Détection des abus

Cette page s'applique à Apigee et à Apigee hybrid.

Consultez la documentation d'Apigee Edge.

Preview – Détection des abus avec Advanced API Security

Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions d'utilisation de Google Cloud. Les fonctionnalités avant disponibilité générale sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les descriptions des étapes de lancement.

L'assistance pour le lancement de la version preview de la détection des abus avec Advanced API Security est disponible via le forum de la communauté Apigee - Google Cloud.

La détection des abus avec Advanced API Security vous permet de consulter les incidents de sécurité impliquant vos API. Un incident de sécurité est un groupe d'événements suivant des schémas similaires, qui peuvent représenter une menace de sécurité. Advanced API Security utilise des modèles de machine learning pour détecter des schémas indiquant une activité malveillante, y compris le scraping et les anomalies d'API, et regroupe les événements suivant des schémas similaires.

Lorsque Advanced API Security détecte un incident de sécurité, elle signale les éléments suivants :

• Le niveau de risque et la durée de l'incident
• Proxys affectés par l'incident
• Les adresses IP des événements d'incident
• Les règles de détection déclenchées par l'incident
• Les pays d'origine de l'incident

et d'autres informations connexes sur l'incident.

Vous pouvez accéder à la détection des abus via l'UI Apigee, comme décrit ci-dessous, ou via l'API Incidents ou l'API des statistiques de sécurité.

Pour connaître les rôles nécessaires pour effectuer des tâches de détection des abus, consultez la section Rôles requis pour la détection des abus.

Améliorer les modèles de machine learning pour la détection d'abus

Apigee vous aide à améliorer les modèles de machine learning pour la détection des abus dans votre organisation, en nous autorisant à entraîner les modèles sur vos données. L'entraînement des modèles sur vos données permet d'améliorer leur précision pour détecter les incidents de sécurité. L'entraînement ne s'appliquera qu'à vos modèles et ne sera partagé avec aucun autre client Google Cloud.

Lorsque vous ouvrez la page Détection des abus dans l'interface utilisateur d'Apigee, une bannière vous demandant l'autorisation d'entraîner les modèles de sécurité de votre organisation sur vos données s'affiche.

Pour utiliser cette fonctionnalité, vous devez activer le module complémentaire. Si vous avez souscrit un abonnement, vous pouvez activer le module complémentaire pour votre organisation. Pour plus d'informations, consultez la page Gérer Advanced API Security pour les organisations avec abonnement. Si vous êtes un client facturé à l'usage, vous pouvez activer le module complémentaire dans vos environnements éligibles. Pour en savoir plus, consultez la page Gérer le module complémentaire Advanced API Security.

Ouvrir la page Détection des abus.

Pour ouvrir la page Détection des abus, procédez comme suit :

• Si vous utilisez l'interface utilisateur Apigee dans la console Cloud : sélectionnez Advanced API Security > Détection des abus.
• Si vous utilisez l'interface utilisateur Apigee classique : sélectionnez Analyser > Sécurité des API > Détection des abus.

La page principale Détection des abus s'affiche :

Remarque : Lorsque vous ouvrez la page Détection d'utilisation abusive, une bannière demandant l'autorisation d'entraîner les modèles de sécurité de votre organisation sur vos données s'affiche. Si vous acceptez, cliquez sur Activer l'amélioration des modèles Advanced API Security de mon organisation Apigee sous la bannière.

Modifier les autorisations pour permettre à Apigee d'améliorer vos modèles de machine learning

Vous pouvez modifier vos autorisations pour autoriser Apigee à améliorer vos modèles de machine learning à tout moment en cliquant sur Paramètres en haut à droite de la détection d'utilisation abusive et en sélectionnant l'option permettant d'activer ou de désactiver cette fonctionnalité.

Page principale de détection des abus

En haut de la page, vous pouvez sélectionner l'une des périodes récentes suivantes pour l'affichage des incidents : les 12 heures, 1 jour, 1 semaine ou 2 semaines les plus récents.

Le tableau de la page affiche les environnements de votre organisation affectés par des incidents de sécurité pendant l'intervalle de temps sélectionné.

Remarque : Si aucun environnement n'est affiché, cela signifie qu'aucun incident n'a été détecté dans l'environnement au cours de l'intervalle de temps sélectionné. Dans ce cas, vous pouvez essayer de sélectionner un intervalle de temps plus long, pouvant remonter jusqu'à 14 jours.

Chaque ligne du tableau affiche également les éléments suivants :

• Environnement : environnement dans lequel l'utilisation abusive a eu lieu.
• Nombre total d'incidents : nombre total d'incidents dans l'environnement au cours de l'intervalle de temps sélectionné. Pour en savoir plus sur les incidents et les données affichés dans l'interface utilisateur, consultez la section Limites applicables aux incidents et aux données affichées.

• Niveau de risque : affiche le nombre d'incidents selon trois niveaux de risque : grave, modéré et faible. Le niveau de risque est basé sur différentes caractéristiques d'un incident, telles que le nombre de règles détectées, leur type et la taille relative de l'incident par rapport au trafic légitime. Le niveau de risque est conçu pour vous aider à hiérarchiser les incidents à examiner. Vous pouvez ainsi vous concentrer sur les plus critiques.

  Le niveau de risque peut prendre l'une des valeurs suivantes :

  • Grave : les incidents graves présentent un risque élevé. Nous vous recommandons de les analyser en priorité.
  • Modéré : les incidents modérés présentent un certain risque, celui-ci reste inférieur aux incidents graves. Nous vous recommandons de les prioriser par rapport aux incidents à faible risque.
  • Faible : les incidents à faible risque peuvent être examinés en dernier, après avoir examiné les incidents de risque supérieur.

  Le nombre situé à côté de chaque niveau de risque indique le nombre d'incidents associés à ce niveau de risque.

Détails de l'environnement

Pour afficher les incidents dans un environnement pour la période sélectionnée, sélectionnez l'environnement dans le tableau ci-dessus. La vue Détails de l'environnement s'affiche :

Si vous constatez un incident ou un trafic détecté et que vous souhaitez créer une action de sécurité pour bloquer ou signaler les requêtes associées à l'incident ou au trafic détecté, cliquez sur Créez une action de sécurité en haut de la page. La page Actions de sécurité s'ouvre.

Limites applicables aux incidents et aux données affichées:

• L'interface utilisateur de détection des abus n'affiche pas les incidents dont le dernier événement détecté date de plus de 14 jours.
• L'interface utilisateur n'affiche que les données sur les incidents reçues il y a plus de 14 jours.

Pour obtenir des informations sur ces incidents, vous pouvez effectuer l'une des opérations suivantes :

1. Appelez l'API Incidents pour obtenir la liste des incidents en dehors de la période de 14 jours.
2. Appelez l'API Security Reports pour obtenir plus d'informations sur ces incidents.

La vue Détails de l'environnement comporte deux onglets :

• Incidents : affiche la liste des incidents dans l'environnement et des informations les concernant.
• Trafic détecté : affiche les détails du trafic détecté lié aux incidents.

Incidents

L'onglet Incidents de la vue Détails de l'environnement ci-dessus affiche les options suivantes :

• Environnement : modifiez l'environnement pour lequel afficher les incidents.
• Proxy : vous pouvez utiliser l'option Tout sélectionner pour afficher les incidents concernant tous les proxys, ou sélectionner un ou plusieurs proxys individuels pour n'afficher les incidents que pour les proxys sélectionnés.
• Inclure les incidents archivés : lorsque cette option est sélectionnée, la liste des incidents affiche les incidents archivés. Les incidents archivés s'affichent avec une icône : 

  Pour masquer les incidents archivés dans la liste, désélectionnez Inclure les incidents archivés. Vous pouvez masquer les incidents archivés si de nombreux incidents s'affichent et que vous ne souhaitez pas tous les afficher, ou si vous souhaitez masquer les incidents que vous avez déjà examinés.

La vue Incidents affiche également les éléments suivants :

• Nom de l'incident : nom généré résumant l'incident.
• Niveau de risque : niveau de risque de l'incident.

• Principales règles de détection : liste des principales règles de détection déclenchées par l'incident.

• Trafic lié à l'incident : nombre total d'événements, c'est-à-dire des appels d'API tagués par l'une des règles de détection liées à l'incident.
• Premier événement détecté : date et heure de détection du premier événement de l'incident.
• Dernier événement détecté : date et heure de détection du dernier événement de l'incident.
• Durée : durée de l'incident, du premier événement au dernier.
• UUID : identifiant unique universel de l'incident.

Détails de l'incident

Pour afficher les détails d'un incident, cliquez sur son nom dans le tableau. Ceci affiche le volet Présentation de la vue Détails de l'incident s'affiche, comme illustré ci-dessous :

Comme dans la vue Détails de l'environnement, vous pouvez cliquer sur Créer une action de sécurité en haut de la page pour créer une action de sécurité en réponse à l'incident.

La vue Détails de l'incident comporte deux onglets, Présentation et Attributs. Les attributs, également appelés dimensions, sont des regroupements de données qui vous permettent d'afficher l'incident de différentes manières. Par exemple, l'attribut "Produits d'API" vous permet d'afficher les données d'incident par produit d'API.

Les onglets Présentation et Attributs sont décrits ci-dessous.

Archiver des incidents

Pour vous aider à distinguer les incidents que vous avez déjà examinés des autres, vous pouvez archiver ceux qui ne vous intéressent plus. L'archivage d'un incident le masque de la liste Détails de l'environnement > Incidents (à condition que l'option Inclure les incidents archivés ne soit pas sélectionnée). L'archivage ne supprime pas un incident : vous pouvez toujours le désarchiver si vous changez d'avis.

Pour archiver un incident, sélectionnez Archiver en haut de la vue Détails de l'incident. Une fois cette opération effectuée, l'étiquette du bouton Archiver devient Désarchiver.

Désarchiver des incidents

Pour désarchiver un incident archivé, procédez comme suit :

1. Dans la vue Détails de l'environnement > Incidents, cliquez sur l'icône située à côté de l'incident que vous souhaitez désarchiver :
2. En haut de la liste des incidents, cliquez sur Désarchiver.

Vous pouvez aussi cliquer sur Désarchiver si vous êtes dans la vue Détails de l'incident.

Onglets Présentation et Attributs

Présentation

Le volet Présentation affiche les informations de base sur l'incident, y compris les éléments suivants :

• Nom de l'incident : nom de l'incident.
• Niveau de risque : niveau de risque de l'incident.
• Proxys concernés : nombre de proxys affectés par l'incident. Cliquez sur Afficher les proxys pour afficher les proxys concernés.
• Durée : durée de l'incident, du premier événement au dernier. La date et l'heure de la première détection de l'événement sont également indiquées.
• Adresses IP : nombre d'adresses IP uniques détectées pour cet incident. Cliquez sur Afficher les adresses IP pour obtenir plus d'informations sur les adresses IP.
• Insights : les détails d'un incident de détection d'utilisation abusive peuvent inclure des insights d'IA générative créés à l'aide de grands modèles de langage (LLM) d'IA générative Google Cloud. Le LLM récapitule le trafic détecté par incident pour vous aider à mieux comprendre l'incident de sécurité, fournit du contexte et des informations supplémentaires sur l'incident, fournit des liens vers des documents pertinents et recommande les étapes suivantes. Cliquez sur l'icône "J'aime" ou "Je n'aime pas" pour nous faire part de vos commentaires. Vous pouvez également ajouter une explication.
  
  Les résumés et les recommandations Insights sont basés sur les données des 14 derniers jours, même si l'incident a commencé il y a plus de 14 jours.
  
  Attention : Utilisez Insights avec prudence. Les insights peuvent ne pas être précis ou complets.
  Ces insights sur l'IA générative sont inclus automatiquement dans la détection des abus si le projet et votre compte utilisateur sont configurés pour utiliser l'API Cloud AI Companion. Consultez les pages Activer l'API Cloud AI Companion dans un projet Google Cloud et Attribuer des rôles IAM dans un projet Google Cloud.
  
  Pour désactiver les insights d'IA générative, désactivez l'API Cloud AI Companion pour ce projet en suivant les instructions de la section Désactiver des services.
• Événements : affiche un graphique de séries temporelles des événements de l'incident. Pour chaque point de temps du graphique, la valeur "y" associée correspond au nombre total d'événements sur une courte période autour de ce moment. Si vous passez la souris sur un point du graphique, le nombre d'événements de la période la plus récente est affiché sous Valeur. Vous pouvez voir les valeurs où les périodes changent en déplaçant le curseur vers la gauche ou vers la droite, et en observant les modifications.

  Le volet Événements affiche également le nombre total de trafic d'environnement et d'incidents.

• Principales règles détectées : affiche au maximum cinq des principaux groupes de règles détectés, y compris les informations suivantes :
  • Règles dominantes : règles de détection les plus significatives déclenchées par l'incident.
  • Événements d'API pour les règles dominantes : nombre d'événements d'API tagués par les règles dominantes.
  • Nombre total de règles détectées : nombre de règles de détection déclenchées par l'incident.

  Pour afficher toutes les règles, cliquez sur Afficher toutes les règles en bas de la fiche.

• Principaux pays détectés : carte indiquant les pays à l'origine des événements de l'incident. Sous la carte se trouve un graphique affichant au maximum cinq de ces pays, ainsi que le pourcentage du trafic total émis par chacun de ces pays.

  Remarque : Si le pays d'origine des événements ne peut pas être déterminé, la carte affiche non défini.

  Pour afficher tous les pays, cliquez sur Afficher tous les pays en bas de la fiche.

• Adresses IP : affichez les détails de l'incident par adresse IP source pour les événements de l'incident. Sélectionnez Afficher toutes les adresses IP pour afficher toutes les adresses IP de la liste. Pour télécharger un fichier CSV contenant les adresses IP du trafic détecté, cliquez sur Télécharger un fichier CSV. Remarque : Le volet Adresses IP affiche des adresses IP uniques, même si plusieurs incidents correspondent à la même adresse IP.

  L'attribut Adresses IP affiche les colonnes suivantes :

  • Adresse IP : adresse IP pour l'incident.
  • Emplacement : emplacement de l'adresse IP.
  • Trafic détecté : nombre total de requêtes provenant de l'adresse IP.
  • Pourcentage d'appels : pourcentage de requêtes provenant de l'adresse IP parmi tous les appels de l'environnement.
  • Premier événement détecté : première fois qu'un événement a été détecté dans l'incident.
  • Dernier événement détecté : dernière fois qu'un événement a été détecté dans l'incident.

Attributs

La vue Attributs vous permet d'approfondir les détails d'un incident. Les attributs, également appelés dimensions, sont des regroupements de données qui vous permettent d'afficher l'incident de différentes manières. Par exemple, l'attribut "Produits d'API" vous permet d'afficher les données d'incident par produit d'API.

Pour afficher la section Attributs, sélectionnez Attributs en haut de la vue Détails de l'incident.

Le volet de gauche affiche tous les attributs et le nombre de valeurs distinctes pour chaque attribut. Vous pouvez sélectionner un attribut pour afficher les détails de l'incident associé.

L'image ci-dessus montre la vue Attributs avec Pays/Régions sélectionné. Le volet Pays/Régions affiche des graphiques du pourcentage d'appels d'API effectués pour chaque région.

Consultez Que signifie l'attribut (not set) ? si vous voyez (not set) pour toutes les valeurs.

Le champ Filtre vous permet de filtrer les données affichées dans le volet d'un attribut suivant diverses propriétés.

En général, le volet d'un attribut affiche un tableau qui présente les données d'incident suivant les valeurs de l'attribut. Les colonnes du tableau sont les suivantes :

• Nombre total d'appels effectués : nombre total d'appels d'API.
• Pourcentage d'appels : pourcentage de tous les appels pour chaque valeur de l'attribut.
• Date et heure de dernière détection : date et heure de la dernière détection d'un événement lié à l'incident.

Pour certains attributs, la table comporte des colonnes supplémentaires.

Vous pouvez choisir parmi les attributs suivants dans le volet de gauche :

• Produits d'API : affichez les détails de l'incident par produit d'API.
• Clés d'application : affichez les détails des incidents par clé d'application, également appelée clé API ou clé client, correspondant à un identifiant pour le client.
• Pays/Régions : affichez les détails de l'incident par pays et région d'origine des événements.
• Développeurs : affichez les détails de l'incident selon les développeurs, c'est-à-dire les personnes qui utilisent vos API pour développer des applications. Outre les trois colonnes décrites ci-dessus, l'attribut Développeurs comprend également une colonne intitulée Applications, qui indique le nombre d'applications pour chaque développeur.
• Applications des développeurs : affichez les détails de l'incident par application.

  Outre les trois colonnes décrites ci-dessus, l'attribut Applications des développeurs contient également la colonne Développeurs, qui indique les personnes ayant créé les applications.

• Proxys : affichez les détails des incidents par proxy.
• Codes de réponse : affichez les détails de l'incident par code de réponse.
• Règles : affichez les détails de l'incident par règle de détection.
• User-agents : affichez les détails de l'incident par user-agent, c'est-à-dire l'agent logiciel qui a effectué l'appel d'API.

Que signifie l'attribut (not set) ?

Un attribut peut parfois avoir la valeur (not set). Plusieurs raisons peuvent expliquer cela. En premier lieu, il est possible qu'Apigee ne dispose pas de suffisamment d'informations pour déterminer la valeur de l'attribut, par exemple le pays d'origine d'un appel d'API. Il est également possible que l'attribut ne s'applique pas à un cas particulier. Pour plus d'informations, consultez la section Signification d'une valeur d'entité d'analyse "(not set)".

Trafic détecté

La vue Trafic détecté affiche des informations sur les incidents dont le dernier événement détecté s'est produit au cours des 14 derniers jours. Pour en savoir plus sur la période des données affichées dans l'interface utilisateur, consultez la section Limites applicables aux incidents et aux données affichées.

Pour ouvrir la vue Trafic détecté, sélectionnez Trafic détecté dans la vue Détails de l'environnement, comme illustré ci-dessous :

La vue Trafic détecté affiche les données suivantes :

• Trafic total : nombre total de requêtes.
• Trafic détecté : nombre de requêtes provenant d'adresses IP associées à un abus détecté.
• Pourcentage de trafic détecté : pourcentage de trafic détecté par rapport au trafic total.
• Nombre d'adresses IP détectées : nombre d'adresses IP distinctes correspondant à l'abus détecté. Plusieurs requêtes provenant de la même adresse IP ne sont comptabilisées qu'une seule fois.

La vue Trafic détecté affiche également un tableau listant les détails de chaque adresse IP correspondant à l'abus détecté. Notez que par défaut, pour des raisons de confidentialité, les adresses IP ne sont pas affichées. Pour les afficher, sélectionnez Afficher toutes les adresses IP en haut du tableau.

Chaque ligne du tableau des adresses IP contient :

• Adresse IP : adresse IP de l'abus détecté. Cliquez sur Afficher pour afficher l'adresse.
• Emplacement : emplacement de l'adresse IP.
• Clé d'application principale : clé d'application utilisée le plus fréquemment dans les requêtes provenant de l'adresse IP. Remarque : la clé d'application est un autre terme qui désigne la clé API.
• Règles de détection : liste de toutes les règles de détection déclenchées par l'abus.
• URL principale : URL ayant reçu le plus de requêtes provenant de l'adresse IP.
• Trafic détecté : nombre de requêtes provenant de l'adresse IP.
• Pourcentage de trafic détecté : pourcentage de requêtes provenant de l'adresse IP parmi toutes les requêtes de l'environnement.
• Premier événement détecté : première fois qu'un événement a été détecté dans une requête provenant de l'adresse IP au cours de la période sélectionnée en haut de la page Scores de sécurité.
• Dernier événement détecté : dernière fois qu'un événement a été détecté dans une requête provenant de l'adresse IP au cours de la période sélectionnée en haut de la page Scores de sécurité.

Limites de la détection des abus

La détection des abus présente les limites suivantes.

• Les incidents dont le dernier événement détecté date de plus de 14 jours ne s'affichent pas dans l'interface utilisateur de détection des abus. Pour en savoir plus sur les incidents et les données affichés dans l'interface utilisateur, consultez la section Limites applicables aux incidents et aux données affichées.
• Lorsque vous activez Advanced API Security pour une organisation pour la première fois ou que vous la réactivez, il existe un délai pendant lequel les événements sont regroupés en incidents. Par la suite, il y aura des retards périodiques.
• Le chargement de la page des attributs Détails de l'incident peut prendre un certain temps pour les organisations présentant un trafic important.