지능화된 API 보안은 감지 규칙을 사용하여 API 트래픽에서 악의적인 활동을 나타낼 수 있는 비정상적인 패턴을 감지합니다. 이러한 규칙에는 실제 API 데이터로 학습된 머신러닝 모델과 알려진 API 위협을 기반으로 하는 설명 규칙이 모두 포함됩니다.
다음 표에는 감지 규칙과 설명이 나와 있습니다.
감지 규칙
설명
악의적인 목적으로 API에서 타겟팅한 정보를 추출하는 프로세스인 API 스크래핑을 감지하는 머신러닝 모델입니다.
API 트래픽에서 비정상적인 이벤트 패턴인 이상치를 감지하는 머신러닝 모델입니다. 고급 이상 감지 정보를 참조하세요.
무작위 추측자
이전 24시간 동안 응답 오류의 더 큰 비율
Flooder
5분 동안 IP 주소에서 높은 트래픽 비율
OAuth Abuser
이전 24시간 동안 소규모 사용자 에이전트가 포함된 많은 OAuth 세션 수
Robot Abuser
이전 24시간 동안 많은 403 거부 오류 수
Static Content Scraper
5분 동안 IP 주소에서 응답 페이로드 크기가 높은 비율
TorListRule
Tor 종료 노드 IP 목록입니다. Tor 종료 노드는 트래픽이 인터넷으로 나가기 전 Tor 네트워크를 통과하는 마지막 Tor 노드입니다. Tor 종료 노드를 감지하면 에이전트가 악의적인 목적으로 트래픽을 Tor 네트워크에서 API로 전송했음을 나타냅니다.
고급 이상 감지 정보
고급 이상 감지 알고리즘은 오류율, 트래픽 볼륨, 요청 크기, 지연 시간, 위치정보, 환경 수준의 기타 트래픽 메타데이터와 같은 요소를 고려하여 API 트래픽에서 학습합니다. 트래픽 패턴에 큰 변화(예: 트래픽, 오류율 또는 지연 시간 급증)가 있으면 모델은 감지된 트래픽에서 이상치에 기여한 IP 주소를 신고합니다.
악의적인 행위자가 모델을 악용할 위험을 줄이기 위해 모델 작동 방식이나 사고 감지 방식에 대한 구체적인 세부정보를 공개하지 않습니다. 하지만 이 추가 정보는 이상 감지를 최대한 활용하는 데 도움이 될 수 있습니다.
계절 변동 고려: 모델은 트래픽 데이터를 기반으로 학습되므로 트래픽 데이터에 해당 패턴의 이전 데이터(예: 전년도의 같은 휴일)가 포함된 경우 계절별 트래픽 변동(예: 휴일 트래픽)을 인식하고 설명할 수 있습니다.
이상치 표시:
기존 Apigee 및 Hybrid 고객의 경우: 최소 2주 이상의 이전 API 트래픽 데이터를 보유하고 더 정확한 결과를 얻으려면 12주의 이전 데이터를 보유하는 것이 좋습니다. 고급 이상 감지는 모델 학습을 선택한 후 6시간 이내에 이상을 표시하기 시작합니다.
신규 Apigee 사용자: 최소 2주의 이전 데이터를 보유하고 있는 경우 선택한지 6시간 후에 모델에서 이상치를 표시하기 시작합니다.
하지만 감지된 이상치에 대해 조치를 취할 때는 모델에 최소 12주 이상의 학습 데이터가 확보될 때까지 주의해야 합니다. 모델은 시간이 지날수록 정확해지도록 이전 트래픽 데이터를 기반으로 지속적으로 학습됩니다.
제한사항
악용 감지 고급 이상 감지:
이상치는 환경 수준에서 감지됩니다. 현재 개별 프록시 수준에서의 이상 감지는 지원되지 않습니다.
현재 VPC-SC 고객에게는 이상 감지가 지원되지 않습니다.
머신러닝 및 감지 규칙
지능화된 API 보안은 Google의 머신러닝 알고리즘으로 빌드된 모델을 사용하여 API에 대한 보안 위협을 감지합니다. 이러한 모델은 알려진 보안 위협이 포함된 실제 API 트래픽 데이터 세트(사용 설정된 경우 현재 트래픽 데이터 포함)로 사전 학습됩니다. 따라서 이 모델은 API 스크래핑 및 이상치와 같은 비정상적인 API 트래픽 패턴과 유사한 패턴을 기반으로 클러스터 이벤트까지 함께 인식하도록 학습합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-19(UTC)"],[[["\u003cp\u003eThis page provides information about Advanced API Security features in Apigee and Apigee hybrid.\u003c/p\u003e\n"],["\u003cp\u003eAdvanced API Security uses detection rules, including machine learning models and descriptive rules, to identify unusual patterns in API traffic that might indicate malicious activity.\u003c/p\u003e\n"],["\u003cp\u003eThe detection rules include machine learning models like "Advanced API Scraper" and "Advanced Anomaly Detection," which are trained on real API traffic data to identify patterns indicative of security threats.\u003c/p\u003e\n"],["\u003cp\u003eOther detection rules include "Brute Guessor," "Flooder," "OAuth Abuser," "Robot Abuser," "Static Content Scraper," and "TorListRule", each targeting specific types of potential API abuse.\u003c/p\u003e\n"],["\u003cp\u003eSecurity incidents, which are groups of similar events representing security threats, can be triggered by one or multiple detection rules.\u003c/p\u003e\n"]]],[],null,["# Detection rules\n\n*This page\napplies to **Apigee** and **Apigee hybrid**.*\n\n\n*View [Apigee Edge](https://docs.apigee.com/api-platform/get-started/what-apigee-edge) documentation.*\n\nAdvanced API Security uses *detection rules* to detect unusual patterns in\nAPI traffic that could represent malicious activity. These rules include both\nmachine learning models, trained on real API data, and descriptive rules,\nbased on known types of API threats.\n| **Note:** The Advanced API Security [Abuse detection](/apigee/docs/api-security/abuse-detection) page uses detection rules to detect security incidents. A security incident is a group of events with similar patterns that could represent a security threat. Note that one incident might be triggered by multiple detection rules, in which case all of the rules that triggered the incident are listed in the Abuse detection [Environment details](/apigee/docs/api-security/abuse-detection#environment-details) view.\n\nThe following table lists the detection rules and their descriptions.\n\nAbout Advanced Anomaly Detection\n--------------------------------\n\nThe Advanced Anomaly Detection algorithm learns from your API traffic, taking into account\nfactors like error rates, traffic volume, request size, latency, geolocation, and other traffic\nmetadata at the environment level. If there are significant shifts in traffic patterns (for\nexample, a surge in traffic, error rates, or latency), the model flags the IP address that\ncontributed to the anomaly in Detected Traffic.\n| **Note:** Use of Advanced Anomaly Detection requires opting in to training the model on your API traffic data. For more information, see [Opt in for machine learning models for Abuse Detection](/apigee/docs/api-security/abuse-detection#opt-in-for-machine-learning-models-for-machine-learning).\n\nYou can also combine anomaly detection with\n[security actions](/apigee/docs/api-security/security-actions) to automatically flag\nor deny traffic that is detected as anomalous by the model. See the\n[\"Using Apigee Advanced API Security's Security Actions to Flag and Block Suspicious Traffic\"\ncommunity post](https://www.googlecloudcommunity.com/gc/Cloud-Product-Articles/Using-Apigee-Advanced-API-Security-s-Security-Actions-to-Flag/ta-p/842645) for additional information.\n\n### Model behavior\n\nTo reduce the risk that bad actors can exploit the model, we do not expose specific details\nabout how the model works or how incidents are detected. However, this additional\ninformation can help you make the best use of anomaly detection:\n\n- **Accounting for seasonal variance:**Because the model is trained on your traffic data, it can recognize and account for seasonal traffic variances (such as holiday traffic), if your traffic data includes previous data for that pattern, such as the same holiday in a previous year.\n- **Surfacing anomalies:**\n - **For existing Apigee and hybrid customers:** Apigee recommends that you have at least 2 weeks of historical API traffic data and, for more accurate results 12 weeks of historical data is preferable. Advanced Anomaly Detection starts surfacing anomalies within six hours of opting in to model training.\n - **New Apigee users:** The model starts surfacing anomalies 6 hours after opt-in, if you have a minimum of 2 weeks of historical data. However, we recommend using caution when acting on detected anomalies until the model has at least 12 weeks of data for training. The model is continuously trained on your historical traffic data so that it becomes more accurate over time.\n\n### Limitations\n\nFor Abuse Detection Advanced Anomaly Detection:\n\n- Anomalies are detected at the environment level. Anomaly detection at an individual proxy level is not supported at this time.\n- Anomaly detection is not supported for VPC-SC customers at this time.\n\nMachine learning and detection rules\n------------------------------------\n\nAdvanced API Security uses models built with Google's machine learning algorithms to\ndetect security threats to your APIs. These models are pre-trained on real\nAPI traffic data sets (including your current traffic data, if enabled) that contain known\nsecurity threats. As a result,\nthe models learn to recognize unusual API traffic patterns, such as API scraping and anomalies,\nand cluster events together based on similar patterns.\n\nTwo of the detection rules are based on machine learning models:\n\n- Advanced API Scraper\n- Advanced Anomaly Detection\n\n| **Note:** The data used to train the machine learning models for the rules Advanced API Scraper and Advanced Anomaly Detection contain metadata, including source IP address, source geography, and the values of some HTTP request headers. However, the detection data received by the models do not include the actual values of this metadata. The model makes detections based on the statistical properties of the data, not on the values of the metadata."]]
