Règles de détection

Cette page s'applique à Apigee et à Apigee hybrid.

Consultez la documentation d'Apigee Edge.

Advanced API Security utilise des règles de détection pour détecter des modèles inhabituels dans le trafic des API pouvant représenter une activité malveillante. Ces règles incluent des modèles de machine learning, entraînés sur des données d'API réelles et des règles descriptives, basées sur des types connus de menaces d'API.

Remarque : La page Détection des abus de la sécurité avancée des API utilise des règles de détection pour détecter les incidents de sécurité. Un incident de sécurité est un groupe d'événements suivant des schémas similaires, qui peuvent représenter une menace de sécurité. Notez qu'un incident peut être déclenché par plusieurs règles de détection. Dans ce cas, toutes les règles qui ont déclenché l'incident sont répertoriées dans la vue Détails de l'environnement de la détection des abus.

Le tableau suivant répertorie les règles de détection et leur description.

Règle de détection	Description
Preview : Advanced API Scraper	Un modèle de machine learning qui détecte le scraping des API, c'est-à-dire l'extraction des informations ciblées à partir d'API à des fins malveillantes.
Preview : Détection avancée des anomalies	Modèle de machine learning permettant de détecter des anomalies (modèles inhabituels d'événements) dans le trafic des API.
Brute Guessor	Haute proportion d'erreurs de réponse au cours des dernières 24 heures
Flooder	Haute proportion de trafic provenant d'une adresse IP dans un intervalle de cinq minutes
OAuth Abuser	Nombre élevé de sessions OAuth avec un petit nombre d'user-agents au cours des dernières 24 heures
Robot Abuser	Nombre élevé d'erreurs de refus 403 au cours des dernières 24 heures
Static Content Scraper	Proportion élevée de taille de la charge utile de la réponse éman,ant d'une même adresse IP, dans un intervalle de cinq minutes
TorListRule	Liste d'adresses IP de nœuds de sortie Tor. Un nœud de sortie Tor est le dernier nœud Tor par lequel le trafic transite sur le réseau Tor avant d'arriver sur Internet. La détection des nœuds de sortie Tor indique qu'un agent a envoyé du trafic vers vos API à partir du réseau Tor, probablement à des fins malveillantes.

Règles de machine learning et de détection

Advanced API Security utilise des modèles créés avec les algorithmes de machine learning de Google pour détecter les menaces de sécurité pesant sur vos API. Ces modèles sont pré-entraînés sur des ensembles de données de trafic d'API réels (pas sur vos données de trafic actuelles) contenant des menaces de sécurité connues. Par conséquent, les modèles apprennent à reconnaître les modèles de trafic d'API inhabituels, tels que le scraping et les anomalies d'API, et les événements de cluster basés sur des modèles similaires.

Deux des règles de détection répertoriées ci-dessus sont basées sur des modèles de machine learning :

• Advanced API Scraper
• Détection d'anomalies avancée

Remarque : Les données utilisées pour entraîner les modèles de machine learning des règles Advanced API scraper et Advanced Anomaly Detection contiennent des métadonnées, y compris l'adresse IP source, la géographie source et les valeurs de certains en-têtes de requêtes HTTP. Toutefois, les données de détection reçues par les modèles n'incluent pas les valeurs réelles de ces métadonnées. Le modèle effectue des détections sur la base des propriétés statistiques des données, et non des valeurs des métadonnées.