Aturan deteksi

Halaman ini berlaku untuk Apigee dan Apigee hybrid.

Lihat Apigee Edge dokumentasi.

Advanced API Security menggunakan aturan deteksi untuk mendeteksi pola yang tidak biasa dalam traffic API yang dapat mewakili aktivitas berbahaya. Aturan ini mencakup model machine learning, yang dilatih dengan data API sebenarnya, dan aturan deskriptif, berdasarkan jenis ancaman API yang diketahui.

Catatan: Halaman Deteksi penyalahgunaan Advanced API Security menggunakan aturan deteksi untuk mendeteksi insiden keamanan. Insiden keamanan adalah sekelompok peristiwa dengan pola serupa yang dapat mewakili ancaman keamanan. Perhatikan bahwa satu insiden dapat dipicu oleh beberapa aturan deteksi . Dalam hal ini, semua aturan yang memicu insiden akan tercantum dalam tampilan Detail lingkungan Deteksi penyalahgunaan Deteksi penyalahgunaan Detail lingkungan .

Tabel berikut mencantumkan aturan deteksi dan deskripsinya.

Aturan deteksi	Deskripsi
Pratinjau: Advanced API Scraper	Model machine learning yang mendeteksi scraping API, yaitu proses mengekstrak informasi yang ditargetkan dari API untuk tujuan berbahaya.
Pratinjau: Advanced Anomaly Detection	Model machine learning untuk mendeteksi anomali—pola peristiwa yang tidak biasa—dalam traffic API. Lihat Tentang Advanced Anomaly Detection.
Brute Guessor	Proporsi error respons yang tinggi (4xx dan 5xx) selama 24 jam sebelumnya
Flooder	Proporsi traffic yang tinggi dari alamat IP dalam jangka waktu 5 menit
OAuth Abuser	Sejumlah besar sesi OAuth dengan jumlah agen pengguna yang kecil selama 24 jam sebelumnya
Robot Abuser	Sejumlah besar error penolakan 403 dalam 24 jam terakhir
Static Content Scraper	Proporsi ukuran payload respons yang tinggi dari alamat IP dalam jangka waktu 5 menit
TorListRule	Daftar IP node keluar Tor. Node keluar Tor adalah node Tor terakhir yang dilewati traffic di jaringan Tor sebelum keluar ke internet. Mendeteksi node keluar Tor menunjukkan bahwa agen telah mengirim traffic ke API Anda dari jaringan Tor, mungkin untuk tujuan berbahaya.

Tentang Advanced Anomaly Detection

Algoritma Advanced Anomaly Detection mempelajari traffic API Anda, dengan mempertimbangkan faktor-faktor seperti tingkat error, volume traffic, ukuran permintaan, latensi, geolokasi, dan metadata traffic lainnya di tingkat lingkungan. Jika ada perubahan signifikan dalam pola traffic (misalnya, lonjakan traffic, tingkat error, atau latensi), model akan menandai alamat IP yang berkontribusi terhadap anomali di Traffic Terdeteksi.

Catatan: Penggunaan Advanced Anomaly Detection mengharuskan Anda memilih untuk melatih model pada data traffic API Anda. Untuk mengetahui informasi selengkapnya, lihat Memilih model machine learning untuk Deteksi Penyalahgunaan.

Anda juga dapat menggabungkan deteksi anomali dengan tindakan keamanan untuk secara otomatis menandai atau menolak traffic yang terdeteksi sebagai anomali oleh model. Lihat postingan komunitas "Menggunakan Tindakan Keamanan Advanced API Security Apigee untuk Menandai dan Memblokir Traffic Mencurigakan" untuk mengetahui informasi tambahan.

Perilaku model

Untuk mengurangi risiko aktor jahat dapat mengeksploitasi model, kami tidak mengekspos detail spesifik tentang cara kerja model atau cara insiden terdeteksi. Namun, informasi tambahan ini dapat membantu Anda memanfaatkan deteksi anomali sebaik mungkin:

• Memperhitungkan varian musiman:Karena model dilatih dengan data traffic Anda, model dapat mengenali dan memperhitungkan varian traffic musiman (seperti traffic liburan), jika data traffic Anda menyertakan data sebelumnya untuk pola tersebut, seperti liburan yang sama pada tahun sebelumnya.
• Menampilkan anomali:
• Untuk pelanggan Apigee dan hybrid yang sudah ada: Apigee merekomendasikan agar Anda memiliki data traffic API historis minimal 2 minggu dan, untuk hasil yang lebih akurat, sebaiknya memiliki data historis selama 12 minggu. Advanced Anomaly Detection mulai menampilkan anomali dalam waktu enam jam setelah memilih untuk melatih model.
• Pengguna Apigee baru: Model mulai menampilkan anomali 6 jam setelah memilih, jika Anda memiliki data historis minimal 2 minggu. Namun, sebaiknya berhati-hatilah saat menindaklanjuti anomali yang terdeteksi hingga model memiliki data minimal 12 minggu untuk pelatihan. Model terus dilatih dengan data traffic historis Anda sehingga menjadi lebih akurat dari waktu ke waktu.

Batasan

Untuk Advanced Anomaly Detection Deteksi Penyalahgunaan, anomali terdeteksi di tingkat lingkungan level. Deteksi anomali di tingkat proxy individual tidak didukung saat ini.

Machine learning dan aturan deteksi

Advanced API Security menggunakan model yang dibuat dengan algoritma machine learning Google untuk mendeteksi ancaman keamanan pada API Anda. Model ini telah dilatih sebelumnya pada set data traffic API sebenarnya (termasuk data traffic Anda saat ini, jika diaktifkan) yang berisi ancaman keamanan yang diketahui. Hasilnya, model akan mempelajari cara mengenali pola traffic API yang tidak biasa, seperti scraping dan anomali API, serta mengelompokkan peristiwa berdasarkan pola yang serupa.

Dua aturan deteksi didasarkan pada model machine learning:

• Advanced API Scraper
• Advanced Anomaly Detection

Catatan: Data yang digunakan untuk melatih model machine learning untuk aturan Advanced API Scraper dan Advanced Anomaly Detection berisi metadata, termasuk alamat IP sumber, geografi sumber, dan nilai beberapa header permintaan HTTP. Namun, data deteksi yang diterima oleh model tidak menyertakan nilai sebenarnya dari metadata ini. Model membuat deteksi berdasarkan properti statistik data, bukan pada nilai metadata.