Esta página se ha traducido con Cloud Translation API.

Descripción general y interfaz de usuario de la evaluación de riesgos

Esta página se aplica a Apigee y Apigee Hybrid.

Consulta la documentación de Apigee Edge.

Información general

La evaluación de riesgos de la seguridad avanzada de las APIs evalúa continuamente las configuraciones de proxy de las APIs y calcula las puntuaciones de seguridad para ayudar a identificar y abordar las vulnerabilidades de tus APIs.

La evaluación de riesgos te ayuda a:

Aplica estándares de seguridad coherentes en todas las APIs.
Detecta configuraciones erróneas en las configuraciones de las APIs.
Mejora tu puntuación de seguridad general con las acciones recomendadas.
Investiga y resuelve rápidamente los problemas de seguridad a través de un panel de control centralizado.

Además de evaluar el riesgo actual de cada proxy, la evaluación de riesgos se puede usar para monitorizar la postura de seguridad de tus APIs a lo largo del tiempo. Una puntuación de evaluación que fluctúa podría indicar que el comportamiento de la API cambia con frecuencia, incluidos los proxies implementados sin las políticas de seguridad necesarias, las modificaciones de flujos compartidos mediante implementaciones de enlaces de flujo y adiciones de políticas FlowCallout, así como los cambios en el servidor de destino en las implementaciones de entornos o proxies.

Puede acceder a la evaluación de riesgos a través de la interfaz de usuario de Apigee, como se describe en esta página, o mediante la API Security scores and profiles (Puntuaciones y perfiles de seguridad).

Consulta los roles obligatorios para la evaluación de riesgos para saber qué roles se necesitan para llevar a cabo las tareas de evaluación de riesgos.

Para usar esta función, debes habilitar el complemento. Si tienes una suscripción, puedes habilitar el complemento para tu organización. Consulta más información sobre cómo gestionar la seguridad avanzada de las APIs en organizaciones de suscripción. Si eres cliente de la modalidad de pago por uso, puedes habilitar el complemento en los entornos aptos. Para obtener más información, consulta Gestionar el complemento Advanced API Security.

Evaluación de riesgos (versiones 1 y 2)

Evaluación de riesgos está disponible en dos versiones: Evaluación de riesgos v1, que está disponible de forma general, y Evaluación de riesgos v2, que está en vista previa. Para usar cualquiera de las dos versiones, se necesita el complemento Seguridad avanzada de las APIs.

Las principales diferencias entre las funciones de la versión 1 y la versión 2 son las siguientes:

La versión 2 incluye lo siguiente:
- Se ha mejorado la fiabilidad, lo que incluye cálculos de puntuación más rápidos con datos de proxy recientes.
- Cálculo de la puntuación sin necesidad de adjuntar primero un perfil de seguridad a un entorno
- Presentación simplificada de la puntuación, basada en una escala del 0% al 100 %
- El concepto de pesos de comprobación de evaluaciones, que no es compatible con la versión 1. Consulta Conceptos y puntuación de la evaluación de riesgos.
- Evaluaciones adicionales a la versión 1, que comprueban más políticas al calcular las puntuaciones. Por ejemplo, la versión 1 admite cinco políticas relacionadas con la autorización y la autenticación, mientras que la versión 2 admite ocho. Además, la versión 2 incluye una categoría de gestión del tráfico con políticas asociadas y realiza comprobaciones adicionales en las políticas, incluido el atributo continueOnError.
- Se comprueban los flujos compartidos y los hooks de flujos anidados hasta cinco niveles de anidación. La versión 1 no evalúa las políticas incluidas mediante el encadenamiento de flujos compartidos.
- Sustitución de las puntuaciones objetivo (puntuaciones del servidor de destino) por evaluaciones y recomendaciones basadas en proxies. Si se usa un Target en un proxy, las puntuaciones de seguridad de ese proxy incluyen también la puntuación del servidor de destino.
- Perfiles personalizados que usan las nuevas comprobaciones de evaluación de la versión 2, así como el perfil de sistema google-default.
- Monitorizar las puntuaciones y métricas de seguridad a lo largo del tiempo con Cloud Monitoring y configurar alertas con alertas de Cloud Monitoring.
La versión 2 no admite la evaluación de la fuente basada en tráfico abusivo.

Evaluación de riesgos (versión 2)

En esta sección se describe la versión 2 de Evaluación de riesgos, la nueva versión de Evaluación de riesgos. Algunos conceptos y comportamientos de la evaluación de riesgos difieren entre la versión 1 y la versión 2. Para usar la versión 1 de Evaluación de riesgos, consulta Evaluación de riesgos (versión 1).

Conceptos y metodología de puntuación de la versión 2 de la evaluación de riesgos

Las puntuaciones de seguridad de la evaluación de riesgos evalúan el riesgo de seguridad de tus APIs en función de la puntuación de las evaluaciones de seguridad y de los pesos de un perfil de seguridad.

La puntuación de la evaluación de riesgos se basa en lo siguiente:

Evaluaciones y comprobaciones de evaluaciones: las comprobaciones individuales realizadas en proxies y los proxies que se puntúan. Cada comprobación también tiene un peso, que le da más o menos importancia a la comprobación cuando se evalúa en comparación con un proxy. Las participaciones se definen como leves, moderadas o graves para cada comprobación. Cada peso tiene un valor de puntos que se usa para calcular una puntuación:
- Leve: 1
- Moderado: 5
- Mayor: 15
Perfil de seguridad: conjunto de comprobaciones de evaluación con las que se evalúan los proxies implementados en un entorno.
Puntuación de seguridad: la puntuación de un proxy tras la evaluación en comparación con un perfil de seguridad.

La puntuación es un valor entre el 0% y el 100%. El 100% indica que el proxy cumple todos los requisitos de la evaluación y que no se han detectado riesgos en las comprobaciones de la evaluación.

La puntuación de seguridad es básicamente el total de todos los puntos concedidos por las comprobaciones de evaluación superadas dividido entre el total de puntos posibles del perfil. La puntuación es una media ponderada, por lo que, cuantas más políticas tenga el perfil de seguridad, menor será el impacto de cada comprobación de la evaluación en la puntuación de seguridad.

El peso de la comprobación de la evaluación también influye en la puntuación de seguridad. Los pesos más altos tienen más impacto en el cálculo y los pesos más bajos tienen menos impacto, utilizando el valor del punto de cada peso. Si todas las comprobaciones de la evaluación tienen el mismo peso en el perfil de seguridad (por ejemplo, si todas tienen un peso medio), la puntuación de seguridad se calcula como una media normal.
Gravedad: un valor de gravedad para cada proxy evaluado, basado en la puntuación de seguridad. Los valores de gravedad potenciales son alto (0-50%), medio (51-90%), bajo (91-99%) y mínimo (100%/no se ha detectado ningún riesgo según las evaluaciones del perfil de seguridad asignado).

Categorías y comprobaciones de evaluación

En esta tabla se muestran las categorías de evaluación y las comprobaciones individuales que pueden formar parte de los perfiles de seguridad. También muestra recomendaciones sobre cómo abordar las evaluaciones fallidas de cada uno.

Categoría de evaluación Descripción

Auth

En este caso, "Auth" hace referencia tanto a la autorización como a la autenticación. Las evaluaciones de autenticación comprueban si tienes políticas de autorización y autenticación y si el atributo continueOnError de las políticas de autenticación está definido como false.

Comprobación o nombre de la evaluación	Descripción	Recomendación
Comprobación de políticas de autenticación / `auth-policies-check`	Comprueba si alguna de las siguientes políticas de autenticación está habilitada: AccessControl, BasicAuthentication, HMAC, OAuth, ValidateSAMLAssertion, VerifyAPIKey, VerifyJWS o VerifyJWT.	Al menos una de las políticas obligatorias del proxy
continueOnError check in auth policies / `continue-on-error-auth-policies-check`	Comprueba si el campo `continueOnError` está habilitado en todas las políticas de autenticación del proxy. Esto implica comprobar si se está usando una política de autorización. Esta comprobación no tiene ningún impacto si no hay políticas de autorización en el proxy.	Asigna el valor false a `continueOnError` en todas las políticas de autenticación incluidas en el proxy.
Comprobación de la política AccessControl / `access-control-policy-check`	Indica si se está usando la política AccessControl.	Añade la política AccessControl al proxy.
Comprobación de la política BasicAuthentication / `basic-auth-policy-check`	Indica si se está usando la política BasicAuthentication.	Añade la política BasicAuthentication al proxy.
Comprobación de la política de HMAC / `hmac-policy-check`	Indica si se está usando la política HMAC.	Añade la política HMAC al proxy.
Comprobación de la política OAuthV2 / `oauthv2-policy-check`	Indica si se está usando la política OAuth.	Añade la política OAuthV2 al proxy.
Comprobación de la política ValidateSAMLAssertion / `validate-saml-assertion-policy-check`	Indica si se está usando la política ValidateSAMLAssertion.	Añade la política ValidateSAMLAssertion al proxy.
Política VerifyAPIKey / `verify-api-key-policy-check`	Indica si se está usando la política VerifyAPIKey.	Añade la política VerifyAPIKey al proxy.
Política VerifyJWS / `verify-jws-policy-check`	Si se está usando la política VerifyJWS.	Añade la política VerifyJWS al proxy.
Política VerifyJWT / `verify-jwt-policy-check`	Si se está usando la política VerifyJWT.	Añade la política VerifyJWT al proxy.

CORS

Comprueba si hay una política o un encabezado de CORS en la política AssignMessage.

Comprobación o nombre de la evaluación	Descripción	Recomendación
Comprobación de políticas de CORS / `cors-policies-check`	Comprueba si hay una política CORS o un encabezado CORS en la política AssignMessage.	Añade la política de CORS o la política AssignMessage con los encabezados de CORS al proxy.
Comprobación de la política de CORS / `cors-policy-check`	Comprueba si se está usando una política CORS.	Añade la política de CORS al proxy.
Comprobación de la política AssignMessage de CORS / `cors-assignmessage-policy-check`	Comprueba si se han añadido encabezados CORS en una política AssignMessage.	Añade la política AssignMessage con encabezados CORS al proxy.

Mediación

Comprueba si una política de mediación está habilitada.

Comprobación o nombre de la evaluación	Descripción	Recomendación
Comprobación de políticas de mediación / `mediation-policies-check`	Comprueba si alguna de las siguientes políticas de mediación está habilitada: SOAPMessageValidation o OASValidation.	Añade una de las siguientes políticas de mediación a tu proxy: SOAPMessageValidation u OASValidation.
Comprobación de la política SOAPMessageValidation / `soap-validation-policy-check`	Comprueba si se está usando la política SOAPMessageValidation.	Añade la política SOAPMessageValidation al proxy.
Comprobación de la política de validación de OAS / `oas-validation-policy-check`	Comprueba si se usa la política OASValidation.	Añade la política OASValidationCheck al proxy.

Objetivo

Comprueba si se usan protecciones del servidor de destino. Para obtener información sobre la configuración del servidor de destino, consulta Balanceo de carga en servidores de backend.

Comprobación o nombre de la evaluación	Descripción	Recomendación
Comprobación de TLS del servidor de destino / `tls-target-server-check`	Comprueba si hay TLS/SSL en los servidores de destino.	Configura TLS/SSL en todos los servidores de destino configurados en el proxy para que las comunicaciones sean seguras.
Comprobación de mTLS del servidor de destino / `mtls-target-server-check`	Comprueba si hay mTLS en los servidores de destino.	Configura mTLS en todos los servidores de destino configurados en el proxy para maximizar la seguridad.
Comprobación obligatoria del campo del servidor de destino / `target-enforce-field-check`	Comprueba si el campo `Enforce` está habilitado en la configuración del servidor de destino.	Configura el campo Enforce para aplicar SSL estricto entre el proxy de Apigee y el destino.

Amenaza

Comprueba si se usan políticas de prevención de amenazas.

Comprobación o nombre de la evaluación	Descripción	Recomendación
Comprobación de las políticas de amenazas / `threat-policies-check`	Comprueba si alguna de las siguientes políticas de amenazas está habilitada: JSONThreatProtection, RegularExpressionProtection o XMLThreatProtection.	Añade una de las políticas de amenazas obligatorias a tu proxy.
Comprobación de continueOnError en las políticas de amenazas / `continue-on-error-threat-policies`	Comprueba si el campo `continueOnError` está habilitado en todas las políticas de amenazas que se usan en el proxy. Esto implica comprobar si se está usando una política de amenazas. Esta comprobación no tiene ningún impacto si no hay políticas de amenazas en el proxy.	Define `continueOnError` como `false` para todas las políticas de amenazas que se usen en el proxy.
Comprobación de la política JSONThreatProtection / `json-threat-protection-policy-check`	Comprueba si se está usando la política JSONThreatProtection.	Añade la política JSONThreatProtection al proxy.
Comprobación de la política RegularExpressionProtection / `regex-protection-policy-check`	Comprueba si se está usando la política RegularExpressionProtection.	Añade la política RegularExpressionProtection al proxy.
Comprobación de la política XMLThreatProtection / `xml-threat-protection-policy-check`	Comprueba si se está usando la política XMLThreatProtection.	Añade la política XMLThreatProtection al proxy.

Tráfico

Comprueba si tienes políticas de gestión del tráfico.

Comprobación o nombre de la evaluación	Descripción	Recomendación
Comprobación de las políticas de gestión del tráfico / `traffic-management-policies-check`	Comprueba si alguna de las siguientes políticas de gestión del tráfico está habilitada: LookupCache, Quota, ResponseCache, o SpikeArrest.	Añade una de las políticas de gestión del tráfico a tu proxy.
Comprobación de la política de LookupCache / `lookup-cache-policy-check`	Comprueba si la política LookupCache está habilitada.	Añade la política LookupCache al proxy.
Comprobación de la política de cuotas / `quota-policy-check`	Comprueba si se está usando la política de cuota.	Añade la política de cuota al proxy.
Comprobación de la política de ResponseCache / `response-cache-policy-check`	Comprueba si se está usando la política ResponseCache.	Añade la política ResponseCache al proxy.
Comprobación de la política de SpikeArrest / `spike-arrest-policy-check`	Comprueba si se usa la política SpikeArrest.	Añade la política SpikeArrest al proxy.

Puntuaciones de seguridad de la vinculación de políticas y del proxy

En las evaluaciones de proxy, las puntuaciones de seguridad se basan en las políticas que estés usando. La forma en que se evalúan esas políticas depende de si se adjuntan a los flujos y de cómo se haga:

Solo las políticas asociadas a un flujo (pre-flujo, flujo condicional, post-flujo en proxies o flujo compartido) afectan a las puntuaciones. Las políticas que no estén asociadas a ningún flujo no afectan a las puntuaciones.
Las puntuaciones de proxy tienen en cuenta los flujos compartidos a los que llama un proxy mediante enlaces de flujo y políticas FlowCallouten el proxy, siempre que la política FlowCallout esté asociada a un flujo. Sin embargo, si FlowCallout no está asociado a un flujo, las políticas de su flujo compartido vinculado no afectarán a las puntuaciones de seguridad.
Los flujos compartidos encadenados se evalúan hasta cinco niveles de profundidad. Las políticas incluidas directamente en el proxy y en los cinco primeros niveles de los flujos compartidos se tienen en cuenta para calcular la puntuación de seguridad.
En el caso de las políticas asociadas a flujos condicionales, las puntuaciones de seguridad solo tienen en cuenta si las políticas están presentes, pero no si se aplican en el tiempo de ejecución ni cómo se aplican.

Perfiles de seguridad (versión 2)

Un perfil de seguridad es un conjunto de evaluaciones y pesos de seguridad para puntuar los proxies de API. Puedes usar el perfil de seguridad predeterminado de Apigee, llamado google-default, o crear un perfil de seguridad personalizado que contenga solo las categorías de seguridad y los pesos que quieras evaluar.

Cuando trabajes con perfiles de seguridad o crees perfiles de seguridad personalizados, ten en cuenta que las comprobaciones de evaluación de una categoría se evalúan individualmente.

Por ejemplo, si hay tres comprobaciones de políticas de autenticación en un perfil de seguridad y el proxy evaluado incluye una de las tres, la puntuación de la evaluación incluirá puntos completos por la política encontrada y cero puntos por las otras dos políticas que no estén presentes. En este ejemplo, el proxy evaluado no recibiría la puntuación completa por las comprobaciones de la política de autenticación, aunque incluya una. Ten cuidado al interpretar la puntuación de seguridad y al diseñar el perfil de seguridad, ya que este comportamiento puede afectar a los resultados.

Perfil de seguridad predeterminado

Advanced API Security proporciona un perfil de seguridad predeterminado que contiene todas las evaluaciones. Si usas el perfil predeterminado, las puntuaciones de seguridad se basan en todas las categorías.

El perfil de seguridad predeterminado, google-default, no se puede editar ni eliminar.

Perfil de seguridad personalizado

Puedes crear perfiles de seguridad personalizados que incluyan solo las comprobaciones y las ponderaciones de evaluación que elijas para evaluar los proxies. Para obtener instrucciones sobre cómo crear y usar perfiles de seguridad personalizados desde la interfaz de Apigee, consulta Gestionar perfiles personalizados en la interfaz de Apigee.

En el caso de los perfiles de seguridad personalizados:

El nombre del perfil (también llamado ID de perfil) es obligatorio y se muestra en la tabla de resumen al enumerar los perfiles. El nombre debe tener entre 1 y 63 caracteres, que pueden ser letras minúsculas, números del 0 al 9 o guiones. El primer carácter debe ser una letra minúscula. El último carácter debe ser una letra minúscula o un número. Los perfiles de seguridad personalizados deben tener nombres únicos y no pueden duplicar los nombres de perfiles que ya existan.
La descripción del perfil es opcional y no puede superar los 1000 caracteres.

Monitorizar condiciones y alertas

La seguridad avanzada de las APIs te permite añadir condiciones de monitorización a la evaluación de riesgos. Una vez que creas una condición de monitorización, Evaluación de riesgos publica métricas de puntuación de seguridad en Cloud Monitoring. Cloud Monitoring puede hacer un seguimiento de las puntuaciones de seguridad a lo largo del tiempo de los proxies evaluados con respecto a los perfiles de seguridad.

Para usar las condiciones de monitorización, haz lo siguiente:

Familiarízate con las funciones de Cloud Monitoring.
Asegúrate de que tienes los roles o permisos necesarios para gestionar las condiciones de monitorización. Consulta los roles necesarios para la evaluación de riesgos.
Usa la interfaz de usuario o la API de Apigee para crear y gestionar condiciones de monitorización. Consulta Gestionar condiciones de monitorización y alertas en la interfaz de Apigee y Gestionar condiciones de monitorización en la API.
Nota: Cuando se crea una condición de monitorización o se cambia una ya creada, los cambios tardan hasta 5 minutos en reflejarse en las métricas de Cloud Monitoring.

Una vez que hayas creado una condición de monitorización, puedes configurar alertas de monitorización en las métricas de la condición mediante las alertas de Cloud Monitoring.

Para crear alertas de monitorización desde la interfaz de Apigee, consulta Gestionar condiciones y alertas de monitorización en la interfaz de Apigee. Para obtener información sobre las alertas de Seguridad avanzada de APIs y cómo gestionar las alertas de monitorización, consulta el artículo Alertas de seguridad.

Limitaciones y problemas conocidos de la versión 2 de la evaluación de riesgos

Las puntuaciones de seguridad tienen las siguientes limitaciones y problemas conocidos:

Las puntuaciones de seguridad solo se generan si un entorno ha implementado proxies.
Los proxies y las organizaciones y los entornos recién implementados no muestran puntuaciones de inmediato. Consulta la sección Retrasos en los datos para obtener más información.
En el caso de los perfiles personalizados, puedes crear un máximo de 100 por organización.
Por el momento, no se admiten las notificaciones de nuevos cálculos y puntuaciones de evaluaciones.
Solo puede haber una condición de monitorización para una combinación de ámbito y perfil de seguridad. Si un perfil ya forma parte de una condición de monitorización del ámbito seleccionado, se mostrará un mensaje de advertencia que impedirá que se cree la nueva condición.
Solo se monitorizan los proxies implementados. Si se retira un proxy que se incluye en una condición de monitorización, no se monitoriza y no se muestra como monitorizado en los detalles de la condición de monitorización. Cuando se vuelve a implementar, el proxy se monitoriza automáticamente y se muestra como monitorizado en los detalles de la condición de monitorización.
Puedes crear un máximo de 1000 condiciones de monitorización de seguridad por organización.
Las nuevas puntuaciones que se monitorizan mediante una condición de monitorización de seguridad pueden tardar hasta 5 minutos en mostrarse en Cloud Monitoring.
Las puntuaciones de seguridad están disponibles en Cloud Monitoring durante un máximo de 6 semanas. Consulta Conservación de datos.

Retrasos en los datos

Los datos que tienen las puntuaciones de seguridad de la API Advanced tienen las siguientes ventanas de procesamiento antes de que estén disponibles los resultados:

Cuando habilitas la seguridad avanzada de las APIs en una organización por primera vez, los valores de los proxies y los destinos se reflejan en un entorno al cabo de un tiempo. Por lo general, las organizaciones con suscripción tardan entre 30 y 90 minutos, mientras que las organizaciones con pago por uso tardan menos.
Los eventos nuevos relacionados con proxies (despliegue y cancelación del despliegue) y destinos (creación, actualización y eliminación) de un entorno tardan al menos 60 segundos y hasta 5 minutos (en entornos muy grandes) en reflejarse en la puntuación del entorno.

Ver evaluaciones de riesgos en la interfaz de usuario de Apigee

La página Evaluación de riesgos muestra puntuaciones que miden la seguridad de tu API en cada entorno.

Para abrir la página Evaluación de riesgos, sigue estos pasos:

En la Google Cloud consola, ve a la página Seguridad avanzada de APIs > Evaluación de riesgos.

Ir a Evaluación de riesgos

Se muestra la página Evaluación de riesgos:

Página principal de evaluación de riesgos.

La página tiene las siguientes secciones:

Entorno: seleccione el entorno en el que quiere ver las evaluaciones.
Perfil de seguridad: selecciona el perfil predeterminado (google-default) o un perfil personalizado, si está disponible. Consulta Perfiles de seguridad para obtener información sobre los perfiles de seguridad.
Proxies desplegados por gravedad: una vez que se ha configurado el entorno, la página muestra un resumen de las gravedades de los proxies de ese entorno. Consulta Conceptos y puntuación de la evaluación de riesgos.
Detalles de la evaluación: muestra el perfil de seguridad, la fecha y la hora de la evaluación, el total de configuraciones evaluadas y el total de proxies implementados del entorno seleccionado. El número total de configuraciones evaluadas refleja el número total de comprobaciones realizadas. Este recuento puede ser superior al número de evaluaciones de un perfil. Algunas evaluaciones, como la que verifica que el atributo "continueOnError" esté definido en false, también comprueban si las políticas relacionadas están implementadas y habilitadas.
Proxies implementados: un resumen de los proxies implementados en el entorno y sus puntuaciones de evaluación de riesgos:
- Proxy: nombre del proxy.
- Gravedad: la gravedad de la evaluación de riesgos del proxy. Consulta la sección Puntuaciones y gravedades de seguridad para obtener más información.
- Puntuación: la puntuación de la evaluación de riesgos de la variable sustitutiva. Consulta información sobre los conceptos y la puntuación de la evaluación de riesgos.
  Nota: Si no se puede calcular ninguna puntuación del entorno debido a las limitaciones de las puntuaciones de seguridad, en el campo del nombre del proxy se mostrará un icono y un mensaje que indica que las puntuaciones aún no están disponibles.
- Revisión: la revisión del proxy en la que se evaluó la puntuación.
- Evaluaciones fallidas por peso: número de evaluaciones fallidas agrupadas por el peso de la evaluación.
- Recomendaciones: recomendaciones específicas para mejorar la puntuación del proxy. Haga clic en el número para ver las recomendaciones.

Gestionar perfiles personalizados en la interfaz de Apigee

En esta sección se muestra cómo ver, crear, editar y eliminar perfiles personalizados mediante la interfaz de usuario de Apigee. Ten en cuenta las limitaciones de los perfiles personalizados que se indican en Limitaciones de las puntuaciones de seguridad.

Para empezar, consulta las evaluaciones de riesgos en la interfaz de usuario de Apigee.

Crear y editar perfiles personalizados

En la pantalla Evaluación de riesgos, selecciona la pestaña Perfiles de seguridad. Para editar un perfil, haga clic en su nombre para ver los detalles y, a continuación, en Editar. También puedes seleccionar Editar en el menú Acciones de la fila de ese perfil.

Para crear un perfil personalizado, haga clic en + Crear en la lista de perfiles de seguridad.

Cuando creas o editas un perfil personalizado, puedes definir estos valores:

Nombre: el nombre del perfil de seguridad. Asegúrate de que sea único en el proyecto.
Descripción: (opcional). Descripción del perfil de seguridad.
Comprobaciones de evaluación y pesos de evaluación: una o varias comprobaciones de evaluación para evaluar las proxies y un peso para cada una. Consulta Conceptos y puntuación de la evaluación de riesgos para ver una lista de las comprobaciones de evaluación disponibles. Para añadir comprobaciones y pesos adicionales a la evaluación del perfil, haga clic en + Añadir. Para eliminar un par de comprobación/peso, haga clic en el icono de la papelera de la fila correspondiente.

Perfiles duplicados

Para duplicar un perfil (y crear un perfil personalizado), selecciona Duplicar en el menú Acciones de la fila correspondiente o haz clic en el nombre del perfil en la lista de perfiles para ver los metadatos y, a continuación, haz clic en Duplicar.

El nombre del nuevo perfil personalizado no puede coincidir con el del perfil duplicado. Consulta los requisitos para nombrar perfiles de seguridad personalizados.

Eliminar perfiles personalizados

Para eliminar un perfil personalizado, seleccione Eliminar en el menú Acciones de la fila correspondiente a ese perfil o haga clic en el nombre del perfil en la lista de perfiles para ver los metadatos del perfil y, a continuación, haga clic en Eliminar.

Ten en cuenta que no puedes eliminar el perfil predeterminado del sistema (google-default).

La eliminación de un perfil personalizado se aplica de inmediato y elimina la posibilidad de evaluar proxies con ese perfil o de ver las evaluaciones anteriores con ese perfil personalizado.

Gestionar las condiciones de monitorización y las alertas desde la interfaz de usuario de Apigee

En esta sección se muestra cómo ver, crear, editar y eliminar condiciones de monitorización, así como crear alertas de monitorización mediante la interfaz de usuario de Apigee. Consulta Monitorizar las condiciones y las alertas para obtener información sobre esta función.

Empieza por Ver las evaluaciones de riesgos en la interfaz de usuario de Apigee y, a continuación, selecciona la pestaña Condiciones de monitorización.

Ver, crear y editar condiciones de monitorización

En la página principal se muestran las condiciones de monitorización que ya existen. Para ver los detalles de una condición de monitorización, haga clic en el valor Proxies monitorizados/total implementado de la fila correspondiente. Para editar una condición, selecciona Editar en el menú Acciones de la fila de esa condición de monitorización. Para crear una condición de monitorización, haga clic en + Crear condición de monitorización, situado encima de la lista de resultados.

Entre las condiciones de monitorización se incluyen los siguientes ajustes:

Entorno: el entorno en el que se crea la condición de monitorización. No se puede editar después de crear la condición de monitorización.
Perfil de seguridad o perfil: el perfil de seguridad con el que se compara.
Condiciones: indica si se deben Include all o Include proxies específicos del entorno. Si se selecciona Include, marque la casilla situada junto al nombre de cada proxy que quiera incluir.

Ver métricas de monitorización

Consulta las métricas de una condición de monitorización en Cloud Monitoring. Para ver las métricas, haga clic en Ver en la fila de la condición de monitorización.

Eliminar condiciones de monitorización

Para eliminar una condición de monitorización, selecciona Eliminar en el menú Acciones de la fila de la condición de monitorización y, a continuación, confirma la acción.

Hay un pequeño retraso antes de que las métricas de Cloud Monitoring dejen de publicarse.

Crear alertas de monitorización

Para crear una alerta de monitorización, selecciona Crear alerta de monitorización en el menú Acciones de la fila de la condición de monitorización. Esta acción te lleva a la página de alertas de Cloud Monitoring en la consola de Google Cloud y rellena automáticamente algunos valores en función de la condición de monitorización. Para obtener más información, consulta Alertas de seguridad.

Evaluación de riesgos (versión 1)

En esta sección se describe la versión 1 de Evaluación de riesgos. Para obtener información sobre la versión 2 de la evaluación de riesgos, consulta Evaluación de riesgos (versión 2).

Puntuaciones de seguridad

Las puntuaciones de seguridad evalúan la seguridad de tus APIs, así como su postura de seguridad a lo largo del tiempo. Por ejemplo, una puntuación que fluctúa mucho podría indicar que el comportamiento de la API cambia con frecuencia, lo que podría no ser deseable. Entre los cambios en un entorno que podrían provocar que la puntuación disminuyera se incluyen los siguientes:

Desplegar muchos proxies de API sin las políticas de seguridad necesarias.
Un pico en el tráfico de abuso procedente de fuentes maliciosas.

Observar los cambios en tus puntuaciones de seguridad a lo largo del tiempo es un buen indicador de cualquier actividad no deseada o sospechosa en el entorno.

Las puntuaciones de seguridad se calculan en función de tu perfil de seguridad, que especifica las categorías de seguridad que quieres que evalúen tus puntuaciones. Puedes usar el perfil de seguridad predeterminado de Apigee o crear uno personalizado que incluya solo las categorías de seguridad que más te interesen.

Tipos de evaluación de las puntuaciones de seguridad

Hay tres tipos de evaluaciones que contribuyen a la puntuación de seguridad general calculada por la seguridad avanzada de las APIs:

Evaluación de la fuente: evalúa el tráfico de abuso detectado mediante las reglas de detección de Seguridad avanzada de las APIs. "Abuso" hace referencia a las solicitudes enviadas a la API con fines distintos a los que se ha diseñado la API.

Nota: Las puntuaciones de las fuentes se calculan en función de un periodo que empieza a las 0:00 (UTC) del día actual y termina en el momento actual.
Evaluación de proxy: evalúa el grado de implementación de varias políticas de seguridad por parte de los proxies en las siguientes áreas:
- Mediación: comprueba si se ha configurado una de las siguientes políticas de mediación para todos los proxies del entorno: OASValidation o SOAPMessageValidation.
- Seguridad:
  - Autorización: comprueba si se ha configurado alguna de las siguientes políticas de autorización para todos los proxies del entorno:
  - CORS: comprueba si CORS está configurado.
  - Amenaza: comprueba si se ha configurado una de las siguientes políticas para todos los proxies del entorno: XMLThreatProtection o JSONThreatProtection.
Para obtener más información, consulte Cómo influyen las políticas en las puntuaciones de seguridad de los proxies.
Evaluación del destino: comprueba si la seguridad en la capa de transporte mutua (mTLS) está configurada con los servidores de destino del entorno.

A cada uno de estos tipos de evaluación se le asigna una puntuación. La puntuación general es la media de las puntuaciones de los tipos de evaluación individuales.

Cómo afectan las políticas a las puntuaciones de seguridad de los proxies

Solo las políticas asociadas a un flujo (pre-flujo, flujo condicional, post-flujo en proxies o flujo compartido) afectan a las puntuaciones. Las políticas que no estén asociadas a ningún flujo no afectan a las puntuaciones.
Las puntuaciones de proxy tienen en cuenta los flujos compartidos a los que llama un proxy mediante enlaces de flujo y políticas FlowCallouten el proxy, siempre que la política FlowCallout esté asociada a un flujo. Sin embargo, si el FlowCallout no está asociado a un flujo, las políticas de su flujo compartido vinculado no afectarán a las puntuaciones de seguridad.
No se admite el encadenamiento de flujos compartidos. Las políticas incluidas mediante el encadenamiento de flujos compartidos no se evalúan al calcular las puntuaciones de seguridad.
En el caso de las políticas asociadas a flujos condicionales, las puntuaciones de seguridad solo tienen en cuenta si las políticas están presentes, pero no si se aplican en el tiempo de ejecución ni cómo se aplican.

Perfiles de seguridad

Un perfil de seguridad es un conjunto de categorías de seguridad (descritas más abajo) en las que quieres que se evalúen tus APIs. Un perfil puede contener cualquier subconjunto de las categorías de seguridad. Para ver las puntuaciones de seguridad de un entorno, primero debe adjuntar un perfil de seguridad al entorno. Puedes usar el perfil de seguridad predeterminado de Apigee o crear un perfil de seguridad personalizado que contenga solo las categorías de seguridad que te interesen.