זיהוי ניצול לרעה

הדף הזה רלוונטי ל-Apigee ול-Apigee Hybrid.

לעיון במסמכי התיעוד של Apigee Edge

תצוגה מקדימה – זיהוי שימוש לרעה ב-Advanced API Security

השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA של התנאים וההגבלות של Google Cloud. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף זמין בקטע תיאורים של שלבי ההשקה.

התמיכה בהשקת הגרסה של Advanced API Security Abuse Detection (זיהוי שימוש לרעה באבטחת API) זמינה דרך פורום Apigee - Google Cloud Community.

התכונה 'אבטחת API מתקדמת' כוללת זיהוי של ניצול לרעה, ומאפשרת לכם לראות אירועי אבטחה שקשורים לממשקי ה-API שלכם. אירוע אבטחה הוא קבוצה של אירועים עם דפוסים דומים שעשויים לייצג איום אבטחה. Advanced API Security משתמשת במודלים של למידת מכונה כדי לזהות דפוסים שמצביעים על פעילות זדונית, כולל גירוד נתונים (scraping) של API וחריגות, ומקבצת אירועים על סמך דפוסים דומים.

כש-Advanced API Security מזהה אירוע אבטחה, הוא מדווח על הפרטים הבאים:

• רמת הסיכון ומשך האירוע
• השרתים הפרוקסי שהושפעו מהאירוע
• כתובות ה-IP של האירועים שקשורים לאירוע
• כללי הזיהוי שהופעלו בעקבות האירוע
• מדינות המקור של התקרית

ומידע קשור אחר על האירוע.

אפשר לגשת לזיהוי התנהלות פוגעת דרך ממשק המשתמש של Apigee, כמו שמתואר בהמשך, או דרך Incidents API או Security stats API.

במאמר תפקידים והרשאות שנדרשים לזיהוי התנהלות פוגעת מפורטים התפקידים וההרשאות שנדרשים לשימוש בזיהוי התנהלות פוגעת.

כדי להשתמש בתכונה הזו, צריך להפעיל את התוסף. אם יש לכם מינוי, אתם יכולים להפעיל את התוסף לארגון שלכם. פרטים נוספים זמינים במאמר ניהול Advanced API Security בארגונים עם מינוי. אם אתם לקוחות עם תשלום לפי שימוש, אתם יכולים להפעיל את התוסף בסביבות שעומדות בדרישות. מידע נוסף זמין במאמר ניהול התוסף Advanced API Security.

הבעת הסכמה לשימוש במודלים של למידת מכונה לזיהוי התנהלות פוגעת

אנחנו מבקשים את עזרתכם בשיפור המודלים של למידת המכונה לזיהוי התנהלות פוגעת בארגון שלכם, על ידי מתן הרשאה לאמן את המודלים על הנתונים שלכם. אימון המודלים על הנתונים שלכם עוזר לשפר את הדיוק שלהם בזיהוי אירועי אבטחה. ההדרכה תהיה רלוונטית רק לארגון שלכם. הנתונים שלכם לא ישותפו עם לקוחות אחרים של Google Cloud למטרות אימון.

כשפותחים בפעם הראשונה את הדף Abuse detection בממשק המשתמש של Apigee, מוצגת בקשת הסכמה לאפשר למודלים של למידת מכונה של Advanced API Security להשתמש בנתוני התנועה של ה-API לצורך אימון המודלים. כדי להשתמש במודל לזיהוי התנהלות פוגעת, צריך להביע הסכמה מפורשת. שימו לב: אם לא תביעו הסכמה לאימון המודל, לא יוצגו לכם זיהויים של כללים מתקדמים לזיהוי אנומליות. הכלל הזה לא פועל אם לא מביעים הסכמה לאימון מודלים.

במאמר ההרשאות והתפקידים הנדרשים לזיהוי התנהלות פוגעת מוסבר אילו תפקידים נדרשים כדי לנהל את ההפעלה של למידת מכונה.

שימוש במודל למידת מכונה לזיהוי שימוש לרעה – זיהוי אנומליות מתקדם

כדי לראות את החריגות שזוהו ב<b>זיהוי אנומליות</b>, צריך להביע הסכמה לאימון מודל למידת מכונה לזיהוי חריגות מתקדם על נתוני התנועה ב-API.

המודל משתמש בנתונים שלכם רק לאימון. הנתונים שלכם אף פעם לא משותפים עם לקוחות אחרים. Google Cloud

כדי להביע הסכמה לשימוש בנתוני התנועה של ה-API לאימון מודל לזיהוי אנומליות, בוחרים באפשרות הזו כשמוסיפים זיהוי אנומליות להגדרת זיהוי התנהלות פוגעת.

פותחים את הדף זיהוי התנהלות פוגעת.

כדי לפתוח את הדף Abuse detection (זיהוי התנהלות פוגעת):

במסוף Google Cloud , נכנסים לדף Apigee > Advanced API Security > Abuse detection.

מעבר לזיהוי שימוש לרעה

יוצג הדף הראשי של זיהוי התנהלות פוגעת:

הערה: בפתיחה הראשונה של הדף זיהוי התנהלות פוגעת, מופיע באנר עם בקשה להרשאה לאמן את מודלי האבטחה של הארגון על סמך הנתונים שלכם. אם תאשרו את הבקשה, המודלים יתאמנו על הנתונים שלכם. אם לא תאשרו את הבקשה, המודלים לא יתאמנו על הנתונים שלכם.< אם אתם מסכימים, לוחצים על הפעלת שיפור של מודלים מתקדמים לאבטחת API בארגון Apigee שלי מתחת לבאנר.

שינוי הרשאות כדי לאפשר ל-Apigee לשפר את המודלים של למידת המכונה

אתם יכולים לשנות את ההרשאות שמאפשרות ל-Apigee לשפר את מודלי הלמידה של מכונה בכל שלב. כדי לעשות זאת, לוחצים על הגדרות בפינה השמאלית העליונה של הדף זיהוי התנהלות פוגעת ובוחרים באפשרות להפעיל או להשבית את התכונה הזו.

הדף הראשי של זיהוי שימוש לרעה

בחלק העליון של הדף, אפשר לבחור אחת מהתקופות האחרונות הבאות כדי להציג אירועים: יום אחד, שבוע אחד או שבועיים.

בטבלה שבדף מוצגות הסביבות בארגון שהושפעו מאירועי אבטחה במהלך מרווח הזמן שנבחר.

הערה: אם לא מוצגות סביבות, המשמעות היא שלא זוהו אירועים באף סביבה במרווח הזמן שנבחר. במקרה כזה, אפשר לנסות לבחור מרווח זמן ארוך יותר, עד 14 ימים אחורה.

בכל שורה בטבלה מוצגים גם הנתונים הבאים:

• סביבה: הסביבה שבה התרחשה ההתנהלות הפוגעת.
• סה"כ אירועים: המספר הכולל של אירועים בסביבה במהלך מרווח הזמן שנבחר. מידע נוסף על האירועים והנתונים שמוצגים בממשק המשתמש זמין במאמר בנושא מגבלות על אירועים ועל נתונים שמוצגים.

• רמת סיכון: מספר התקריות בשלוש רמות סיכון: חמורה, בינונית ונמוכה. רמת הסיכון מבוססת על מאפיינים שונים של אירוע, כמו מספר הכללים שזוהו, הסוגים שלהם והגודל היחסי של האירוע בהשוואה לתעבורה לגיטימית. רמת הסיכון נועדה לעזור לכם לתת עדיפות לתקריות שצריך לבדוק, כדי שתוכלו להתמקד בתקריות הקריטיות ביותר.

  הערך של רמת הסיכון יכול להיות אחד מהבאים:

  • חמור: אירועים חמורים מציגים סיכון גבוה. מומלץ לתת עדיפות לבדיקה שלהן.
  • בינוני: אירועים ברמה בינונית מציגים סיכון מסוים, אבל פחות מאירועים ברמת סיכון חמורה. מומלץ לתת להם עדיפות על פני אירועים ברמת סיכון נמוכה.
  • נמוך: אפשר לבדוק אירועים ברמת סיכון נמוכה בסוף, אחרי שבודקים את האירועים ברמת סיכון גבוהה יותר.

  המספר שליד כל רמת סיכון מציין את מספר האירועים ברמת הסיכון הזו.

פרטי הסביבה

כדי לראות את האירועים בסביבה מסוימת בטווח הזמן שנבחר, בוחרים את הסביבה בטבלה שלמעלה. תצוגת פרטי הסביבה תיפתח:

אם אתם רואים אירוע או תנועת גולשים שזוהו, ואתם רוצים ליצור פעולת אבטחה כדי לחסום או לסמן בקשות שקשורות לאירוע או לתנועת הגולשים שזוהו, לוחצים על יצירת פעולת אבטחה בחלק העליון של הדף. ייפתח הדף פעולות אבטחה.

מגבלות על אירועים ועל הנתונים שמוצגים:

• בממשק המשתמש של זיהוי התנהלות פוגעת לא מוצגות תקריות שבהן האירוע האחרון שזוהה התרחש לפני יותר מ-14 ימים.
• בממשק המשתמש מוצגים רק נתוני אירועים שהתקבלו ב-14 הימים האחרונים.

כדי לקבל מידע נוסף על האירועים האלה, אפשר לבצע אחת מהפעולות הבאות:

1. שולחים קריאה ל-Incidents API כדי לקבל רשימה של אירועים שלא נכללים בטווח של 14 ימים.
2. כדי לקבל פרטים נוספים על האירועים האלה, אפשר להתקשר אל Security reports API.

בתצוגה פרטי הסביבה יש שתי כרטיסיות:

• אירועים: מוצגת רשימה של אירועים בסביבה ומידע עליהם.
• תנועת נתונים שזוהתה: פרטים על תנועת נתונים של ניצול לרעה שזוהתה שקשורה לאירועים.

אירועים

בכרטיסייה אירועים בתצוגה פרטי הסביבה שמוצגת למעלה, מופיעות האפשרויות הבאות:

• סביבה: אפשר לשנות את הסביבה שבה רוצים לראות את האירועים.
• Proxy: אפשר להשתמש באפשרות Select all כדי להציג אירועים עבור כל שרתי ה-Proxy, או לבחור שרת Proxy אחד או יותר כדי להציג אירועים רק עבור שרתי ה-Proxy שנבחרו.
• הכללת אירועים שהועברו לארכיון: כשמסמנים את התיבה הזו, ברשימת האירועים מוצגים אירועים שהועברו לארכיון. אירועים שהועברו לארכיון מוצגים עם סמל לידם:

  כדי להסתיר מהרשימה אירועים שהועברו לארכיון, מבטלים את הסימון של הכללת אירועים שהועברו לארכיון. אולי תרצו להסתיר אירועים שהועברו לארכיון אם מוצגים הרבה אירועים ואתם לא רוצים לראות את כולם, או אם אתם רוצים להסתיר אירועים שכבר בדקתם.

בתצוגה אירועים מוצגים גם הפרטים הבאים:

• שם האירוע: שם שנוצר באופן אוטומטי ומסכם את האירוע.
  
  יכול להיות שתראו את השם Miscellaneous (שונות) עבור אירועים מסוימים עם סיכון נמוך. הם כוללים תעבורה שלא מתאימה לקבוצות שמייצגות דפוסי איומים מוגדרים היטב ובעלי סיכון גבוה יותר.
• רמת הסיכון: רמת הסיכון של האירוע. באופן כללי, מומלץ להתמקד קודם באירועים ברמת סיכון גבוהה, שגם רמת הוודאות שלהם גבוהה יותר בהשוואה לאירועים ברמת סיכון נמוכה.

• כללי הזיהוי המובילים: רשימה של כללי הזיהוי המובילים שהופעלו על ידי האירוע.

• תנועה שקשורה לאירוע: המספר הכולל של אירועים: קריאות ל-API שתויגו על ידי אחד מכללי הזיהוי שקשורים לאירוע.
• האירוע הראשון שזוהה: התאריך והשעה שבהם זוהה האירוע הראשון בתקרית.
• האירוע האחרון שזוהה: התאריך והשעה שבהם זוהה האירוע האחרון בתקרית.
• משך: משך האירוע, מהאירוע הראשון ועד לאירוע האחרון.
• ‫UUID: המזהה הייחודי האוניברסלי של האירוע.

פרטי האירוע

כדי לראות את הפרטים של אירוע, לוחצים על השם שלו בטבלה. הפעולה הזו תציג את החלונית סקירה כללית בתצוגה פרטי האירוע:

כדי ליצור פעולת אבטחה בתגובה לאירוע, לוחצים על יצירת פעולת אבטחה בחלק העליון של הדף.

בתצוגה פרטי האירוע יש שתי כרטיסיות: סקירה כללית ומאפיינים. מידע על הכרטיסייה 'סקירה כללית' זמין במאמר סקירה כללית, ומידע על מאפיינים זמין במאמר מאפיינים.

סקירה כללית

בחלונית סקירה כללית מוצג מידע בסיסי על האירוע, כולל:

• שם האירוע: שם האירוע.
• רמת הסיכון: רמת הסיכון של האירוע.
• שרתי proxy מושפעים: מספר שרתי ה-proxy שהושפעו מהאירוע. לוחצים על הצגת שרתי proxy כדי לראות את שרתי ה-proxy המושפעים.
• משך: משך האירוע, מהאירוע הראשון ועד לאירוע האחרון. מוצגים גם התאריך והשעה שבהם האירוע זוהה לראשונה.
• כתובות IP (ספירה): מספר כתובות ה-IP הייחודיות שזוהו באירוע הזה. כדי לראות מידע נוסף על כתובות ה-IP, לוחצים על הצגת כתובות IP.
• אירועים: מוצג תרשים של סדרת אירועים בזמן באירוע. לכל נקודת זמן בתרשים, ערך ה-y התואם הוא המספר הכולל של האירועים בתקופה קצרה סביב אותה נקודת זמן. אם מעבירים את הסמן מעל נקודה בתרשים, מספר האירועים בתקופת הזמן האחרונה מוצג מתחת לערך. כדי לראות את הערכים שבהם משתנים תקופות הזמן, צריך להזיז את הסמן ימינה או שמאלה ולראות איפה הערכים משתנים.

  בחלונית אירועים מוצגים גם סך התנועה בסביבה והתנועה שקשורה לאירוע.

• הכללים המובילים שזוהו: מוצגות עד חמש מהקבוצות המובילות של הכללים שזוהו, כולל הפרטים הבאים:
  • כללים דומיננטיים: כללי הזיהוי המשמעותיים ביותר שהופעלו על ידי האירוע.
  • אירועים של כללי API דומיננטיים: מספר אירועי ה-API שתויגו על ידי הכללים הדומיננטיים.
  • סה"כ כללים שזוהו: מספר כללי הזיהוי שהופעלו על ידי האירוע.

  כדי לראות את כל הכללים, לוחצים על הצגת כל הכללים בתחתית הכרטיס.

• המדינות המובילות שזוהו: מפה שמוצגות בה המדינות שהיו מקורות לאירועים בתקרית. מתחת למפה מופיע תרשים שבו מוצגות עד חמש מהמדינות האלה ואחוז התנועה הכוללת שמגיעה מהן.

  הערה: אם לא ניתן לקבוע את מדינת המקור של האירועים, במפה יוצג הערך not set.

  כדי לראות את כל המדינות, לוחצים על הצגת כל המדינות בתחתית הכרטיס.

• כתובות IP: צפייה בפרטי האירוע לפי כתובות ה-IP של המקור לאירועים באירוע. בוחרים באפשרות הצגת כל כתובות ה-IP כדי לראות את כל כתובות ה-IP ברשימה.
  הערה: בחלונית כתובות IP מוצגות כתובות IP ייחודיות, גם אם יותר מאירוע אחד תואם לאותה כתובת IP.

  כתובות IP: בעמודה הזו מוצגים הנתונים הבאים:

  • כתובת IP: כתובת ה-IP של האירוע. אם כתובת ה-IP לא מוצגת, לוחצים על View. אחרי שכתובת ה-IP מוצגת, לוחצים עליה כדי לראות את תצוגת הפרטים.
  • מיקום: המיקום של כתובת ה-IP.
  • תנועה שזוהתה: המספר הכולל של בקשות מכתובת ה-IP.
  • % מהשיחות: אחוז הבקשות מכתובת ה-IP מתוך כל השיחות בסביבה.
  • האירוע הראשון שזוהה: הפעם הראשונה שבה זוהה אירוע בתקרית.
  • האירוע האחרון שזוהה: הפעם האחרונה שבה זוהה אירוע בתקרית.

• בקטע API Keys (מפתחות API) מפורטים האירועים לפי מפתח API. בוחרים באפשרות הצגת כל מפתחות ה-API כדי לראות את כל מפתחות ה-API ברשימה. הרשימה כוללת את העמודות הבאות:

  • מפתח API: מפתח ה-API של האירוע. אם המפתח לא מוצג, לוחצים על View. אחרי שמפתח ה-API מוצג, לוחצים עליו כדי לראות את תצוגת הפרטים.
  • אפליקציה: אפליקציית המפתחים או אפליקציית AppGroup שמשויכת למפתח ה-API.
  • תנועה שזוהתה: המספר הכולל של בקשות ממפתח ה-API.
  • % מהקריאות: אחוז הבקשות ממפתח ה-API מתוך כל הקריאות בסביבה.
  • האירוע הראשון שזוהה: הפעם הראשונה שזוהה אירוע עם בקשה עם מפתח ה-API הזה בתקרית.
  • האירוע האחרון שזוהה: הפעם האחרונה שזוהה באירוע אירוע עם בקשה עם מפתח ה-API הזה.

צמצום מספרים גדולים של תוצאות חיוביות כוזבות

אם אתם רואים מספר גדול של תוצאות חיוביות שגויות וכתובות IP פנימיות שסומנו כאנומליות על ידי כללי זיהוי ההתנהלות הפוגעת של התכונה'אבטחת API מתקדמת', כדאי לפעול לפי ההנחיות שבקטע הזה כדי לצמצם את הבעיה.

כברירת מחדל, Apigee משתמש בכתובת ה-IP הציבורית הראשונה שמופיעה בכותרת X-Forwarded-For (XFF) בבקשות ה-API. עם זאת, בארגונים עם תעבורת נתונים משמעותית של API פנימי, יכול להיות שכותרת ה-XFF תכלול כתובות IP פרטיות שמופיעות לפני כתובות IP ציבוריות (לדוגמה, כשמשתמשים בכתובת IP של מאזן עומסים ציבורי). במקרה כזה, התנהגות ברירת המחדל של Apigee היא להתעלם מכתובות ה-IP הפרטיות בכותרת XFF ולהציג את כתובת ה-IP הציבורית של איזון העומסים כמקור התנועה. כתוצאה מכך, יכול להיות שמערכת Apigee תשייך כמות גדולה באופן מלאכותי של תעבורת נתונים לכתובת ה-IP הציבורית הזו, ואז היא תסומן כדפוס תעבורת נתונים חריג בתכונה 'זיהוי שימוש לרעה' של Advanced API Security.

כדי לפתור את הבעיה, צריך להגדיר זיהוי של כתובת ה-IP של הלקוח בסביבה כדי לציין איזו כתובת IP מערכת Apigee צריכה להשתמש בה ככתובת ה-IP של המקור. השימוש בהנחיות לזיהוי כתובת ה-IP של הלקוח מאפשר ל-Apigee לדווח על כתובת ה-IP האמיתית של המקור לתנועת ה-API. לדוגמה, אפשר להגדיר ב-Apigee שתמיד תהיה התייחסות לכתובת ה-IP הראשונה בכותרת XFF, גם אם זו כתובת IP פרטית.

העברת אירועים לארכיון

כדי לעזור לכם להבחין בין האירועים שכבר בדקתם לבין אלה שעדיין לא בדקתם, אתם יכולים להעביר לארכיון את האירועים שלא דורשים יותר את תשומת הלב שלכם. כשמעבירים אירוע לארכיון, הוא מוסתר מהרשימה פרטי הסביבה > אירועים (בתנאי שלא מסומנת האפשרות כולל אירועים שהועברו לארכיון). העברה לארכיון לא מוחקת את האירוע: תמיד אפשר לבטל את ההעברה לארכיון אם משנים את דעתכם.

כדי להעביר אירוע לארכיון, לוחצים על העברה לארכיון בחלק העליון של התצוגה פרטי האירוע. אחרי שתעשו את זה, התווית של הלחצן העברה לארכיון תשתנה לאחזור מהארכיון.

ביטול הארכוב של אירועים

כדי לבטל העברה לארכיון של אירוע שהועבר לארכיון:

1. בתצוגה Environment details > Incidents (פרטי הסביבה > אירועים), לוחצים על הסמל לצד האירוע שרוצים לבטל את הארכיון שלו:
2. בחלק העליון של רשימת האירועים, לוחצים על הוצאה מהארכיון.

לחלופין, אם אתם בתצוגה פרטי האירוע של האירוע, לוחצים על ביטול העברה לארכיון.

תנועה שזוהתה

תנועה שזוהתה היא תנועה שהפעילה כלל לזיהוי התנהלות פוגעת. בתצוגה תנועה מזוהה מוצג מידע על אירועים, שהם מקרים ספציפיים של תנועה מזוהה. בדף מוצגות תקריות עם האירוע האחרון שזוהה ב-14 הימים האחרונים. מידע נוסף על טווח הזמן של הנתונים שמוצגים בממשק המשתמש זמין במאמר מגבלות על אירועים ועל נתונים שמוצגים.

כדי לפתוח את התצוגה Detected Traffic, בוחרים באפשרות Detected Traffic בתצוגה Environment details:

בתצוגה תנועה מזוהה מוצגים נתונים לגבי:

• נפח התנועה הכולל: המספר הכולל של הבקשות.
• תנועה שזוהתה: מספר הבקשות מכתובות IP שזוהו ככתובות שמהן מגיעה התנהלות פוגעת.
• אחוז התנועה שזוהתה: האחוז של התנועה שזוהתה מתוך סך התנועה.
• מספר כתובות ה-IP שזוהו: מספר כתובות ה-IP השונות שתואמות להתנהלות הפוגעת שזוהתה. בקשות מרובות מאותה כתובת IP נספרות רק פעם אחת.

בתצוגה תנועה שזוהתה מוצגת גם טבלה עם פרטים של כל כתובת IP שתואמת להתנהלות הפוגעת שזוהתה. שימו לב שכברירת מחדל, כתובות ה-IP לא מוצגות מטעמי פרטיות. כדי לראות אותן, בוחרים באפשרות הצגת כל כתובות ה-IP בחלק העליון של הטבלה.

בכל שורה בטבלה של כתובות ה-IP מוצגים:

• כתובת IP: כתובת ה-IP של ההתנהלות הפוגעת שזוהתה. לוחצים על הצגה כדי לראות את הכתובת. אחרי שכתובת ה-IP מוצגת, לוחצים עליה כדי לראות את תצוגת הפרטים.
• מיקום: המיקום של כתובת ה-IP.
• מפתח האפליקציה המוביל: מפתח האפליקציה שנעשה בו שימוש הכי הרבה פעמים בבקשות מכתובת ה-IP. הערה: מפתח אפליקציה הוא מונח נוסף למפתח API.
• כללי זיהוי: רשימה של כל כללי הזיהוי שהופעלו בגלל ההתנהלות הפוגעת.
• כתובת ה-URL המובילה: כתובת ה-URL שקיבלה הכי הרבה בקשות מכתובת ה-IP.
• תנועה שזוהתה: מספר הבקשות מכתובת ה-IP.
• אחוז התנועה שזוהתה: אחוז הבקשות מכתובת ה-IP מתוך כל הבקשות בסביבה.
• האירוע הראשון שזוהה: הפעם הראשונה שבה זוהה אירוע בבקשה מכתובת ה-IP במהלך טווח הזמן שנבחר בחלק העליון של הדף ציוני אבטחה.
• האירוע האחרון שזוהה: הפעם האחרונה שבה זוהה אירוע בבקשה מכתובת ה-IP במהלך טווח הזמן שנבחר בחלק העליון של הדף ציוני אבטחה.

תצוגת הפרטים

בתצוגה פרטים מוצג מידע על האירוע או על התנועה שזוהתה. הוא מציג את הכללים שזוהו, את תאריכי הזיהוי הראשוני והאחרון ומאפיינים של תנועה שזוהתה מכתובת ה-IP של מפתח ה-API. (מידע נוסף על שדות הפרטים זמין במאמר בנושא מאפיינים ב-Analytics ובמאמר בנושא מאפיינים ב-API של נתוני אבטחה).

במקרה של כתובות IP, הכרטיסייה פרטים כוללת גם מידע על יומני גישה של Ingress שקשורים לכתובת ה-IP. מידע נוסף זמין במאמר בנושא יומני גישה של תעבורת Ingress בכלי לזיהוי התנהלות פוגעת.

אם הכללים שזוהו לגבי האירוע או התנועה כוללים כללים לזיהוי אנומליות, בקטע Advanced Anomaly Detection reasons מוצג מידע על התנועה האנומלית שזוהתה.

הכרטיסייה 'נתונים גולמיים'

אחרי שלוחצים על כתובת ה-IP או על מפתח ה-API, אפשר לבחור בכרטיסייה Raw כדי לראות את הנתונים הגולמיים של התנועה שזוהתה, כולל חותמות זמן, נתיבי בקשות וקודי סטטוס של תגובות. הנתונים הגולמיים שמוצגים מוגבלים ל-1,000 שורות והם מדגם, ולא בהכרח הנתונים העדכניים ביותר.

הכרטיסייה 'פרטי התנהלות פוגעת'

אם התקרית או התנועה שזוהו כוללות אנומליות, בכרטיסייה פרטי ההתנהלות הפוגעת מוצג מידע על האירועים החריגים שזוהו, כולל תרשימים של סדרות זמן של תנועה מכתובת ה-IP עם אירועים חריגים.

בתרשימים של סדרות הזמנים מוצגת פעילות בקרבת אינדיקטורים חריגים. לדוגמה, אם יש עלייה חדה בשיעור השגיאות, ציר ה-y של סדרת הזמן מציג את שיעור השגיאות לפני, במהלך ואחרי העלייה. אם יש עלייה חדה בנפח התנועה, בציר ה-y של סדרת הזמן מוצגים נתוני הנפח לפני האירוע, בזמן האירוע ואחרי האירוע.

יכול להיות שהמודל לא תמיד יסמן את כל הנתונים החריגים בתרשימי סדרות הזמנים ויציג אותם. המודל בוחר את הפעילות שלדעתו משפיעה הכי הרבה על שיעורי השגיאות ברמת הסביבה.

הקישורים שמתחת לתרשימים מובילים ישירות אל Google Cloud הרישום ביומן שקשור לאירוע. מידע נוסף זמין במאמר בנושא יומני גישה של תעבורת Ingress בכלי לזיהוי התנהלות פוגעת.

מאפיינים

בתצוגה Attributes אפשר להתעמק בפרטים של אירוע או של תנועה שזוהו. מאפיינים – נקראים גם מאפיינים (dimensions) – הם קיבוצים של הנתונים שמאפשרים לכם לראות את האירוע בדרכים שונות. לדוגמה, מאפיין המוצרים של ה-API מאפשר לכם להציג את הנתונים לפי מוצר API.

כדי לראות את המאפיינים של אירוע, לוחצים על הכרטיסייה מאפיינים בחלק העליון של התצוגה פרטי האירוע.

כדי לראות את המאפיינים של כתובת API או מפתח API ספציפיים באירוע או בתנועה שזוהתה, לוחצים על כתובת ה-IP או על מפתח ה-API בטבלת התוצאות בדף הסקירה הכללית.

בחלונית הימנית מוצגים כל המאפיינים ומספר הערכים הייחודיים של כל מאפיין. אפשר לבחור מאפיין כדי לראות את פרטי האירוע שלו.

בתמונה שלמעלה מוצג התצוגה מאפיינים עם האפשרות מדינות/אזורים שנבחרה. בחלונית Countries/Regions מוצגים תרשימים של אחוז קריאות ה-API שבוצעו בכל אזור.

אם מופיע הערך (not set), אפשר לקרוא את המאמר מה המשמעות של הערך (not set) במאפיין.

בשדה מסנן אפשר לסנן את הנתונים שמוצגים בחלונית לפי מאפיין לפי מאפיינים שונים.

באופן כללי, בחלונית של מאפיין מוצגת טבלה עם נתוני האירוע לפי ערכי המאפיין. העמודות בטבלה כוללות:

• מספר הקריאות הכולל: המספר הכולל של קריאות ל-API.
• % of calls: אחוז כל השיחות לכל ערך של המאפיין.
• שעת הזיהוי האחרונה: השעה האחרונה שבה זוהה אירוע שקשור לתקרית.

לחלק מהמאפיינים יש עמודות נוספות בטבלה.

במאמר על מאפיינים מפורט מידע על כל מאפיין, כולל:

• ‫API products: View details by API product.
• מדינות/אזורים: פרטים לפי המדינות והאזורים שבהם התרחשו האירועים בתקרית.
• אפליקציות AppGroup: פרטים לפי אפליקציית AppGroup שקשורה לבקשה. אם לא משויך AppGroup לבקשה, בעמודות אפליקציית AppGroup ושם AppGroup מוצג הערך (not set). במקום זאת, אפשר לעיין במידע על אפליקציות למפתחים.
• ‫AppGroups: עיון בפרטים לפי AppGroups קשורות לפי שם. אם לא משויכת לקבוצת האפליקציות בקשה, בעמודות שם קבוצת האפליקציות ואפליקציה בקבוצת האפליקציות יופיע הערך (not set). במקום זאת, אפשר לעיין במידע למפתחים.
• מפתחים: אפשר לראות פרטים לפי מפתחים – האנשים שמפתחים את האפליקציות. מפתחים כולל עמודה עם התווית אפליקציות, שבה מפורטות האפליקציות של כל מפתח. אם האפליקציה בבעלות AppGroup, בעמודה Developer מוצג (not set) ובעמודה Apps מוצגות האפליקציות של AppGroup. מידע נוסף זמין בכרטיסייה AppGroups names.
• אפליקציות למפתחים: הצגת פרטים לפי אפליקציה. בעמודה Developer Email (כתובת האימייל של המפתח) מפורטות כתובות האימייל של המפתחים של כל אפליקציה. אם האפליקציה בבעלות AppGroup, בעמודה Developer מוצג (not set) ובעמודה Apps מוצגות האפליקציות של AppGroup. מידע נוסף זמין בכרטיסייה אפליקציות AppGroups.
• שרתי proxy: עיון בפרטים לפי שרת proxy.
• קודי תגובה: אפשר לראות פרטים לפי קוד תגובה.
• כללים: הצגת פרטים לפי כללי זיהוי.
• סוכני משתמש: אפשר לראות פרטים לפי סוכן משתמש – סוכן התוכנה שביצע את הקריאה ל-API.

מה המשמעות של הערך (not set) במאפיין?

לפעמים, הערך של מאפיין הוא (not set). יכולות להיות כמה סיבות לכך. לדוגמה, יכול להיות של-Apigee אין מספיק מידע כדי לקבוע את הערך של המאפיין – למשל, מדינת המקור של קריאה ל-API. או שהמאפיין לא רלוונטי במקרה מסוים. מידע נוסף זמין במאמר מה המשמעות של הערך (not set) בישות של Analytics?

יומני גישה של Ingress בזיהוי התנהלות פוגעת

אם הפעלתם את Cloud Logging ליומני גישה של Apigee ingress, בדף הפרטים של כתובת IP או מפתח API יופיע קישור ישירות ל-Cloud Logging עם מסנן שהוגדר לכתובת ה-IP שנבחרה כרגע.

מידע על השימוש מופיע במאמר הצגת יומנים באמצעות Logs Explorer. הצעות למסננים:

• כדי לראות את כל סוגי האנומליות, צריך להציג את כל השיחות.
• כדי לראות רק שגיאות, מגבילים את התוצאות לרמת החומרה שגיאה.

אם לא הפעלתם את Cloud Logging עבור יומני הגישה של Apigee Ingress, בשדה הזה מופיע קישור למידע נוסף על Cloud Logging.

במאמר רישום יומני גישה של Apigee מופיע מידע על השימוש ביומני גישה של Apigee Ingress במופעי Apigee, וגם הסברים על השלכות חשובות מבחינת תמחור.

הערה: אי אפשר להציג את Cloud Logging עבור יומני גישה של Apigee ingress ב-Apigee hybrid בשלב הזה.

החרגת תנועה מזיהוי של התנהלות פוגעת

במקרים מסוימים, יכול להיות שתרצו להחריג תנועה מזיהוי של התנהלות פוגעת. לדוגמה, אם יש לכם קבוצה של כתובות IP שאתם יודעים שמשמשות לבדיקות אוטומטיות או לבדיקות חדירה, יכול להיות שלא תרצו לסמן תנועה מוגזמת מהמקורות האלה כניצול לרעה.

כדי להחריג תנועה מזיהוי של התנהלות פוגעת, מוסיפים מאפיינים לרשימות החרגות, שבהן מצוינת התנועה שרוצים להחריג והסיבות לכך. בשלב הזה, Apigee תומך בטווחים של CIDR ובכתובות IP כמאפיינים שאפשר להשתמש בהם כדי להחריג תנועה.

רשימות החרגה

ברשימות ההחרגה נאספים המאפיינים שרוצים להחריג מהזיהוי. אפשר ליצור כמה רשימות החרגות לכל סביבה, וכל רשימה יכולה לכלול כמה טווחי CIDR וכתובות IP.

כשמנהלים רשימות החרגה, אפשר להוסיף או לשנות מאפיינים ישירות. לדוגמה, לא צריך לחכות שכתובת IP תופיע באירוע של זיהוי התנהלות פוגעת כדי להחריג אותה מהזיהוי.

יכול להיות שיחלפו עד שלושה ימים עד שהתנועה שנוספה לרשימת ההחרגות תוחרג מאירועים חדשים. אחרי החרגת התנועה, היא לא תופיע בזיהויים או באירועים חדשים, אבל היא תמשיך להופיע בדוחות קודמים, עם סימון בעמודה החרגות לגבי אירועים ותנועה שזוהו בממשק המשתמש.

שדות של רשימת החרגות

רשימות ההחרגות כוללות את השדות האלה. חובה למלא את כל השדות, אלא אם הם מסומנים כאופציונליים.

שדה	תיאור
השם המוצג	השם המוצג של הרשימה. השם הזה מוצג בכרטיסייה החרגות.
כתובות IP וטווחי CIDR	כתובות ה-IP או טווחי ה-CIDR שרוצים להחריג מהזיהוי. חובה לכלול לפחות טווח CIDR אחד או כתובת IP אחת, ואפשר להחריג עד 30 טווחי CIDR וכתובות IP בסך הכול לכל רשימה. כשיש אפשרות, עדיף להשתמש בטווחים של CIDR במקום בכתובות IP.
סיבה	סיבה להחרגת התנועה. בוחרים מבין הסיבות שמופיעות.
פרטים (אופציונלי)	תגובה לגבי הרשימה, עם מידע נוסף על הסיבה להחרגת התנועה.

ניהול רשימות החרגות

כדי לנהל רשימות החרגות ישירות:

1. בוחרים סביבה לזיהוי התנהלות פוגעת.
2. לוחצים על הכרטיסייה החרגות.
3. כדי ליצור רשימת החרגות חדשה, לוחצים על יצירה. כדי לערוך רשימת החרגות קיימת, בוחרים באפשרות עריכה בתפריט 'פעולות נוספות' בשורה של הרשימה הרלוונטית.
4. ממלאים את השדות כמו שמתואר בקטע שדות של רשימת החרגות.

החרגת תנועה באמצעות דף הפרטים של האירוע בנושא זיהוי התנהלות פוגעת

כדי להחריג כתובת IP אחת או יותר:

1. לצפות בפרטים של אירוע.
2. ברשימה כתובות IP, לוחצים על הצגת כל כתובות ה-IP כדי לראות את כתובות ה-IP ברשימה.
3. מסמנים את התיבה לצד כל כתובת IP שרוצים להחריג מהזיהוי.
4. לוחצים על החרגה מהזיהוי בראש הרשימה.
5. בוחרים רשימת החרגות קיימת או יוצרים רשימה חדשה.
6. ממלאים את השדות כמו שמתואר בקטע שדות של רשימת החרגות.
7. לוחצים על Save כדי לשמור את השינויים.

החרגת תנועה באמצעות הדף 'תנועה שזוהתה'

כדי להחריג כתובת IP אחת או יותר:

1. בוחרים סביבה לזיהוי התנהלות פוגעת.
2. לוחצים על הכרטיסייה תנועה שזוהתה.
3. ברשימה כתובות IP של התנועה שזוהתה, לוחצים על הצגת כל כתובות ה-IP כדי לראות את כתובות ה-IP ברשימה.
4. מסמנים את התיבה לצד כל כתובת IP שרוצים להחריג מהזיהוי.
5. לוחצים על החרגה מהזיהוי בראש הרשימה.
6. בוחרים רשימת החרגות קיימת או יוצרים רשימה חדשה.
7. ממלאים את השדות כמו שמתואר בקטע שדות של רשימת החרגות.
8. לוחצים על Save כדי לשמור את השינויים.

מגבלות על זיהוי התנהלות פוגעת

יש כמה מגבלות לזיהוי התנהלות פוגעת.

• תקריות שהאירוע האחרון שזוהה בהן היה לפני יותר מ-14 ימים לא מוצגות בממשק המשתמש של זיהוי התנהלות פוגעת. במאמר מגבלות על אירועים ועל נתונים שמוצגים יש מידע נוסף על האירועים והנתונים שמוצגים בממשק המשתמש.
• כשמפעילים לראשונה את Advanced API לארגון, או מפעילים אותו מחדש, יש עיכוב בזמן שאירועים מקובצים לתקריות. לאחר מכן, יהיו עיכובים מדי פעם.
• יכול להיות שיעבור זמן קצר עד שדף המאפיינים פרטי האירוע ייטען בארגונים עם נפח תנועה גדול.
• ברשימות ההחרגות יש תמיכה ב-15 רשימות לכל היותר לכל סביבה, עם עד 30 כתובות IP וטווחים של CIDR לכל רשימה.
• בשלב הזה אין תמיכה ב-AppGroups ב-Apigee hybrid.