שיטות מומלצות לשימוש ב-Advanced API Security

הדף הזה רלוונטי ל-Apigee ול-Apigee Hybrid.

לעיון במסמכי התיעוד של Apigee Edge

בדף הזה מפורטות כמה שיטות מומלצות לעבודה עם Advanced API Security.

הגדרת זיהוי כתובת ה-IP של הלקוח

אם אלגוריתם ברירת המחדל לזיהוי כתובת ה-IP של הלקוח לא מתאים לתרחיש השימוש שלכם, אפשר להתאים אותו אישית לכל סביבה. מידע נוסף זמין במאמר בנושא המרת כתובת ה-IP של הלקוח. הגדרת ההגדרה הזו מאפשרת ל-Advanced API Security למצוא ולהשתמש בכתובת ה-IP המתאימה של הלקוח לכל בקשת API, ומבטיחה פתרון עקבי של כתובת ה-IP של הלקוח בסביבה שלכם.

כדי להשתמש בפתרון כתובת ה-IP של הלקוח, תצטרכו גם לשמור על כותרות הבקשה X-Forwarded-For.

שימור כותרות הבקשות X-Forwarded-For

כותרת הבקשה X-Forwarded-For ‏ (XFF) היא כותרת סטנדרטית לזיהוי כתובות ה-IP המקוריות של לקוחות שמתחברים לשרת אינטרנט דרך שרת proxy. פלטפורמות רבות מספקות אפשרות להסיר כותרות XFF מבקשות נכנסות למטרות אבטחה. עם זאת, לא מומלץ לעשות זאת אם משתמשים ב-Advanced API Security, כי האלגוריתמים של למידת המכונה שבה צריכים את פרטי כתובת ה-IP כדי לזהות תנועה של ניצול לרעה ולחשב ציוני אבטחה.

איך בודקים אם הפלטפורמה מסירה כותרות XFF

כדי לבדוק אם הפלטפורמה מסירה את כותרות ה-XFF, מבצעים קריאה ל-API כמו זו שבהמשך:

curl https://apigee.googleapis.com/v1/organizations/ORG/environments/ENV/stats/x_forwarded_for_ip?select=avg\(total_response_time\)&timeRange=9/24/2018%2000:00~10/25/2018%2000:00&timeUnit=day \
 -H "Authorization: Bearer $TOKEN"

כאשר ORG הוא הארגון ו-ENV הוא סביבה בארגון.

אם הפלטפורמה מסירה כותרות XFF, הפונקציה מחזירה תגובה שבה השורה הראשונה תהיה

 "name": "(not set)",

הערך (not set) בתשובה מציין שהפלטפורמה מסירה כותרות XFF.