Reglas de detección

Esta página se aplica a Apigee y Apigee Hybrid.

Consulta la documentación de Apigee Edge.

Advanced API Security usa reglas de detección para detectar patrones inusuales en el tráfico de APIs que podrían representar la actividad maliciosa. Estas reglas incluyen modelos de aprendizaje automático, entrenados con datos de APIs reales y reglas descriptivas, basadas en tipos conocidos de amenazas a las APIs.

Nota: En la página de Detección de abusos de Advanced API Security, se usan reglas de detección para detectar incidentes de seguridad. Un incidente de seguridad es un grupo de eventos con patrones similares, que pueden representar una amenaza de seguridad. Ten en cuenta que un incidente puede activarse con varias reglas de detección, en cuyo caso todas las reglas que activaron el incidente se enumeran en la vista Detalles del entorno de Detección de abuso.

En la siguiente tabla, se enumeran las reglas de detección y sus descripciones.

Regla de detección	Descripción
Vista previa: Scraping avanzado de APIs	Un modelo de aprendizaje automático que detecta el scraping de APIs, que es el proceso de extraer información específica de las APIs con fines maliciosos.
Vista previa: Detección avanzada de anomalías	Un modelo de aprendizaje automático para detectar anomalías (patrones inusuales de eventos) en el tráfico de APIs. Consulta Acerca de la detección de anomalías avanzada.
Brute Guessor	Proporción alta de errores de respuesta (4xx y 5xx) durante las 24 horas anteriores
Flooder	Proporción alta de tráfico de una dirección IP en un período de 5 minutos
OAuth Abuser	Gran cantidad de sesiones de OAuth con una cantidad pequeña de usuarios-agentes en las últimas 24 horas
Robot Abuser	Gran cantidad de errores de rechazo 403 en las últimas 24 horas
Scraper de contenido estático	Proporción alta del tamaño de la carga útil de respuesta de una dirección IP en un período de 5 minutos
TorListRule	Lista de IP de nodos de salida de Tor. Un nodo de salida de Tor es el último nodo de Tor que el tráfico pasa a través de la red de Tor antes de salir a Internet. La detección de nodos de salida de Tor indica que un agente envió tráfico a tus APIs desde la red de Tor, posiblemente con fines maliciosos.

Acerca de la detección avanzada de anomalías

El algoritmo de detección avanzada de anomalías aprende de tu tráfico de la API y tiene en cuenta factores como las tasas de errores, el volumen de tráfico, el tamaño de las solicitudes, la latencia, la ubicación geográfica y otros metadatos de tráfico a nivel del entorno. Si hay cambios significativos en los patrones de tráfico (por ejemplo, un aumento repentino en el tráfico, las tasas de errores o la latencia), el modelo marca la dirección IP que contribuyó a la anomalía en Tráfico detectado.

Nota: Para usar la detección avanzada de anomalías, debes habilitar el entrenamiento del modelo con tus datos de tráfico de la API. Para obtener más información, consulta Habilita los modelos de aprendizaje automático para la detección de abusos.

También puedes combinar la detección de anomalías con acciones de seguridad para marcar o rechazar automáticamente el tráfico que el modelo detecta como anómalo. Consulta la publicación de la comunidad "Cómo usar las acciones de seguridad de Apigee Advanced API Security para marcar y bloquear tráfico sospechoso" para obtener más información.

Comportamiento del modelo

Para reducir el riesgo de que los actores maliciosos puedan aprovechar el modelo, no exponemos detalles específicos sobre cómo funciona el modelo ni cómo se detectan los incidentes. Sin embargo, esta información adicional puede ayudarte a aprovechar al máximo la detección de anomalías:

• Consideración de la variación estacional: Como el modelo se entrena con tus datos de tráfico, puede reconocer y tener en cuenta las variaciones estacionales del tráfico (como el tráfico de días festivos) si tus datos de tráfico incluyen datos anteriores de ese patrón, como el mismo día festivo en un año anterior.
• Anomalías destacadas:
• Para los clientes existentes de Apigee y los clientes híbridos: Apigee recomienda que tengas al menos 2 semanas de datos históricos del tráfico de la API y, para obtener resultados más precisos, es preferible tener 12 semanas de datos históricos. La Detección avanzada de anomalías comienza a mostrar anomalías en un plazo de seis horas después de que habilitas el entrenamiento de modelos.
• Usuarios nuevos de Apigee: El modelo comienza a mostrar anomalías 6 horas después de que habilitas la opción, si tienes un mínimo de 2 semanas de datos históricos. Sin embargo, te recomendamos que actúes con precaución ante las anomalías detectadas hasta que el modelo tenga al menos 12 semanas de datos para el entrenamiento. El modelo se entrena continuamente con tus datos históricos de tráfico para que sea más preciso con el tiempo.

Limitaciones

En el caso de la detección avanzada de anomalías de la detección de abusos, las anomalías se detectan a nivel del entorno. Por el momento, no se admite la detección de anomalías a nivel de proxy individual.

Reglas de detección y aprendizaje automático

Advanced API Security usa modelos creados con los algoritmos de aprendizaje automático de Google para detectar amenazas contra la seguridad de tus APIs. Estos modelos están previamente entrenados en conjuntos de datos de tráfico de APIs reales (incluidos tus datos de tráfico actuales, si están habilitados) que contienen amenazas de seguridad conocidas. Como resultado, los modelos aprenden a reconocer patrones inusuales de tráfico de APIs, como la recopilación y anomalía de APIs, y los eventos de clústeres juntos en función de patrones similares.

Dos de las reglas de detección se basan en modelos de aprendizaje automático:

• Scraper avanzado de APIs
• Detección avanzada de anomalías

Nota: Los datos que se usan para entrenar los modelos de aprendizaje automático para el scraper avanzado de APIs de las reglas y la detección avanzada de anomalías contienen metadatos, incluida la dirección IP de origen, la geografía de la fuente y los valores de algunos encabezados de solicitud HTTP. Sin embargo, los datos de detección que reciben los modelos no incluyen los valores reales de estos metadatos. El modelo realiza detecciones en función de las propiedades estadísticas de los datos, no de los valores de los metadatos.