres cada uno.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<Attribute>

Especifica un límite de caracteres para los valores de los atributos presentes en el documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Attribute> del fragmento de política de abajo validará que el valor del atributo WEB no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<NamespaceURI>

Especifica un límite de caracteres para los URIs de espacio de nombres presentes en el documento XML.

Por ejemplo, considere el siguiente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Al analizar el XML anterior, el valor del elemento <NamespaceURI> del fragmento de política que se muestra a continuación validará que el valor del URI del espacio de nombres http://ns1.com no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<Comment>

Especifica un límite de caracteres para los comentarios que haya en el documento XML.

Por ejemplo, considere el siguiente XML:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Al analizar el XML anterior, el valor del elemento <Comment> del fragmento de política de abajo validará que el texto del comentario This is a comment no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Elemento <ValueLimits>/<ProcessingInstructionData>

Especifica un límite de caracteres para cualquier texto de instrucción de procesamiento presente en el documento XML.

Por ejemplo, considere el siguiente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Al analizar el XML anterior, el valor del elemento <ProcessingInstructionData> del fragmento de política de abajo validará que el texto de la instrucción de procesamiento type="text/xsl" href="style.xsl" no supere los 10 caracteres.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valor predeterminado:	Si no especifica ningún límite, el sistema aplicará el valor predeterminado de -1, que el sistema interpreta como ningún límite.
Presencia:	Opcional
Tipo:	Entero

Referencia de errores

Nota: Esta política solo se ejecuta si el Content-Type del encabezado de la solicitud o de la respuesta se define como application/xml.

.

En esta sección se describen los códigos de error y los mensajes de error que devuelve Apigee, así como las variables de error que define, cuando esta política activa un error. Es importante que conozcas esta información si vas a desarrollar reglas de errores para gestionarlos. Para obtener más información, consulta Qué debes saber sobre los errores de políticas y Cómo gestionar los fallos.

Errores de tiempo de ejecución

Estos errores pueden producirse cuando se ejecuta la política.

Código de fallo	Estado de HTTP	Causa	Solucionar
steps.xmlthreatprotection.ExecutionFailed	500	La política XMLThreatProtection puede generar muchos tipos distintos de errores ExecutionFailed. La mayoría de estos errores se producen cuando se supera un umbral específico establecido en la política. Estos tipos de errores incluyen: longitud del nombre del elemento, número de elementos secundarios, profundidad del nodo, número de atributos, longitud del nombre del atributo y muchos otros. Puedes ver la lista completa en el tema Solución de problemas de errores de tiempo de ejecución de la política XMLThreatProtection.
steps.xmlthreatprotection.InvalidXMLPayload	500	Este error se produce si la carga útil del mensaje de entrada especificada por el elemento <Source> de la política XMLThreatProtection no es un documento XML válido.
steps.xmlthreatprotection.SourceUnavailable	500	Este error se produce si la variable message especificada en el elemento <Source> es: Fuera del ámbito (no disponible en el flujo específico en el que se está ejecutando la política) No es uno de los valores válidos request, response o message.
steps.xmlthreatprotection.NonMessageVariable	500	Este error se produce si el elemento <Source> se asigna a una variable que no es del tipo message.

Errores de implementación

Ninguno

Variables de error

Estas variables se definen cuando se produce un error de tiempo de ejecución. Para obtener más información, consulta el artículo Información sobre los errores de las políticas.

Variables	Dónde	Ejemplo
fault.name="fault_name"	fault_name es el nombre del fallo, tal como se indica en la tabla Errores de tiempo de ejecución de arriba. El nombre del error es la última parte del código de error.	fault.name Matches "SourceUnavailable"
xmlattack.policy_name.failed	policy_name es el nombre de la política especificado por el usuario que ha provocado el error.	xmlattack.XPT-SecureRequest.failed = true

Ejemplo de respuesta de error

Nota: Para gestionar los errores, la práctica recomendada es detectar la parte errorcode de la respuesta de error. No te fíes del texto de la faultstring, ya que podría cambiar.

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Regla de error de ejemplo

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Esquemas

Ejemplo: Consulta los ejemplos de nuestro repositorio de GitHub para ver los esquemas más recientes.

Notas de uso

Cualquier servidor que reciba datos online está sujeto a ataques, ya sean maliciosos o no intencionados. Algunos ataques aprovechan la flexibilidad de XML construyendo documentos no válidos que pueden poner en peligro los sistemas backend. Los documentos XML dañados o extremadamente complejos pueden provocar que los servidores asignen más memoria de la disponible, lo que puede agotar los recursos de CPU y memoria, bloquear los analizadores y, en general, inhabilitar el procesamiento de mensajes y crear ataques de denegación de servicio a nivel de aplicación.

Error de configuración de protección contra amenazas

Información importante si vas a crear FaultRules para esta política: de forma predeterminada, Apigee genera un código de estado HTTP 500 Internal Server Error y un código de error ExecutionFailed si un mensaje no supera una política de protección contra amenazas JSON o XML. Puedes cambiar ese comportamiento de error con una nueva propiedad a nivel de organización. Cuando se asigna el valor true a la propiedad org features.isPolicyHttpStatusEnabled, se produce lo siguiente:

• Solicitud: si se adjunta una política de protección contra amenazas a cualquier flujo de solicitudes, los mensajes no válidos devuelven un código de estado 400 (solicitud incorrecta), junto con el código de error de la política correspondiente (en lugar de ExecutionFailed).
• Respuesta: si se adjunta una política de protección contra amenazas a cualquier flujo de respuesta, los mensajes no válidos seguirán devolviendo un código de estado 500 Internal Server Error y se generará uno de los códigos de error de la política correspondientes (en lugar de ExecutionFailed).

Los clientes de Cloud deben ponerse en contacto con el equipo de Asistencia de Google Cloud para definir la propiedad de la organización.

Advertencia: Cuando hagas una solicitud PUT para actualizar las propiedades de una organización, asegúrate de incluir todas las propiedades en la llamada para evitar que se eliminen.

curl -u email:password -X POST -H "Content-type:application/xml" http://host:8080/v1/o/myorg -d \
"<Organization type="trial" name="MyOrganization">
    <Environments/>
    <Properties>
        <Property name="features.isPolicyHttpStatusEnabled">true</Property>
        ...
    </Properties>
</Organization>"

Temas relacionados

Política de protección contra amenazas JSON

Política de protección de expresiones regulares