Advanced API Security utilizza regole di rilevamento per rilevare pattern insoliti nel traffico API che potrebbero rappresentare attività dannose. Queste regole includono sia
modelli di machine learning, addestrati su dati API reali, sia regole descrittive,
basate su tipi noti di minacce API.
La tabella seguente elenca le regole di rilevamento e le relative descrizioni.
Regola di rilevamento
Descrizione
Un modello di machine learning che rileva lo scraping delle API, ovvero il processo di estrazione di informazioni mirate dalle API per scopi dannosi.
Elevata proporzione di errori di risposta nelle 24 ore precedenti
Flooder
Elevata percentuale di traffico da un indirizzo IP in un periodo di 5 minuti
OAuth Abuser
Numero elevato di sessioni OAuth con un numero ridotto di user agent nelle precedenti
24 ore
Robot Abuser
Numero elevato di errori di rifiuto 403 nelle ultime 24 ore
Static Content Scraper
Elevata proporzione di dimensioni del payload di risposta da un indirizzo IP in un periodo di 5 minuti
TorListRule
Elenco degli IP dei nodi di uscita Tor. Un exit node Tor è l'ultimo nodo Tor attraverso cui passa il traffico
nella rete Tor
prima di uscire su internet. Il rilevamento dei nodi di uscita Tor indica che
un agente ha inviato traffico alle tue API dalla rete Tor, probabilmente per
scopi dannosi.
Informazioni sul rilevamento avanzato delle anomalie
L'algoritmo di rilevamento avanzato delle anomalie apprende dal traffico API, tenendo conto di fattori come tassi di errore, volume di traffico, dimensioni delle richieste, latenza, geolocalizzazione e altri metadati del traffico a livello di ambiente. Se si verificano cambiamenti significativi nei pattern di traffico (ad esempio, un picco di traffico, tassi di errore o latenza), il modello segnala l'indirizzo IP che ha contribuito all'anomalia nel traffico rilevato.
Per ridurre il rischio che i malintenzionati possano sfruttare il modello, non esponiamo dettagli specifici
su come funziona il modello o su come vengono rilevati gli incidenti. Tuttavia, queste informazioni aggiuntive possono aiutarti a utilizzare al meglio il rilevamento delle anomalie:
Tenere conto della varianza stagionale: poiché il modello viene addestrato sui dati sul traffico,
può riconoscere e tenere conto
delle variazioni stagionali del traffico (ad esempio il traffico durante le festività), se i dati sul traffico includono
dati precedenti per questo pattern, ad esempio la stessa festività in un anno precedente.
Visualizzazione delle anomalie:
Per i clienti Apigee e ibridi esistenti:Apigee
consiglia di disporre di almeno due settimane di dati storici sul traffico API e, per risultati più
accurati, sono preferibili 12 settimane di dati storici. Il rilevamento avanzato di anomalie
inizia a mostrare le anomalie entro sei ore dall'attivazione dell'addestramento del modello.
Nuovi utenti Apigee:il modello inizia a mostrare anomalie 6 ore dopo
l'attivazione, se disponi di almeno 2 settimane di dati storici.
Tuttavia, ti consigliamo di prestare attenzione quando agisci in base alle anomalie rilevate finché il
modello non dispone di almeno 12 settimane di dati per l'addestramento. Il modello viene addestrato continuamente
sui tuoi dati storici sul traffico, in modo che diventi più preciso nel tempo.
Limitazioni
Per il rilevamento di abusi, rilevamento avanzato di anomalie:
Le anomalie vengono rilevate a livello di ambiente. Il rilevamento delle anomalie a livello di singolo proxy non è supportato al momento.
Al momento, il rilevamento delle anomalie non è supportato per i clienti VPC-SC.
Machine learning e regole di rilevamento
Advanced API Security utilizza modelli creati con gli algoritmi di machine learning di Google per rilevare minacce alla sicurezza delle tue API. Questi modelli sono preaddestrati su set di dati di traffico API reali (inclusi i tuoi dati di traffico attuali, se attivati) che contengono minacce alla sicurezza note. Di conseguenza, i modelli imparano a riconoscere pattern di traffico API insoliti, come lo scraping e le anomalie delle API, e a raggruppare gli eventi in base a pattern simili.
Due delle regole di rilevamento si basano su modelli di machine learning:
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-03 UTC."],[[["\u003cp\u003eThis page provides information about Advanced API Security features in Apigee and Apigee hybrid.\u003c/p\u003e\n"],["\u003cp\u003eAdvanced API Security uses detection rules, including machine learning models and descriptive rules, to identify unusual patterns in API traffic that might indicate malicious activity.\u003c/p\u003e\n"],["\u003cp\u003eThe detection rules include machine learning models like "Advanced API Scraper" and "Advanced Anomaly Detection," which are trained on real API traffic data to identify patterns indicative of security threats.\u003c/p\u003e\n"],["\u003cp\u003eOther detection rules include "Brute Guessor," "Flooder," "OAuth Abuser," "Robot Abuser," "Static Content Scraper," and "TorListRule", each targeting specific types of potential API abuse.\u003c/p\u003e\n"],["\u003cp\u003eSecurity incidents, which are groups of similar events representing security threats, can be triggered by one or multiple detection rules.\u003c/p\u003e\n"]]],[],null,["# Detection rules\n\n*This page\napplies to **Apigee** and **Apigee hybrid**.*\n\n\n*View [Apigee Edge](https://docs.apigee.com/api-platform/get-started/what-apigee-edge) documentation.*\n\nAdvanced API Security uses *detection rules* to detect unusual patterns in\nAPI traffic that could represent malicious activity. These rules include both\nmachine learning models, trained on real API data, and descriptive rules,\nbased on known types of API threats.\n| **Note:** The Advanced API Security [Abuse detection](/apigee/docs/api-security/abuse-detection) page uses detection rules to detect security incidents. A security incident is a group of events with similar patterns that could represent a security threat. Note that one incident might be triggered by multiple detection rules, in which case all of the rules that triggered the incident are listed in the Abuse detection [Environment details](/apigee/docs/api-security/abuse-detection#environment-details) view.\n\nThe following table lists the detection rules and their descriptions.\n\nAbout Advanced Anomaly Detection\n--------------------------------\n\nThe Advanced Anomaly Detection algorithm learns from your API traffic, taking into account\nfactors like error rates, traffic volume, request size, latency, geolocation, and other traffic\nmetadata at the environment level. If there are significant shifts in traffic patterns (for\nexample, a surge in traffic, error rates, or latency), the model flags the IP address that\ncontributed to the anomaly in Detected Traffic.\n| **Note:** Use of Advanced Anomaly Detection requires opting in to training the model on your API traffic data. For more information, see [Opt in for machine learning models for Abuse Detection](/apigee/docs/api-security/abuse-detection#opt-in-for-machine-learning-models-for-machine-learning).\n\nYou can also combine anomaly detection with\n[security actions](/apigee/docs/api-security/security-actions) to automatically flag\nor deny traffic that is detected as anomalous by the model. See the\n[\"Using Apigee Advanced API Security's Security Actions to Flag and Block Suspicious Traffic\"\ncommunity post](https://www.googlecloudcommunity.com/gc/Cloud-Product-Articles/Using-Apigee-Advanced-API-Security-s-Security-Actions-to-Flag/ta-p/842645) for additional information.\n\n### Model behavior\n\nTo reduce the risk that bad actors can exploit the model, we do not expose specific details\nabout how the model works or how incidents are detected. However, this additional\ninformation can help you make the best use of anomaly detection:\n\n- **Accounting for seasonal variance:**Because the model is trained on your traffic data, it can recognize and account for seasonal traffic variances (such as holiday traffic), if your traffic data includes previous data for that pattern, such as the same holiday in a previous year.\n- **Surfacing anomalies:**\n - **For existing Apigee and hybrid customers:** Apigee recommends that you have at least 2 weeks of historical API traffic data and, for more accurate results 12 weeks of historical data is preferable. Advanced Anomaly Detection starts surfacing anomalies within six hours of opting in to model training.\n - **New Apigee users:** The model starts surfacing anomalies 6 hours after opt-in, if you have a minimum of 2 weeks of historical data. However, we recommend using caution when acting on detected anomalies until the model has at least 12 weeks of data for training. The model is continuously trained on your historical traffic data so that it becomes more accurate over time.\n\n### Limitations\n\nFor Abuse Detection Advanced Anomaly Detection:\n\n- Anomalies are detected at the environment level. Anomaly detection at an individual proxy level is not supported at this time.\n- Anomaly detection is not supported for VPC-SC customers at this time.\n\nMachine learning and detection rules\n------------------------------------\n\nAdvanced API Security uses models built with Google's machine learning algorithms to\ndetect security threats to your APIs. These models are pre-trained on real\nAPI traffic data sets (including your current traffic data, if enabled) that contain known\nsecurity threats. As a result,\nthe models learn to recognize unusual API traffic patterns, such as API scraping and anomalies,\nand cluster events together based on similar patterns.\n\nTwo of the detection rules are based on machine learning models:\n\n- Advanced API Scraper\n- Advanced Anomaly Detection\n\n| **Note:** The data used to train the machine learning models for the rules Advanced API Scraper and Advanced Anomaly Detection contain metadata, including source IP address, source geography, and the values of some HTTP request headers. However, the detection data received by the models do not include the actual values of this metadata. The model makes detections based on the statistical properties of the data, not on the values of the metadata."]]
