Reglas de detección

Esta página se aplica a Apigee y Apigee Hybrid.

Consulta la documentación de Apigee Edge.

La seguridad avanzada de las APIs usa reglas de detección para detectar patrones inusuales en el tráfico de las APIs que podrían representar actividad maliciosa. Estas reglas incluyen tanto modelos de aprendizaje automático, entrenados con datos de APIs reales, como reglas descriptivas, basadas en tipos conocidos de amenazas de APIs.

Nota: La página Detección de abusos de Seguridad avanzada de las APIs usa reglas de detección para detectar incidentes de seguridad. Un incidente de seguridad es un grupo de eventos con patrones similares que podrían representar una amenaza de seguridad. Ten en cuenta que un incidente puede activarse por varias reglas de detección. En ese caso, todas las reglas que hayan activado el incidente se mostrarán en la vista Detalles del entorno de Detección de abusos.

En la siguiente tabla se indican las reglas de detección y sus descripciones.

Regla de detección	Descripción
Vista previa: Advanced API Scraper	Modelo de aprendizaje automático que detecta el raspado de APIs, que es el proceso de extraer información específica de APIs con fines maliciosos.
Vista previa: detección avanzada de anomalías	Modelo de aprendizaje automático para detectar anomalías (patrones de eventos inusuales) en el tráfico de las APIs. Consulte Acerca de la detección de anomalías avanzada.
Adivinador de fuerza bruta	Proporción elevada de errores de respuesta durante las últimas 24 horas
Flooder	Proporción elevada de tráfico procedente de una dirección IP en un periodo de 5 minutos
Usuario que abusa de OAuth	Gran número de sesiones de OAuth con un número reducido de user-agents durante las últimas 24 horas
Robot Abuser	Gran número de errores de rechazo 403 en las últimas 24 horas
Raspador de contenido estático	Proporción elevada del tamaño de la carga útil de la respuesta de una dirección IP en un periodo de 5 minutos
TorListRule	Lista de IPs de nodos de salida de Tor. Un nodo de salida de Tor es el último nodo de Tor por el que pasa el tráfico en la red Tor antes de salir a Internet. La detección de nodos de salida de Tor indica que un agente ha enviado tráfico a tus APIs desde la red Tor, posiblemente con fines maliciosos.

Acerca de la detección de anomalías avanzada

El algoritmo de detección de anomalías avanzada aprende del tráfico de tu API y tiene en cuenta factores como las tasas de error, el volumen de tráfico, el tamaño de las solicitudes, la latencia, la geolocalización y otros metadatos de tráfico a nivel de entorno. Si se producen cambios significativos en los patrones de tráfico (por ejemplo, un aumento repentino del tráfico, de las tasas de error o de la latencia), el modelo marca la dirección IP que ha contribuido a la anomalía en Tráfico detectado.

Nota: Para usar la detección avanzada de anomalías, debes habilitar el entrenamiento del modelo con tus datos de tráfico de la API. Para obtener más información, consulta el artículo Habilitar los modelos de aprendizaje automático para la detección de abusos

.

También puede combinar la detección de anomalías con acciones de seguridad para marcar o denegar automáticamente el tráfico que el modelo detecte como anómalo. Consulta la publicación de la comunidad "Using Apigee Advanced API Security's Security Actions to Flag and Block Suspicious Traffic" (Usar las acciones de seguridad de Apigee Advanced API Security para marcar y bloquear el tráfico sospechoso) para obtener más información.

Comportamiento del modelo

Para reducir el riesgo de que los agentes malintencionados puedan aprovechar el modelo, no exponemos detalles específicos sobre cómo funciona el modelo ni cómo se detectan los incidentes. Sin embargo, esta información adicional puede ayudarte a sacar el máximo partido a la detección de anomalías:

• Tener en cuenta las variaciones estacionales: como el modelo se entrena con tus datos de tráfico, puede reconocer y tener en cuenta las variaciones estacionales del tráfico (como el tráfico de vacaciones) si tus datos de tráfico incluyen datos anteriores de ese patrón, como las mismas vacaciones de un año anterior.
• Detectar anomalías:
• Para los clientes actuales de Apigee y de la solución híbrida: Apigee recomienda que tengas al menos dos semanas de datos históricos de tráfico de APIs. Para obtener resultados más precisos, es preferible que tengas 12 semanas de datos históricos. La detección avanzada de anomalías empieza a mostrar anomalías en un plazo de seis horas después de habilitar el entrenamiento del modelo.
• Nuevos usuarios de Apigee: el modelo empieza a mostrar anomalías 6 horas después de habilitarlo, si tiene un mínimo de 2 semanas de datos históricos. Sin embargo, te recomendamos que actúes con precaución ante las anomalías detectadas hasta que el modelo tenga al menos 12 semanas de datos para el entrenamiento. El modelo se entrena continuamente con tu historial de datos de tráfico para que sea más preciso con el tiempo.

Limitaciones

Para la detección de abusos con detección de anomalías avanzada:

• Las anomalías se detectan a nivel de entorno. En este momento, no se admite la detección de anomalías a nivel de proxy individual.
• Por el momento, no se admite la detección de anomalías para los clientes de VPC-SC.

Aprendizaje automático y reglas de detección

Advanced API Security usa modelos creados con los algoritmos de aprendizaje automático de Google para detectar amenazas de seguridad en tus APIs. Estos modelos se han entrenado previamente con conjuntos de datos de tráfico de APIs reales (incluidos tus datos de tráfico actuales, si están habilitados) que contienen amenazas de seguridad conocidas. Como resultado, los modelos aprenden a reconocer patrones de tráfico de API inusuales, como el raspado de APIs y las anomalías, y agrupan los eventos en clústeres en función de patrones similares.

Dos de las reglas de detección se basan en modelos de aprendizaje automático:

• Advanced API Scraper
• Detección de anomalías avanzada

Nota: Los datos que se usan para entrenar los modelos de aprendizaje automático de las reglas de la API Scraper avanzada y de la detección de anomalías avanzada contienen metadatos, como la dirección IP de origen, la geografía de origen y los valores de algunos encabezados de solicitudes HTTP. Sin embargo, los datos de detección que reciben los modelos no incluyen los valores reales de estos metadatos. El modelo hace detecciones basadas en las propiedades estadísticas de los datos, no en los valores de los metadatos.