הדף הזה רלוונטי ל-Apigee ול-Apigee Hybrid.
לעיון במסמכי התיעוד של
Apigee Edge
בדף הזה מפורטות כמה שיטות מומלצות לעבודה עם אבטחת API מתקדמת.
הגדרת זיהוי כתובת ה-IP של הלקוח
אם אלגוריתם ברירת המחדל לזיהוי כתובת ה-IP של הלקוח לא מתאים לתרחיש השימוש שלכם, אפשר להתאים אותו אישית לכל סביבה. מידע נוסף זמין במאמר בנושא המרת כתובת IP של לקוח. הגדרת ההגדרה הזו מאפשרת ל-Advanced API Security למצוא את כתובת ה-IP המתאימה של הלקוח לכל בקשת API ולהשתמש בה, ומבטיחה פתרון עקבי של כתובות ה-IP של הלקוח בסביבה שלכם.
כדי להשתמש בפתרון של כתובת ה-IP של הלקוח, תצטרכו גם לשמור את כותרות הבקשה X-Forwarded-For.
שימור כותרות הבקשות X-Forwarded-For
כותרת הבקשה X-Forwarded-For (XFF) היא כותרת רגילה לזיהוי כתובות ה-IP המקוריות של לקוחות שמתחברים לשרת אינטרנט דרך שרת proxy. פלטפורמות רבות מספקות אפשרות להסיר כותרות XFF מבקשות נכנסות למטרות אבטחה. עם זאת, לא מומלץ להשתמש בשיטה הזו אם אתם משתמשים ב-Advanced API Security, כי האלגוריתמים של למידת המכונה שבה צריכים את פרטי כתובת ה-IP כדי לזהות תנועה של ניצול לרעה ולחשב את ציוני האבטחה.
איך בודקים אם הפלטפורמה מסירה כותרות XFF
כדי לבדוק אם הפלטפורמה מסירה את כותרות ה-XFF, מבצעים קריאה ל-API כמו זו שבהמשך:
curl https://apigee.googleapis.com/v1/organizations/ORG/environments/ENV/stats/x_forwarded_for_ip?select=avg\(total_response_time\)&timeRange=9/24/2018%2000:00~10/25/2018%2000:00&timeUnit=day \ -H "Authorization: Bearer $TOKEN"
כאשר ORG הוא הארגון ו-ENV הוא סביבה בארגון.
אם הפלטפורמה מסירה כותרות XFF, הפונקציה מחזירה תגובה שבה השורה הראשונה תהיה
"name": "(not set)",
הערך (not set) בתשובה מציין שהפלטפורמה מסירה את כותרות ה-XFF.