Diese Seite wurde von der Cloud Translation API übersetzt.

Risikobewertung – Übersicht und Benutzeroberfläche

Diese Seite gilt für Apigee und Apigee Hybrid.

Übersicht

Die Risikobewertung der erweiterten API-Sicherheit wertet kontinuierlich API-Proxy-Konfigurationen aus und berechnet Sicherheitswerte, um Ihnen zu helfen, Schwachstellen in Ihren APIs zu identifizieren und zu beheben.

Die Risikobewertung hilft dabei:

Konsistente Sicherheitsstandards für alle APIs durchzusetzen
Fehlkonfigurationen in API-Einrichtungen zu erkennen.
Ihren Gesamtsicherheitsscore mit den empfohlenen Maßnahmen zu verbessern.
Sicherheitsprobleme über ein zentrales Dashboard schnell zu untersuchen und zu beheben

Neben der Bewertung des aktuellen Risikos jedes Proxys kann die Risikobewertung auch verwendet werden, um die Sicherheit Ihrer APIs im Zeitverlauf zu überwachen. Eine schwankende Bewertung kann darauf hinweisen, dass sich das API-Verhalten häufig ändert. Das kann unter anderem an Proxys liegen, die ohne die erforderlichen Sicherheitsrichtlinien bereitgestellt werden, an Änderungen an freigegebenen Abläufen über Flow-Hook-Bereitstellungen und FlowCallout-Richtlinien sowie an Änderungen am Zielserver in Umgebungs- oder Proxy-Bereitstellungen.

Sie können auf die Risikobewertung entweder über die Apigee-Benutzeroberfläche, wie auf dieser Seite beschrieben, oder über die Security Scores and Profiles API zugreifen. Sie können Terraform auch verwenden, um Sicherheitsprofile und Überwachungsbedingungen zu konfigurieren.

Informationen zu den Rollen, die zum Ausführen von Risikobewertungsaufgaben erforderlich sind, finden Sie unter Erforderliche Rollen für die Risikobewertung.

Damit Sie diese Funktion nutzen können, müssen Sie das Add-on aktivieren. Wenn Sie ein Abo-Kunde sind, können Sie das Add-on für Ihre Organisation aktivieren. Weitere Informationen finden Sie unter Erweiterte API-Sicherheit für Abo-Organisationen verwalten. Wenn Sie „Pay as you go“-Kunde sind, können Sie das Add-on in Ihren berechtigten Umgebungen aktivieren. Weitere Informationen finden Sie unter Add-on Erweiterte API-Sicherheits verwalten.

Risikobewertung 1/2

Die Risikobewertung ist in zwei Versionen verfügbar: Risikobewertung 1, die allgemein verfügbar ist, und Risikobewertung 2, die sich in der Vorabversion befindet. Für die Verwendung beider Versionen ist das Add‑on „Erweiterte API-Sicherheit“ erforderlich.

Die wichtigsten Unterschiede zwischen Version 1 und Version 2 sind:

Version 2 enthält Folgendes:
- Verbesserte Zuverlässigkeit, einschließlich schnellerer Bewertungsberechnung mit aktuellen Proxy-Daten
- Berechnung der Punktzahl, ohne dass zuerst ein Sicherheitsprofil an eine Umgebung angehängt werden muss
- Vereinfachte Präsentation der Bewertung, basierend auf einer Skala von 0 % bis 100 %
- Das Konzept der Gewichte für Bewertungsprüfungen, das in Version 1 nicht unterstützt wird. Weitere Informationen finden Sie unter Konzepte und Bewertung der Risikobewertung.
- Zusätzliche Bewertungen gegenüber Version 1, die weitere Richtlinien bei der Berechnung von Punktzahlen prüfen. Beispiel: Version 1 unterstützt fünf autorisierungs- und authentifizierungsbezogene Richtlinien, Version 2 acht. Außerdem enthält Version 2 eine Kategorie für die Traffic-Verwaltung mit zugehörigen Richtlinien und führt zusätzliche Richtlinienprüfungen durch, einschließlich des continueOnError-Attributs.
- Prüfung verschachtelter freigegebener Abläufe und Ablauf-Hooks mit bis zu fünf Verschachtelungsebenen. In Version 1 werden Richtlinien, die über die Verknüpfung freigegebener Abläufe eingebunden sind, nicht ausgewertet.
- Ersetzen von Zielpunktzahlen (Zielserverpunktzahlen) durch proxybasierte Bewertungen und Empfehlungen. Wenn ein Ziel in einem Proxy verwendet wird, enthalten die Sicherheitspunktzahlen für diesen Proxy auch die Punktzahl für den Zielserver.
- Benutzerdefinierte Profile mit den neuen v2-Bewertungsprüfungen sowie dem Systemprofil google-default.
- Sicherheitsbewertungen und ‑messwerte im Zeitverlauf mit Cloud Monitoring überwachen und Benachrichtigungen mit Cloud Monitoring-Benachrichtigungen einrichten.
In Version 2 wird die Bewertung der Quelle basierend auf missbräuchlichem Traffic nicht unterstützt.

Risikobewertung 2

In diesem Abschnitt wird die Version 2 der Risikobewertung beschrieben, die neue Version der Risikobewertung. Einige Konzepte und Verhaltensweisen der Risikobewertung unterscheiden sich zwischen Version 1 und Version 2. Informationen zur Verwendung mit der Risikobewertung 1 finden Sie unter Risikobewertung 1.

Konzepte und Bewertungsmethodik der Risikobewertung 2

Die Sicherheitsbewertungen der Risikobewertung bewerten das Sicherheitsrisiko Ihrer APIs basierend auf der Bewertung von Sicherheitsprüfungen und Gewichtungen in einem Sicherheitsprofil.

Die Bewertung der Risikobewertung basiert auf:

Bewertungen und Bewertungsprüfungen:Die einzelnen Prüfungen, die für Proxys durchgeführt werden und für die Proxys bewertet werden. Jede Prüfung hat auch eine Gewichtung, die einer Prüfung bei der Bewertung eines Proxys mehr oder weniger Bedeutung verleiht. Die Gewichtung wird pro Prüfung auf „gering“, „mittel“ oder „hoch“ festgelegt. Jedes Gewicht hat einen Punktwert, der zur Berechnung einer Punktzahl verwendet wird:
- Gering: 1
- Mittel: 5
- Hoch: 15
Sicherheitsprofil:Eine Sammlung von Bewertungsprüfungen, anhand derer bereitgestellte Proxys in einer Umgebung bewertet werden.
Sicherheitspunktzahl:Die Punktzahl für einen Proxy nach der Bewertung anhand eines Sicherheitsprofils.

Der Wert liegt zwischen 0% und 100%. 100% bedeutet, dass der Proxy vollständig den Bewertungen entspricht und keine relevanten Risiken gefunden wurden.

Der Sicherheitswert ist im Grunde die Summe aller Punkte, die für bestandene Prüfungen vergeben wurden, geteilt durch die maximal möglichen Punkte im Profil. Der Wert ist ein gewichteter Durchschnitt. Je mehr Richtlinien das Sicherheitsprofil enthält, desto geringer ist die Auswirkung der einzelnen Bewertungsprüfungen auf den Security Score.

Auch das Gewicht der Bewertungsprüfung wirkt sich auf den Security Score aus. Höhere Gewichte haben einen größeren Einfluss auf die Berechnung und niedrigere Gewichte einen geringeren Einfluss, wobei der Punktwert für jedes Gewicht verwendet wird. Wenn die Gewichtungen für alle Bewertungsprüfungen im Sicherheitsprofil gleich sind (z. B. wenn alle Bewertungsprüfungen eine mittlere Gewichtung haben), wird der Sicherheitsindex als regulärer Durchschnitt berechnet.
Schweregrad:Ein Schweregrad für jeden bewerteten Proxy, der auf der Sicherheitspunktzahl basiert. Die möglichen Schweregrade sind hoch (0–50%), mittel (51–90%), niedrig (91–99%) und minimal (100%/kein Risiko gefunden basierend auf den Bewertungen im zugewiesenen Sicherheitsprofil).

Bewertungskategorien und ‑prüfungen

In dieser Tabelle sind die Bewertungskategorien und einzelnen Prüfungen aufgeführt, die Teil von Sicherheitsprofilen sein können. Außerdem werden Empfehlungen dazu gegeben, wie Sie fehlgeschlagene Prüfungen für die einzelnen Produkte beheben können.

Bewertungskategorie Beschreibung

Auth

„Auth“ bezieht sich in diesem Fall sowohl auf die Autorisierung als auch auf die Authentifizierung. Bei der Authentifizierungsprüfung wird geprüft, ob Sie Autorisierungs- und Authentifizierungsrichtlinien eingerichtet haben und ob das Attribut continueOnError für Authentifizierungsrichtlinien auf false festgelegt ist.

Prüfung der Bewertung / Name	Beschreibung	Empfehlung
Prüfung der Authentifizierungsrichtlinien / `auth-policies-check`	Prüfen Sie, ob eine der folgenden Authentifizierungsrichtlinien aktiviert ist: AccessControl, BasicAuthentication, HMAC, OAuth, ValidateSAMLAssertion, VerifyAPIKey, VerifyJWS, oder VerifyJWT.	Mindestens eine der erforderlichen Richtlinien für den Proxy
„continueOnError“-Prüfung in Authentifizierungsrichtlinien / `continue-on-error-auth-policies-check`	Prüft, ob das Feld `continueOnError` für alle Autorisierungsrichtlinien im Proxy aktiviert ist. Dabei wird geprüft, ob eine Autorisierungsrichtlinie verwendet wird. Diese Prüfung hat keine Auswirkungen, wenn im Proxy keine Autorisierungsrichtlinien vorhanden sind.	Setzen Sie `continueOnError` für alle im Proxy enthaltenen Auth-Richtlinien auf „false“.
Prüfung der AccessControl-Richtlinie / `access-control-policy-check`	Ob die AccessControl-Richtlinie verwendet wird.	Fügen Sie dem Proxy die AccessControl-Richtlinie hinzu.
Prüfung der BasicAuthentication-Richtlinie / `basic-auth-policy-check`	Ob die BasicAuthentication-Richtlinie verwendet wird.	Fügen Sie dem Proxy die BasicAuthentication-Richtlinie hinzu.
Prüfung der HMAC-Richtlinie / `hmac-policy-check`	Ob die HMAC-Richtlinie verwendet wird.	Fügen Sie dem Proxy die HMAC-Richtlinie hinzu.
Prüfung der OAuthV2-Richtlinie / `oauthv2-policy-check`	Ob die OAuth-Richtlinie verwendet wird.	Fügen Sie dem Proxy die OAuthV2-Richtlinie hinzu.
Prüfung der ValidateSAMLAssertion-Richtlinie / `validate-saml-assertion-policy-check`	Ob die ValidateSAMLAssertion-Richtlinie verwendet wird.	Fügen Sie dem Proxy die ValidateSAMLAssertion-Richtlinie hinzu.
VerifyAPIKey-Richtlinie / `verify-api-key-policy-check`	Ob die VerifyAPIKey-Richtlinie verwendet wird.	Fügen Sie dem Proxy die VerifyAPIKey-Richtlinie hinzu.
VerifyJWS-Richtlinie / `verify-jws-policy-check`	Ob die VerifyJWS-Richtlinie verwendet wird.	Fügen Sie dem Proxy die VerifyJWS-Richtlinie hinzu.
VerifyJWT-Richtlinie / `verify-jwt-policy-check`	Ob die VerifyJWT-Richtlinie verwendet wird.	Fügen Sie dem Proxy die VerifyJWT-Richtlinie hinzu.

CORS

Prüft, ob eine CORS-Richtlinie oder ein CORS-Header in der AssignMessage-Richtlinie vorhanden ist.

Prüfung der Bewertung / Name	Beschreibung	Empfehlung
Prüfung der CORS-Richtlinien / `cors-policies-check`	Prüfen Sie, ob eine CORS-Richtlinie oder ein CORS-Header in der AssignMessage-Richtlinie vorhanden ist.	Fügen Sie dem Proxy entweder die CORS-Richtlinie oder die AssignMessage-Richtlinie mit den CORS-Headern hinzu.
Prüfung der CORS-Richtlinie / `cors-policy-check`	Prüfen Sie, ob eine CORS-Richtlinie verwendet wird.	Fügen Sie dem Proxy die CORS-Richtlinie hinzu.
CORS-AssignMessage-Richtlinienprüfung / `cors-assignmessage-policy-check`	Prüfen Sie, ob CORS-Header in einer AssignMessage-Richtlinie hinzugefügt werden.	Fügen Sie dem Proxy die AssignMessage-Richtlinie mit CORS-Headern hinzu.

Mediation

Prüft, ob eine Mediationsrichtlinie aktiviert ist.

Prüfung der Bewertung / Name	Beschreibung	Empfehlung
Prüfung der Mediationsrichtlinien / `mediation-policies-check`	Prüfen Sie, ob eine der folgenden Mediationsrichtlinien aktiviert ist: SOAPMessageValidation oder OASValidation.	Fügen Sie Ihrem Proxy eine der folgenden Mediationsrichtlinien hinzu: SOAPMessageValidation oder OASValidation.
Prüfung der SOAPMessageValidation-Richtlinie / `soap-validation-policy-check`	Prüfen Sie, ob die SOAPMessageValidation-Richtlinie verwendet wird.	Fügen Sie dem Proxy die SOAPMessageValidation-Richtlinie hinzu.
Prüfung der OASValidation-Richtlinie / `oas-validation-policy-check`	Prüfen Sie, ob die OASValidation-Richtlinie verwendet wird.	Fügen Sie dem Proxy die OASValidationCheck-Richtlinie hinzu.

Ziel

Prüft, ob Schutzmaßnahmen für Zielserver verwendet werden. Informationen zur Konfiguration von Zielservern finden Sie unter Load-Balancing über Back-End-Server.

Prüfung der Bewertung / Name	Beschreibung	Empfehlung
TLS-Prüfung des Zielservers / `tls-target-server-check`	Prüfen Sie, ob TLS/SSL auf Zielservern aktiviert ist.	Konfigurieren Sie TLS/SSL auf allen Zielservern, die im Proxy für die sichere Kommunikation konfiguriert sind.
mTLS-Prüfung des Zielservers / `mtls-target-server-check`	Prüfen Sie, ob mTLS auf Zielservern konfiguriert ist.	Konfigurieren Sie mTLS auf allen Zielservern, die im Proxy konfiguriert sind, um maximale Sicherheit zu erreichen.
Zielserver – Feldprüfung erzwingen / `target-enforce-field-check`	Prüfen Sie, ob das Feld `Enforce` in der Zielserverkonfiguration aktiviert ist.	Konfigurieren Sie das Feld „Enforce“, um strenges SSL zwischen dem Apigee-Proxy und dem Ziel zu erzwingen.

Bedrohung

Prüft, ob Richtlinien zur Bedrohungsabwehr verwendet werden.

Prüfung der Bewertung / Name	Beschreibung	Empfehlung
Prüfung der Richtlinien zu Bedrohungen / `threat-policies-check`	Prüfen Sie, ob eine der folgenden Richtlinien für Bedrohungen aktiviert ist: JSONThreatProtection, RegularExpressionProtection oder XMLThreatProtection.	Fügen Sie Ihrem Proxy eine der erforderlichen Richtlinien für Bedrohungen hinzu.
continueOnError-Prüfung in Threat-Richtlinien / `continue-on-error-threat-policies`	Prüfen Sie, ob das Feld `continueOnError` in allen im Proxy verwendeten Richtlinien zum Schutz vor Bedrohungen aktiviert ist. Dabei wird auch geprüft, ob eine Bedrohungsrichtlinie verwendet wird. Diese Prüfung hat keine Auswirkungen, wenn im Proxy keine Bedrohungsrichtlinien vorhanden sind.	Setzen Sie `continueOnError` für alle im Proxy verwendeten Bedrohungsrichtlinien auf `false`.
Prüfung der JSONThreatProtection-Richtlinie / `json-threat-protection-policy-check`	Prüfen Sie, ob die JSONThreatProtection-Richtlinie verwendet wird.	Fügen Sie dem Proxy die JSONThreatProtection-Richtlinie hinzu.
Prüfung der RegularExpressionProtection-Richtlinie / `regex-protection-policy-check`	Prüfen Sie, ob die RegularExpressionProtection-Richtlinie verwendet wird.	Fügen Sie dem Proxy die RegularExpressionProtection-Richtlinie hinzu.
Prüfung der XMLThreatProtection-Richtlinie / `xml-threat-protection-policy-check`	Prüfen Sie, ob die XMLThreatProtection-Richtlinie verwendet wird.	Fügen Sie dem Proxy die XMLThreatProtection-Richtlinie hinzu.

Traffic

Prüft, ob Richtlinien zur Trafficverwaltung vorhanden sind.

Prüfung der Bewertung / Name	Beschreibung	Empfehlung
Prüfung der Richtlinien zur Trafficverwaltung / `traffic-management-policies-check`	Prüfen Sie, ob eine der folgenden Richtlinien zur Traffic-Verwaltung aktiviert ist: LookupCache, Quota, ResponseCache oder SpikeArrest.	Fügen Sie Ihrem Proxy eine der Richtlinien zur Traffic-Verwaltung hinzu.
Prüfung der LookupCache-Richtlinie / `lookup-cache-policy-check`	Prüfen Sie, ob die LookupCache-Richtlinie aktiviert ist.	Fügen Sie dem Proxy die LookupCache-Richtlinie hinzu.
Prüfung der Kontingentrichtlinie / `quota-policy-check`	Prüfen Sie, ob die Quota-Richtlinie verwendet wird.	Fügen Sie dem Proxy die Kontingentrichtlinie hinzu.
Prüfung der ResponseCache-Richtlinie / `response-cache-policy-check`	Prüfen Sie, ob die ResponseCache-Richtlinie verwendet wird.	Fügen Sie dem Proxy die ResponseCache-Richtlinie hinzu.
SpikeArrest-Richtlinienprüfung / `spike-arrest-policy-check`	Prüfen Sie, ob die SpikeArrest-Richtlinie verwendet wird.	Fügen Sie dem Proxy die SpikeArrest-Richtlinie hinzu.

Richtlinienzuordnung und Proxy-Security Scores

Bei Proxy-Bewertungen basieren die Sicherheitsbewertungen auf den von Ihnen verwendeten Richtlinien. Wie diese Richtlinien bewertet werden, hängt davon ab, ob und wie sie an Abläufe angehängt werden:

Nur Richtlinien, die mit einem Ablauf (PreFlow, bedingter Ablauf, PostFlow in Proxys oder freigegebener Ablauf) verknüpft sind, wirken sich auf diese Punktzahlen aus. Richtlinien, die mit keinem Ablauf verknüpft sind, haben keine Auswirkungen auf diese Bewertungen.
Proxy-Punktzahlen berücksichtigen freigegebene Flows eines Proxys über Ablauf-Hooks und FlowCallout-Richtlinien im Proxy, wenn die FlowCallout-Richtlinie an einen Ablauf angehängt ist. Ist FlowCallout jedoch nicht mit einem Ablauf verknüpft, wirken sich Richtlinien aus dem verknüpften freigegebenen Ablauf nicht auf die Sicherheitsbewertungen aus.
Verkettete freigegebene Abläufe werden bis zu fünf Ebenen tief ausgewertet. Alle Richtlinien, die direkt im Proxy und in den ersten fünf Ebenen freigegebener Abläufe enthalten sind, werden in die Sicherheitsbewertung einbezogen.
Bei Richtlinien, die mit bedingten Abläufen verknüpft sind, berücksichtigt die Sicherheitspunktzahl nur, ob die Richtlinien vorhanden sind. Es wird nicht berücksichtigt, ob oder wie die Richtlinien zur Laufzeit erzwungen werden.

Sicherheitsprofile 2

Ein Sicherheitsprofil ist ein Satz von Sicherheitsbewertungen und -gewichtungen, anhand derer API-Proxys bewertet werden. Sie können entweder das Standardsicherheitsprofil von Apigee mit dem Namen google-default verwenden oder ein benutzerdefiniertes Sicherheitsprofil erstellen, das nur die Sicherheitskategorien und Gewichtungen enthält, die Sie bewerten möchten.

Wenn Sie mit Sicherheitsprofilen arbeiten oder benutzerdefinierte Sicherheitsprofile erstellen, werden mehrere Bewertungsprüfungen innerhalb einer Kategorie einzeln bewertet.

Wenn ein Sicherheitsprofil beispielsweise drei Prüfungen der Authentifizierungsrichtlinie enthält und der bewertete Proxy eine der drei enthält, werden in die Bewertungspunkte die vollen Punkte für die gefundene Richtlinie und null Punkte für die beiden anderen Richtlinien einbezogen, die nicht vorhanden sind. In diesem Beispiel würde der bewertete Proxy nicht die volle Punktzahl für die Prüfungen der Authentifizierungsrichtlinie erhalten, obwohl er eine Authentifizierungsrichtlinie enthält. Seien Sie vorsichtig bei der Interpretation von Sicherheitsbewertungen und der Gestaltung von Sicherheitsprofilen, da dieses Verhalten auftreten kann.

Standardsicherheitsprofil

Die erweiterte API-Sicherheit bietet ein Standardsicherheitsprofil, das alle Bewertungen enthält. Wenn Sie das Standardprofil verwenden, basieren die Sicherheitsbewertungen auf allen Kategorien.

Das Standardsicherheitsprofil google-default kann nicht bearbeitet oder gelöscht werden.

Benutzerdefiniertes Sicherheitsprofil

Sie können benutzerdefinierte Sicherheitsprofile erstellen, die nur die von Ihnen ausgewählten Prüfungen und Gewichtungen enthalten, um Proxys zu bewerten. Eine Anleitung zum Erstellen und Verwenden benutzerdefinierter Sicherheitsprofile über die Apigee-Benutzeroberfläche finden Sie unter Benutzerdefinierte Profile in der Apigee-Benutzeroberfläche verwalten.

Bewertungsprüfungen in einem benutzerdefinierten Sicherheitsprofil sind „AND“-Bewertungen. Weitere Informationen finden Sie unter Konzepte und Bewertung der Risikobewertung.

In einigen Fällen kann es sinnvoll sein, ein benutzerdefiniertes Sicherheitsprofil zu verwenden, um eine „ODER“-Bedingung zwischen den Prüfungen zu erstellen. Beispielsweise können Sie ein Profil erstellen, für das zur Authentifizierung entweder eine OAuth-Richtlinie oder eine API-Schlüsselrichtlinie erforderlich ist. Derzeit können Sie keine echte „OR“-Bedingung erstellen, bei der das Vorhandensein einer der beiden Richtlinien zu einem Ergebnis von 100 % führt. Sie können jedoch ein benutzerdefiniertes Sicherheitsprofil verwenden, um anzugeben, ob eine oder beide Richtlinien vorhanden sind.

Beispiel:

Erstellen Sie ein benutzerdefiniertes Profil mit den folgenden Prüfungen und Gewichtungen:
- Prüfung der OAuthV2-Richtlinie: Schwerwiegend
- VerifyAPIKey-Richtlinienprüfung: Geringfügig
Bei dieser Konfiguration sind die Werte:
- 100 %, wenn beide Richtlinien vorhanden sind
- 94 %, wenn nur die OAuthV2-Richtlinie vorhanden ist
- 6 %, wenn nur die VerifyAPIKey-Richtlinie vorhanden ist
- 0 %, wenn keine der beiden Richtlinien vorhanden ist
Anhand der Werte können Sie ermitteln, welche Richtlinien in den Proxys konfiguriert sind.
Erstellen Sie außerdem eine Monitoring-Bedingung und eine Cloud Monitoring-Benachrichtigung, damit eine Benachrichtigung ausgelöst wird, wenn der Wert unter 6 % fällt. Über 6% bedeutet, dass der Proxy entweder die OAuthV2-Richtlinie oder die VerifyAPIKey-Richtlinie (oder beide) hat. Unter 6 % gibt es keine Richtlinie, die die Aufmerksamkeit des Nutzers erfordert. Anhand des Namens und der Beschreibung der Benachrichtigung können Sie erkennen, ob eine oder beide Richtlinien fehlen. Ein Beispiel finden Sie unter Beispiel: Benachrichtigung für die Überwachung von Risikobewertungsbedingungen erstellen.

Für benutzerdefinierte Sicherheitsprofile:

Der Profilname (auch Profil-ID genannt) ist erforderlich und wird in der Zusammenfassungstabelle angezeigt, wenn Profile aufgelistet werden. Der Name muss 1 bis 63 Zeichen lang sein, wobei es sich um Kleinbuchstaben, um die Ziffern 0 bis 9 oder um Bindestriche handeln kann. Das erste Zeichen muss ein Kleinbuchstabe sein. Das letzte Zeichen muss ein Kleinbuchstabe oder eine Ziffer sein. Benutzerdefinierte Sicherheitsprofile müssen eindeutige Namen haben und dürfen keine vorhandenen Profilnamen duplizieren.
Die Profilbeschreibung ist optional und darf 1.000 Zeichen nicht überschreiten.

Bedingungen und Benachrichtigungen überwachen

Mit der erweiterten API-Sicherheit können Sie der Risikobewertung Überwachungsbedingungen hinzufügen. Nachdem Sie eine Überwachungsbedingung erstellt haben, veröffentlicht Risk Assessment Messwerte für den Sicherheitsindex in Cloud Monitoring. In Cloud Monitoring können Sicherheitsbewertungen für Proxys, die anhand von Sicherheitsprofilen bewertet wurden, im Zeitverlauf nachverfolgt werden.

So verwenden Sie Monitoringbedingungen:

Machen Sie sich mit den Funktionen von Cloud Monitoring vertraut.
Prüfen Sie, ob Sie die erforderlichen Rollen oder Berechtigungen zum Verwalten von Überwachungsbedingungen haben. Weitere Informationen finden Sie unter Erforderliche Rollen für die Risikobewertung.
Sie können die Apigee-Benutzeroberfläche oder die API verwenden, um Überwachungsbedingungen zu erstellen und zu verwalten. Weitere Informationen finden Sie unter Monitoringbedingungen und Benachrichtigungen in der Apigee-Benutzeroberfläche verwalten und Monitoringbedingungen in der API verwalten.
Hinweis:Wenn eine neue Monitoringbedingung erstellt oder eine vorhandene Monitoringbedingung geändert wird, kann es bis zu 5 Minuten dauern, bis die Änderungen in den Cloud Monitoring-Messwerten angezeigt werden.

Nachdem Sie eine Überwachungsbedingung erstellt haben, können Sie mit Cloud Monitoring-Benachrichtigungen Überwachungsbenachrichtigungen für die Messwerte der Bedingung einrichten.

Informationen zum Erstellen von Monitoring-Benachrichtigungen über die Apigee-Benutzeroberfläche finden Sie unter Monitoring-Bedingungen und ‑Benachrichtigungen in der Apigee-Benutzeroberfläche verwalten. Informationen zu Benachrichtigungen in der erweiterten API-Sicherheit und zum Verwalten der Überwachungsbenachrichtigungen finden Sie unter Sicherheitsbenachrichtigungen.

Einschränkungen und bekannte Probleme bei der Risikobewertung – Version 2

Für Sicherheitsbewertungen gelten die folgenden Einschränkungen und bekannten Probleme:

Sicherheitsbewertungen werden nur generiert, wenn in einer Umgebung Proxys bereitgestellt wurden.
Neu bereitgestellte Proxys und neu aktivierte Organisationen und Umgebungen zeigen Bewertungen nicht sofort an. Weitere Informationen finden Sie unter Datenverzögerungen.
Für benutzerdefinierte Profile können Sie maximal 100 benutzerdefinierte Profile pro Organisation erstellen.
Benachrichtigungen über neue Bewertungsberechnungen und Punktzahlen werden derzeit nicht unterstützt.
Für eine Kombination aus Bereich und Sicherheitsprofil kann nur eine Überwachungsbedingung vorhanden sein. Wenn ein Profil bereits Teil einer vorhandenen Monitoringbedingung für den ausgewählten Bereich ist, wird eine Warnmeldung angezeigt und die Erstellung der neuen Bedingung wird verhindert.
Nur bereitgestellte Proxys werden überwacht. Wenn ein Proxy, der in einer Monitoring-Bedingung enthalten ist, nicht bereitgestellt wird, wird er nicht überwacht und wird in den Details der Monitoring-Bedingung nicht als überwacht angezeigt. Nach der erneuten Bereitstellung wird der Proxy automatisch überwacht und in den Details der Überwachungsbedingung als überwacht angezeigt.
Sie können pro Organisation maximal 1.000 Bedingungen für die Sicherheitsüberwachung erstellen.
Es kann bis zu 5 Minuten dauern, bis neue Werte, die von einer Sicherheitsüberwachungsbedingung erfasst werden, in Cloud Monitoring angezeigt werden.
Sicherheitsbewertungen sind in Cloud Monitoring bis zu 6 Wochen lang verfügbar. Weitere Informationen finden Sie unter Datenaufbewahrung.

Datenverzögerungen

Die Daten, auf denen die Sicherheitswerte von Advanced API Security basieren, haben die folgenden Verarbeitungszeiträume, bevor Ergebnisse verfügbar werden:

Wenn Sie Advanced API Security zum ersten Mal in einer Organisation aktivieren, dauert es einige Zeit, bis Bewertungen für vorhandene Proxys und Ziele in einer Umgebung angezeigt werden. Als Richtlinie sollten Sie eine Wartezeit von 30 bis 90 Minuten bei Organisationen mit Abo und weniger Zeit bei einem „Pay-as-you-go“-Tarif erwarten.
Es dauert mindestens 60 Sekunden und bis zu 5 Minuten (bei sehr großen Umgebungen), bis neue Ereignisse, die sich auf Proxys (Bereitstellung und Aufhebung der Bereitstellung) und Ziele (Erstellen, Aktualisieren, Löschen) in einer Umgebung beziehen, in der Bewertung der Umgebung widergespiegelt werden.

Risikobewertungen in der Apigee-Benutzeroberfläche ansehen

Auf der Seite Risikobewertung werden Punktzahlen angezeigt, mit denen die Sicherheit Ihrer API in den einzelnen Umgebungen gemessen wird.

So öffnen Sie die Seite Risikobewertung:

Rufen Sie in der Google Cloud Console die Seite Erweiterte API-Sicherheit > Risikobewertung auf.

Zur Risikobewertung

Dadurch wird die Seite Risikobewertung angezeigt:

Die Seite enthält die folgenden Abschnitte:

Umgebung: Wählen Sie die Umgebung aus, in der die Bewertungen angezeigt werden sollen.
Sicherheitsprofil: Wählen Sie das Standardprofil (google-default) oder ein benutzerdefiniertes Profil aus, sofern verfügbar. Weitere Informationen zu Sicherheitsprofilen finden Sie unter Sicherheitsprofile.
Bereitgestellte Proxys nach Schweregrad: Nachdem die Umgebung festgelegt wurde, wird auf der Seite eine Zusammenfassung der Schweregrade über die Proxys in dieser Umgebung hinweg angezeigt. Weitere Informationen finden Sie unter Konzepte und Bewertung der Risikobewertung.
Bewertungsdetails: Zeigt das Sicherheitsprofil, Datum und Uhrzeit der Bewertung, die Gesamtzahl der bewerteten Konfigurationen und die Gesamtzahl der bereitgestellten Proxys für die ausgewählte Umgebung an. Die Gesamtzahl der bewerteten Konfigurationen entspricht der Gesamtzahl der durchgeführten Prüfungen. Diese Anzahl kann höher sein als die Anzahl der Bewertungen in einem Profil. Bei einigen Bewertungen, z. B. bei der Prüfung, ob das Attribut „continueOnError“ auf false festgelegt ist, wird auch geprüft, ob die zugehörigen Richtlinien vorhanden und aktiviert sind.
Bereitgestellte Proxys: Eine Zusammenfassung der bereitgestellten Proxys in der Umgebung und derer Risikobewertungen:
- Proxy: Name des Proxys.
- Schweregrad: Der Schweregrad der Risikobewertung für den Proxy. Weitere Informationen finden Sie unter Sicherheitsbewertungen/Schweregrade.
- Punktzahl: Die Punktzahl für die Risikobewertung für den Proxy. Weitere Informationen finden Sie unter Konzepte und Bewertung der Risikobewertung.
  Hinweis: Kann für eine Umgebung aufgrund der Beschränkungen von Sicherheitsbewertungen keine Bewertung berechnet werden, wird im Feld „Proxy-Name“ ein Symbol und die Meldung angezeigt, dass noch keine Bewertungen verfügbar sind.
- Version: Die Proxyversion, für die die Bewertung vorgenommen wurde.
- Fehlgeschlagene Bewertungen nach Gewichtung: Die Anzahl der fehlgeschlagenen Bewertungen, gruppiert nach der Gewichtung der Bewertung.
- Empfehlungen: Konkrete Empfehlungen zur Verbesserung des Faktors für den Proxy. Klicken Sie auf die Zahl, um die Empfehlungen aufzurufen.

Benutzerdefinierte Profile in der Apigee-Benutzeroberfläche verwalten

In diesem Abschnitt wird beschrieben, wie Sie benutzerdefinierte Profile über die Apigee-Benutzeroberfläche aufrufen, erstellen, bearbeiten und löschen. Beachten Sie die Einschränkungen für benutzerdefinierte Profile, die unter Einschränkungen für Sicherheitspunktzahlen aufgeführt sind.

Risikobewertungen in der Apigee-Benutzeroberfläche ansehen

Benutzerdefinierte Profile erstellen und bearbeiten

Wählen Sie auf dem Bildschirm „Risikobewertung“ den Tab Sicherheitsprofile aus. Wenn Sie ein vorhandenes Profil bearbeiten möchten, klicken Sie auf den Profilnamen, um die Profilinformationen aufzurufen, und dann auf Bearbeiten. Alternativ können Sie in der Zeile für das Profil im Aktionsmenü die Option Bearbeiten auswählen.

Klicken Sie zum Erstellen eines neuen benutzerdefinierten Profils in der Liste der Sicherheitsprofile auf + Erstellen.

Beim Erstellen oder Bearbeiten eines benutzerdefinierten Profils können Sie die folgenden Werte festlegen:

Name: Der Name des Sicherheitsprofils. Achten Sie darauf, dass er für das Projekt eindeutig ist.
Beschreibung: (optional). Eine Beschreibung für das Sicherheitsprofil.
Bewertungsprüfung(en) und Bewertungsgewicht(e): Eine oder mehrere Bewertungsprüfungen, die für Proxys durchgeführt werden sollen, und ein Gewicht für jede Prüfung. Eine Liste der verfügbaren Prüfungen finden Sie unter Konzepte und Bewertung der Risikobewertung. Wenn Sie dem Profil zusätzliche Prüfungen und Gewichte hinzufügen möchten, klicken Sie auf + Hinzufügen. Wenn Sie ein Paar aus Check und Gewichtung löschen möchten, klicken Sie in der entsprechenden Zeile auf das Papierkorbsymbol.

Doppelte Profile

Wenn Sie ein vorhandenes Profil duplizieren möchten (um ein neues benutzerdefiniertes Profil zu erstellen), wählen Sie in der Zeile für das Profil im Aktionsmenü die Option Duplizieren aus. Sie können auch in der Liste der Profile auf den Profilnamen klicken, um die Profilmetadaten aufzurufen, und dann auf Duplizieren klicken.

Der Name des neuen benutzerdefinierten Profils darf nicht mit dem Namen des duplizierten Profils übereinstimmen. Informationen zu den Anforderungen an die Benennung von Sicherheitsprofilen finden Sie unter Benutzerdefiniertes Sicherheitsprofil.

Benutzerdefinierte Profile löschen

Wenn Sie ein vorhandenes benutzerdefiniertes Profil löschen möchten, wählen Sie in der Zeile für das Profil im Aktionsmenü die Option Löschen aus oder klicken Sie in der Liste der Profile auf den Profilnamen, um die Profilmetadaten aufzurufen, und dann auf Löschen.

Sie können das Standard-Systemprofil (google-default) nicht löschen.

Das Löschen eines benutzerdefinierten Profils erfolgt sofort. Danach können keine Proxys mehr anhand dieses Profils bewertet werden und Sie können auch keine früheren Bewertungen mehr sehen, die anhand dieses benutzerdefinierten Profils durchgeführt wurden.

Monitoringbedingungen und Benachrichtigungen über die Apigee-Benutzeroberfläche verwalten

In diesem Abschnitt wird beschrieben, wie Sie Überwachungsbedingungen ansehen, erstellen, bearbeiten und löschen sowie Überwachungsbenachrichtigungen über die Apigee-Benutzeroberfläche erstellen. Weitere Informationen zu dieser Funktion finden Sie unter Bedingungen und Benachrichtigungen überwachen.

Rufen Sie zuerst Risikobewertungen in der Apigee-Benutzeroberfläche auf und wählen Sie dann den Tab Monitoring Conditions (Monitoring-Bedingungen) aus.

Monitoring-Bedingungen ansehen, erstellen und bearbeiten

Auf der Hauptseite werden alle vorhandenen Monitoring-Bedingungen aufgeführt. Wenn Sie die Details für eine vorhandene Monitoring-Bedingung aufrufen möchten, klicken Sie in der Zeile für diese Monitoring-Bedingung auf den Wert Überwachte Proxys/insgesamt bereitgestellt. Wenn Sie eine vorhandene Bedingung bearbeiten möchten, wählen Sie in der Zeile für diese Überwachungsbedingung im Menü „Aktionen“ die Option Bearbeiten aus. Klicken Sie über der Ergebnisliste auf + Monitoringbedingung erstellen, um eine neue Monitoringbedingung zu erstellen.

Die Überwachungsbedingungen umfassen die folgenden Einstellungen:

Umgebung: Die Umgebung, in der die Überwachungsbedingung erstellt wird. Kann nach dem Erstellen der Überwachungsbedingung nicht mehr bearbeitet werden.
Sicherheitsprofil/Profil: Das Sicherheitsprofil, das bewertet wurde.
Bedingung(en): Gibt an, ob die angegebenen Proxys aus der Umgebung Include all oder Include werden sollen. Wenn Include ausgewählt ist, klicken Sie das Kästchen neben dem Namen des jeweiligen Proxys an, um ihn einzubeziehen.

Monitoring-Messwerte anzeigen

Messwerte für eine Monitoring-Bedingung in Cloud Monitoring ansehen Klicken Sie in der Zeile für die Monitoring-Bedingung auf Ansehen, um die Messwerte aufzurufen.

Monitoringbedingungen löschen

Wenn Sie eine vorhandene Überwachungsbedingung löschen möchten, wählen Sie in der Zeile für die Überwachungsbedingung im Menü Aktionen die Option Löschen aus und bestätigen Sie den Vorgang.

Es kann zu einer leichten Verzögerung kommen, bevor Cloud Monitoring-Messwerte nicht mehr veröffentlicht werden.

Warnbenachrichtigungen erstellen

Wenn Sie eine neue Monitoring-Benachrichtigung erstellen möchten, wählen Sie in der Zeile für die Monitoring-Bedingung im Menü Aktionen die Option Monitoring-Benachrichtigung erstellen aus. Dadurch gelangen Sie in der Google Cloud Console zur Seite „Cloud Monitoring-Benachrichtigungen“. Einige Werte werden basierend auf der Monitoring-Bedingung vorab ausgefüllt. Weitere Informationen finden Sie unter Sicherheitswarnungen.

Risikobewertung v1

In diesem Abschnitt wird die Risikobewertung 1 beschrieben. Informationen zur Risikobewertung 2 finden Sie unter Risikobewertung 2.

Sicherheitspunktzahlen

Sicherheitspunktzahlen bewerten die Sicherheit Ihrer APIs sowie deren Sicherheitsstatus im Zeitverlauf. Beispielsweise kann eine stark schwankende Punktzahl darauf hinweisen, dass sich das API-Verhalten häufig ändert, was vielleicht nicht erwünscht ist. Zu den Änderungen in einer Umgebung, die zu einem Rückgang der Punktzahl führen können, gehören:

Das Deployment vieler API-Proxys ohne die erforderlichen Sicherheitsrichtlinien.
Ein Anstieg des Missbrauchs-Traffics aus schädlichen Quellen.

Die Beobachtung von Änderungen der Sicherheitspunktzahlen im Zeitverlauf ist ein guter Indikator für unerwünschte oder verdächtige Aktivitäten in der Umgebung.

Sicherheitspunktzahlen werden anhand Ihres Sicherheitsprofils berechnet, das die Sicherheitskategorien angibt, die Ihre Bewertungen bewerten sollen. Sie können das Standardsicherheitsprofil von Apigee verwenden oder ein benutzerdefiniertes Sicherheitsprofil erstellen, das nur die Sicherheitskategorien enthält, die Ihnen am wichtigsten sind.

Bewertungstypen der Sicherheitspunktzahlen

Es gibt drei Bewertungstypen, die zur Gesamtsicherheitspunktzahl beitragen, der von der Advanced API Security berechnet wird:

Quellbewertung: Bewertet den erkannten Missbrauchs-Traffic mithilfe der Erkennungsregeln von Advanced API Security. "Missbrauch" bezieht sich auf Anfragen, die an eine andere API an einer anderen Stelle gesendet werden, als für die API bestimmt.

Hinweis: Quellpunktzahlen werden auf Grundlage eines Zeitfensters berechnet, das um 0:00 Uhr (UTC) am aktuellen Tag beginnt und zu der aktuellen Zeit endet.
Proxybewertung: Es wird geprüft, wie gut Proxys verschiedene Schutzrichtlinien in den folgenden Bereichen implementiert haben:
- Mediation: Prüfen Sie, ob eine der folgenden Mediationsrichtlinien für alle Proxys in der Umgebung konfiguriert ist: OASValidation oder SOAPMessageValidation.
- Sicherheit:
  - Autorisierung: Prüfen Sie, ob für alle Proxys in der Umgebung eine der folgenden Autorisierungsrichtlinien konfiguriert ist:
  - CORS: Prüft, ob CORS konfiguriert ist.
  - Bedrohung: Prüfen Sie, ob für alle Proxys in der Umgebung eine der folgenden Richtlinien konfiguriert ist: XMLThreatProtection oder JSONThreatProtection.
Weitere Informationen finden Sie unter Auswirkungen von Richtlinien auf Proxy-Security Scores.
Zielbewertung: Prüft, ob mTLS (Mutual Transport Layer Security) mit den Zielservern in der Umgebung konfiguriert ist.

Jedem dieser Bewertungstypen wird eine eigene Punktzahl zugewiesen. Die Gesamtpunktzahl ist der Durchschnitt der Punktzahlen der einzelnen Bewertungstypen.

Auswirkungen von Richtlinien auf Proxy-Security Scores

Nur Richtlinien, die mit einem Ablauf (PreFlow, bedingter Ablauf, PostFlow in Proxys oder freigegebener Ablauf) verknüpft sind, wirken sich auf diese Punktzahlen aus. Richtlinien, die mit keinem Ablauf verknüpft sind, haben keine Auswirkungen auf diese Bewertungen.
Proxy-Punktzahlen berücksichtigen freigegebene Flows eines Proxys über Ablauf-Hooks und FlowCallout-Richtlinien im Proxy, wenn die FlowCallout-Richtlinie an einen Ablauf angehängt ist. Ist FlowCallout jedoch nicht mit einem Ablauf verknüpft, wirken sich Richtlinien aus dem verknüpften freigegebenen Ablauf nicht auf die Sicherheitsbewertungen aus.
Die Verkettung von freigegebenen Abläufen wird nicht unterstützt. Richtlinien, die über die gemeinsame Ablaufverkettung angeschlossen sind, werden bei der Berechnung der Sicherheitsbewertung nicht berücksichtigt.
Bei Richtlinien, die mit bedingten Abläufen verknüpft sind, berücksichtigt die Sicherheitspunktzahl nur, ob die Richtlinien vorhanden sind. Es wird nicht berücksichtigt, ob oder wie die Richtlinien zur Laufzeit erzwungen werden.

Sicherheitsprofile

Ein Sicherheitsprofil ist ein Satz von Sicherheitskategorien (unten beschrieben), nach denen Ihre APIs bewertet werden sollen. Ein Profil kann eine beliebige Teilmenge der Sicherheitskategorien enthalten. Zum Aufrufen von Sicherheitspunktzahlen für eine Umgebung müssen Sie zuerst der Umgebung ein Sicherheitsprofil hinzufügen. Sie können entweder das Standardsicherheitsprofil von Apigee verwenden oder ein benutzerdefiniertes Sicherheitsprofil erstellen, das nur die für Sie wichtigen Sicherheitskategorien enthält.