Criterio XMLThreatProtection

Questa pagina si applica ad Apigee e Apigee hybrid.

Visualizza la documentazione di Apigee Edge.

Il criterio XMLThreatProtection consente di risolvere le vulnerabilità XML e ridurre al minimo gli attacchi alla tua API. Puoi anche utilizzare il criterio per rilevare gli attacchi di payload XML in base ai limiti configurati. Esegui lo screening delle minacce XML utilizzando i seguenti approcci:

• Rilevare messaggi danneggiati o non validi prima che vengano analizzati
• Valuta il contenuto del messaggio alla ricerca di parole chiave o pattern specifici da escludere

Nota:questa norma viene eseguita solo se l'Content-Type dell'intestazione della richiesta o della risposta è impostato su application/xml.

Queste norme sono estendibili e il loro utilizzo potrebbe avere implicazioni in termini di costi o utilizzo, a seconda della licenza Apigee. Per informazioni sui tipi di policy e sulle implicazioni di utilizzo, consulta Tipi di policy.

Riferimento elemento

Il riferimento all'elemento descrive gli elementi e gli attributi del criterio XMLThreatProtection.

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">
   <DisplayName>XML Threat Protection 1</DisplayName>
   <NameLimits>
      <Element>10</Element>
      <Attribute>10</Attribute>
      <NamespacePrefix>10</NamespacePrefix>
      <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
   </NameLimits>
   <Source>request</Source>
   <StructureLimits>
      <NodeDepth>5</NodeDepth>
      <AttributeCountPerElement>2</AttributeCountPerElement>
      <NamespaceCountPerElement>3</NamespaceCountPerElement>
      <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
   </StructureLimits>
   <ValueLimits>
      <Text>15</Text>
      <Attribute>10</Attribute>
      <NamespaceURI>10</NamespaceURI>
      <Comment>10</Comment>
      <ProcessingInstructionData>10</ProcessingInstructionData>
   </ValueLimits>
</XMLThreatProtection>

Attributi <XMLThreatProtection>

<XMLThreatProtection async="false" continueOnError="false" enabled="true" name="XML-Threat-Protection-1">

La tabella seguente descrive gli attributi comuni a tutti gli elementi principali dei criteri:

Attributo	Descrizione	Predefinito	Presence
name	Il nome interno del criterio. Il valore dell'attributo name può contenere lettere, numeri, spazi, trattini, trattini bassi e punti. Questo valore non può superare i 255 caratteri. Se vuoi, utilizza l'elemento <DisplayName> per etichettare il criterio nell'editor proxy dell'interfaccia utente di gestione con un nome diverso in linguaggio naturale.	N/D	Obbligatorio
continueOnError	Imposta su false per restituire un errore quando un criterio non va a buon fine. Questo è un comportamento previsto per la maggior parte dei criteri. Imposta su true per continuare l'esecuzione del flusso anche dopo un fallimento del criterio. Vedi anche: Le regole di errore vengono attivate SOLO in uno stato di errore (informazioni su continueOnError) Gestione degli errori all'interno del flusso corrente	falso	Facoltativo
enabled	Imposta su true per applicare il criterio. Imposta su false per disattivare il criterio. Il criterio non verrà applicato anche se rimane collegato a un flusso.	true	Facoltativo
async	Questo attributo è stato ritirato.	falso	Deprecato

Elemento <DisplayName>

Da utilizzare insieme all'attributo name per etichettare il criterio nell'editor proxy dell'interfaccia utente di gestione con un nome diverso in linguaggio naturale.

<DisplayName>Policy Display Name</DisplayName>

Predefinito	N/D Se ometti questo elemento, viene utilizzato il valore dell'attributo name del criterio.
Presence	Facoltativo
Tipo	Stringa

Elemento <NameLimits>

Specifica i limiti di caratteri da controllare e applicare in base alla policy.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
</NameLimits>

Valore predefinito:	N/D
Presenza:	Facoltativo
Tipo:	N/D

Elemento <NameLimits>/<Element>

Specifica un limite al numero massimo di caratteri consentiti in qualsiasi nome di elemento nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <Element> nello snippet della norma riportato di seguito convalida che i nomi degli elementi (book, title, author e year)) non superino i 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
</NameLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <NameLimits>/<Attribute>

Specifica un limite al numero massimo di caratteri consentiti in qualsiasi nome di attributo nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <Attribute> nello snippet del criterio riportato di seguito convalida che il nome dell'attributo category non superi i 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
</NameLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <NameLimits>/<NamespacePrefix>

Specifica un limite al numero massimo di caratteri consentiti nel prefisso dello spazio dei nomi nel documento XML.

Ad esempio, considera il seguente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <NamespacePrefix> nello snippet del criterio riportato di seguito convaliderà che il prefisso dello spazio dei nomi ns1 non superi i 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
</NameLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <NameLimits>/<ProcessingInstructionTarget>

Specifica un limite al numero massimo di caratteri consentiti nella destinazione di qualsiasi istruzione di elaborazione nel documento XML.

Ad esempio, considera il seguente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <ProcessingInstructionTarget> nel snippet del criterio riportato di seguito convaliderà che la destinazione dell'istruzione di elaborazione xml-stylesheet non superi i 10 caratteri.

<NameLimits>
   <Element>10</Element>
   <Attribute>10</Attribute>
   <NamespacePrefix>10</NamespacePrefix>
   <ProcessingInstructionTarget>10</ProcessingInstructionTarget>
</NameLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <Source>

Messaggio da esaminare per rilevare attacchi di payload XML. Questo valore è in genere impostato su request, poiché in genere devi convalidare le richieste in entrata dalle app client. Se impostato su message, questo elemento valuterà automaticamente il messaggio di richiesta quando è collegato al flusso di richiesta e il messaggio di risposta quando è collegato al flusso di risposta.

<Source>request</Source>

Valore predefinito:	richiesta
Presenza:	Facoltativo
Tipo:	Stringa. Scegli tra request, response o message.

Elemento <StructuralLimits>

Specifica i limiti strutturali da controllare e applicare in base alla policy.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valore predefinito:	N/D
Presenza:	Facoltativo
Tipo:	N/D

Elemento <StructuralLimits>/<NodeDepth>

Specifica la profondità massima del nodo consentita nell'XML.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <StructuralLimits>/<AttributeCountPerElement>

Specifica il numero massimo di attributi consentiti per qualsiasi elemento.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <AttributeCountPerElement> nello snippet di policy riportato di seguito convalida che gli elementi book, title, author e year non abbiano più di 2 attributi ciascuno. Tieni presente che gli attributi utilizzati per definire gli spazi dei nomi non vengono conteggiati.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <StructuralLimits>/<NameSpaceCountPerElement>

Specifica il numero massimo di definizioni di spazi dei nomi consentite per qualsiasi elemento.

Ad esempio, considera il seguente XML:

<e1 attr1="val1" attr2="val2">
    <e2 xmlns="http://apigee.com" xmlns:yahoo="http://yahoo.com" one="1" yahoo:two="2"/>
</e1>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <NamespaceCountPerElement> nel snippet di policy riportato di seguito convaliderà che gli elementi e1 e e2 non abbiano più di 2 definizioni di spazi dei nomi ciascuno. In questo caso, <e1> ha 0 definizioni di spazi dei nomi e <e2> ha 2 definizioni di spazi dei nomi: xmlns="http://apigee.com" e xmlns:yahoo="http://yahoo.com".

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

<StructuralLimits>/<ChildCount> element

Specifica il numero massimo di elementi secondari consentiti per qualsiasi elemento.

<StructureLimits>
   <NodeDepth>5</NodeDepth>
   <AttributeCountPerElement>2</AttributeCountPerElement>
   <NamespaceCountPerElement>3</NamespaceCountPerElement>
   <ChildCount includeComment="true" includeElement="true" includeProcessingInstruction="true" includeText="true">3</ChildCount>
</StructureLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Attributi

Attributo	Predefinito	Presenza
includeComment	true	Facoltativo
includeElement	true	Facoltativo
includeProcessingInstructions	true	Facoltativo
includeText	true	Facoltativo

Elemento <ValueLimits>

Specifica i limiti di caratteri per i valori da controllare e applicare in modo forzato dalla policy.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valore predefinito:	N/D
Presenza:	Facoltativo
Tipo:	N/D

Elemento <ValueLimits>/<Text>

Specifica un limite di caratteri per tutti i nodi di testo presenti nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <Text> nello snippet della policy riportato di seguito convaliderà che i valori di testo degli elementi Learning XML, Erik T. Ray, e 2003 non superino i 15 caratteri ciascuno.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<Attribute>

Specifica un limite di caratteri per tutti i valori degli attributi presenti nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <Attribute> nello snippet del criterio riportato di seguito convalida che il valore dell'attributo WEB non superi i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<NamespaceURI>

Specifica un limite di caratteri per gli URI dello spazio dei nomi presenti nel documento XML.

Ad esempio, considera il seguente XML:

<ns1:myelem xmlns:ns1="http://ns1.com"/>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <NamespaceURI> nello snippet del criterio riportato di seguito convalida che il valore dell'URI dello spazio dei nomi http://ns1.com non superi i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<Comment>

Specifica un limite di caratteri per eventuali commenti presenti nel documento XML.

Ad esempio, considera il seguente XML:

<book category="WEB">
   <!-- This is a comment -->
   <title>Learning XML</title>
   <author>Erik T. Ray</author>
   <year>2003</year>
</book>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <Comment> nello snippet di policy riportato di seguito convaliderà che il testo del commento This is a comment non superi i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Elemento <ValueLimits>/<ProcessingInstructionData>

Specifica un limite di caratteri per qualsiasi testo di istruzioni di elaborazione presente nel documento XML.

Ad esempio, considera il seguente XML:

<?xml-stylesheet type="text/xsl" href="style.xsl"?>

Quando analizzi l'XML riportato sopra, il valore dell'elemento <ProcessingInstructionData> nel frammento di policy riportato di seguito convalida che il testo dell'istruzione di elaborazione type="text/xsl" href="style.xsl" non superi i 10 caratteri.

<ValueLimits>
   <Text>15</Text>
   <Attribute>10</Attribute>
   <NamespaceURI>10</NamespaceURI>
   <Comment>10</Comment>
   <ProcessingInstructionData>10</ProcessingInstructionData>
</ValueLimits>

Valore predefinito:	Se non specifichi un limite, il sistema applica un valore predefinito di -1, che il sistema considera come nessun limite.
Presenza:	Facoltativo
Tipo:	Numero intero

Messaggi di errore

Nota:questo criterio viene eseguito solo se l'Content-Type dell'intestazione della richiesta o della risposta è impostato su application/xml.

Questa sezione descrive i codici di errore e i messaggi di errore restituiti e le variabili di errore impostate da Apigee quando questo criterio attiva un errore. Queste informazioni sono importanti se stai sviluppando regole di errore per gestire gli errori. Per scoprire di più, consulta Informazioni importanti sugli errori relativi alle norme e Gestione degli errori.

Errori di runtime

Questi errori possono verificarsi durante l'esecuzione del criterio.

Codice guasto	Stato HTTP	Causa	Correggi
steps.xmlthreatprotection.ExecutionFailed	500	Le norme relative a XMLThreatProtection possono generare molti tipi diversi di errori ExecutionFailed. La maggior parte di questi errori si verifica quando viene superata una soglia specifica impostata nel criterio. Questi tipi di errori includono: lunghezza del nome dell'elemento, numero di elementi secondari, profondità del nodo, numero di attributi, lunghezza del nome dell'attributo, e molti altri. Puoi visualizzare l'elenco completo nell'argomento Risoluzione dei problemi relativi agli errori di runtime delle norme XMLThreatProtection.
steps.xmlthreatprotection.InvalidXMLPayload	500	Questo errore si verifica se il payload del messaggio di input specificato dall'elemento <Source> del criterio XMLThreatProtection non è un documento XML valido.
steps.xmlthreatprotection.SourceUnavailable	500	Questo errore si verifica se la variabile message specificata nell'elemento <Source> è: Al di fuori dell'ambito (non disponibile nel flusso specifico in cui viene eseguito il criterio) Non è uno dei valori validi request, response o message
steps.xmlthreatprotection.NonMessageVariable	500	Questo errore si verifica se l'elemento <Source> è impostato su una variabile che non è di tipo message.

Errori di deployment

Nessuno.

Variabili di errore

Queste variabili vengono impostate quando si verifica un errore di runtime. Per ulteriori informazioni, consulta Informazioni importanti sugli errori relativi alle norme.

Variabili	Dove	Esempio
fault.name="fault_name"	fault_name è il nome dell'errore, come indicato nella tabella Errori di runtime sopra. Il nome dell'errore è l'ultima parte del codice dell'errore.	fault.name Matches "SourceUnavailable"
xmlattack.policy_name.failed	policy_name è il nome specificato dall'utente del criterio che ha generato l'errore.	xmlattack.XPT-SecureRequest.failed = true

Esempio di risposta di errore

Nota: per la gestione degli errori, la best practice è intercettare la parte errorcode della risposta all'errore. Non fare affidamento sul testo in faultstring, perché potrebbe cambiare.

{
  "fault": {
    "faultstring": "XMLThreatProtection[XPT-SecureRequest]: Execution failed. reason: XMLThreatProtection[XTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.xmlthreatprotection.ExecutionFailed"
    }
  }
}

Esempio di regola di errore

<FaultRule name="XML Threat Protection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(xmlattack.XPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Schemi

Esempio: consulta gli esempi del nostro repository GitHub per gli schemi più recenti.

Note sull'utilizzo

Qualsiasi server che riceve dati online è soggetto ad attacchi, intenzionali o meno. Alcuni attacchi sfruttano la flessibilità di XML creando documenti non validi che hanno il potenziale di compromettere i sistemi di backend. Documenti XML danneggiati o estremamente complessi possono causare l'allocazione di più memoria di quella disponibile da parte dei server, vincolando le risorse di CPU e memoria, arrestare in modo anomalo i parser e disabilitare in generale l'elaborazione dei messaggi e creare attacchi di negazione del servizio a livello di applicazione.

Errore di configurazione della protezione dalle minacce

Informazioni importanti se stai creando FaultRules per questo criterio: per impostazione predefinita, Apigee genera un codice di stato HTTP 500 Internal Server Error e un codice di errore ExecutionFailed se un messaggio non supera un criterio di protezione dalle minacce JSON o XML. Puoi modificare questo comportamento di errore con una nuova proprietà a livello di organizzazione. Quando imposti la proprietà dell'organizzazione features.isPolicyHttpStatusEnabled su true, si verifica il seguente comportamento:

• Richiesta: con una policy di protezione dalle minacce allegata a qualsiasi flusso di richieste, i messaggi non validi restituiscono un codice di stato 400 Bad Request, insieme a un codice di errore della policy corrispondente (anziché solo ExecutionFailed).
• Risposta: con un criterio di protezione dalle minacce allegato a qualsiasi flusso di risposta, i messaggi non validi restituiscono comunque un codice di stato 500 Internal Server Error e viene generato uno dei codici di errore del criterio corrispondenti (anziché solo ExecutionFailed).

I clienti cloud devono contattare l'assistenza clienti Google Cloud per impostare la proprietà dell'organizzazione.

Avviso:quando esegui un'operazione PUT per aggiornare le proprietà dell'organizzazione, assicurati di includere tutte le proprietà esistenti nella chiamata per evitare di eliminarle.

curl -u email:password -X POST -H "Content-type:application/xml" http://host:8080/v1/o/myorg -d \
"<Organization type="trial" name="MyOrganization">
    <Environments/>
    <Properties>
        <Property name="features.isPolicyHttpStatusEnabled">true</Property>
        ...
    </Properties>
</Organization>"

Argomenti correlati

Policy di protezione dalle minacce JSON

Norme di protezione delle espressioni regolari