Présentation et interface utilisateur de l'évaluation des risques

Cette page s'applique à Apigee et à Apigee hybrid.

Consultez la documentation d'Apigee Edge.

Présentation

L'évaluation des risques Advanced API Security évalue en permanence les configurations de proxy d'API et calcule des scores de sécurité pour identifier et corriger les failles de sécurité de vos API.

L'évaluation des risques vous permet de :

• Appliquer des normes de sécurité cohérentes à toutes les API
• Détecter les erreurs de configuration dans les configurations d'API
• Améliorer votre score de sécurité global grâce aux actions recommandées
• Analyser et résoudre rapidement les problèmes de sécurité via un tableau de bord centralisé

En plus d'évaluer le risque actuel de chaque proxy, l'évaluation des risques peut être utilisée pour évaluer la stratégie de sécurité de vos API au fil du temps. Un score d'évaluation qui fluctue peut indiquer que le comportement de l'API évolue fréquemment, y compris les proxys déployés sans les règles de sécurité nécessaires, les modifications de flux partagé via les déploiements de hook de flux et les ajouts de règles FlowCallout, ainsi que les modifications du serveur cible dans les déploiements d'environnement ou de proxy.

Vous pouvez accéder à l'évaluation des risques via l'interface utilisateur Apigee, comme décrit sur cette page, ou via l'API des scores et profils de sécurité.

Consultez la section Rôles requis pour l'évaluation des risques pour connaître les rôles nécessaires pour effectuer des tâches d'évaluation des risques.

Pour utiliser cette fonctionnalité, vous devez activer le module complémentaire. Si vous avez souscrit un abonnement, vous pouvez activer le module complémentaire pour votre organisation. Pour plus d'informations, consultez la page Gérer Advanced API Security pour les organisations avec abonnement. Si vous êtes un client facturé à l'usage, vous pouvez activer le module complémentaire dans vos environnements éligibles. Pour en savoir plus, consultez la page Gérer le module complémentaire Advanced API Security.

Risk Assessment v1 et v2

L'évaluation des risques est disponible en deux versions : Risk Assessment v1, qui est en disponibilité générale, et Risk Assessment v2, qui est en version preview. L'utilisation de l'une ou l'autre de ces versions nécessite le module complémentaire Advanced API Security.

Les principales différences de fonctionnalités entre la version 1 et la version 2 sont les suivantes :

• La version 2 comprend les éléments suivants :
  • Amélioration de la fiabilité, y compris des calculs de score plus rapides avec les données proxy récentes
  • Calcul du score sans avoir à associer un profil de sécurité à un environnement
  • Présentation simplifiée du score, basée sur une échelle de 0 à 100 %
  • Concept de pondération des vérifications d'évaluation, non pris en charge par la version 1. Consultez Concepts et évaluation des risques.
  • Évaluations supplémentaires par rapport à la version 1, qui vérifie davantage de règles lors du calcul des scores. Par exemple, la version 1 propose cinq règles liées à l'autorisation et à l'authentification, tandis que la version 2 en propose huit règles. La version 2 inclut également une catégorie de gestion du trafic avec des règles associées et effectue des vérifications supplémentaires dans les règles, y compris pour l'attribut continueOnError.
  • Vérification des flux partagés imbriqués et des hooks de flux jusqu'à cinq niveaux d'imbrication. La version 1 n'évalue pas les règles incluses via la chaîne de flux partagé.
  • Remplacement des scores cibles (scores des serveurs cibles) par des évaluations et des recommandations basées sur des proxys. Si une cible est utilisée dans un proxy, les scores de sécurité de ce proxy incluent également le score du serveur cible.
  • Profils personnalisés utilisant les nouvelles vérifications d'évaluation de la v2 ainsi que le profil système google-default
• La version 2 ne prend pas en charge les éléments suivants :
  • Évaluation de la source basée sur le trafic abusif.
  • Les métriques et la surveillance ne sont pas prises en charge pour le moment.

Risk Assessment v1

Cette section décrit Risk Assessment v2, la nouvelle version de l'évaluation des risques. Certains concepts et comportements de l'évaluation des risques diffèrent entre la version 1 et la version 2. Pour en savoir plus sur l'utilisation de Risk Assessment v1, consultez Risk Assessment v1.

Concepts et méthodologie de notation de l'évaluation des risques v2

Les scores de sécurité d'évaluation des risques évaluent le risque de sécurité de vos API en fonction des scores d'évaluation de la sécurité et des pondérations dans un profil de sécurité.

L'évaluation du risque repose sur les critères suivants :

• Évaluations et vérifications d'évaluation : vérifications individuelles effectuées sur les proxys et proxys sur lesquels les scores sont calculés. Chaque vérification est également associée à une pondération, qui lui confère une importance plus ou moins grande lorsqu'elle est évaluée par rapport à un proxy. Les pondérations sont définis sur "mineure", "modérée" ou "majeure" pour chaque vérification. Chaque pondération pest associée à une valeur en points qui permet de calculer un score :
  • Mineure : 1
  • Moyenne : 5
  • Majeure : 15
• Profil de sécurité : ensemble de vérifications d'évaluation, sur la base desquelles les proxys déployés dans un environnement sont évalués.
• Score de sécurité : score d'un proxy après évaluation par rapport à un profil de sécurité.
  
  Le score est une valeur comprise entre 0 et 100 %. Un score de 100 % indique que le proxy est entièrement conforme à l'évaluation et qu'aucun risque n'a été détecté sur la base des vérifications de l'évaluation.
  
  Le score de sécurité correspond essentiellement au total de tous les points attribués pour les vérifications réussies divisé par le nombre total de points potentiels dans le profil. Le score est une moyenne pondérée. Par conséquent, plus le profil de sécurité comporte de règles, moins chaque vérification d'évaluation a d'impact sur le score de sécurité.
  
  La pondération de la vérification d'évaluation a également un impact sur le score de sécurité. Les pondérations plus élevées ont un impact plus important sur le calcul, tandis que les pondérations plus faibles ont un impact moindre. Si les pondérations sont égales pour toutes les vérifications d'évaluation dans le profil de sécurité (par exemple, lorsque toutes les vérifications d'évaluation ont une pondération moyenne), le score de sécurité est calculé en tant que moyenne régulière.

• Gravité : valeur de gravité pour chaque proxy évalué, en fonction du score de sécurité. Les valeurs de gravité potentielle sont élevées (0 à 50 %), moyennes (51 à 90 %), faibles (91 à 99 %) et minimes (100 %/aucun risque détecté en fonction des évaluations du profil de sécurité attribué).

Catégories d'évaluation et vérifications

Ce tableau présente les catégories d'évaluation et les vérifications individuelles qui peuvent faire partie des profils de sécurité. Il fournit également des recommandations sur la manière de corriger les évaluations ayant échoué pour chacune d'elles.

Catégorie d'évaluation	Description
Authentification	Dans ce cas, "Auth" signifie à la fois autorisation et authentification. Les évaluations d'authentification vérifient si vous avez mis en place des règles d'autorisation et d'authentification, et si l'attribut continueOnError des règles d'authentification est défini sur false. Vérification de l'évaluation / nom Description Recommandation Vérification des règles d'authentification / auth-policies-check Vérifier si l'une des règles d'authentification suivantes est activée : AccessControl, BasicAuthentication, HMAC, OAuth, ValidateSAMLAssertion, VerifyAPIKey, VerifyJWS ou VerifyJWT. Au moins une des règles requises pour le proxy Vérification continueOnError dans les règles d'authentification / continue-on-error-auth-policies-check Vérifier si le champ continueOnError est activé pour toutes les règles d'autorisation dans le proxy. Cela implique de vérifier si une règle d'authentification est utilisée. Cette vérification n'a aucun impact si le proxy ne contient aucune règle d'authentification. Définir continueOnError sur "false" pour toutes les règles d'authentification incluses dans le proxy. Vérification de la règle AccessControl / access-control-policy-check Indique si la règle AccessControl est utilisée. Ajouter la règle AccessControl au proxy. Vérification de la règle BasicAuthentication / basic-auth-policy-check Indique si la règle BasicAuthentication est utilisée. Ajouter la règle BasicAuthentication au proxy. Vérification de la règle HMAC / hmac-policy-check Indique si la règle HMAC est utilisée. Ajouter la règle HMAC au proxy. Vérification de la règle OAuthV2 / oauthv2-policy-check Indique si la règle OAuth est utilisée. Ajouter la règle OAuthV2 au proxy. Vérification de la règle ValidateSAMLAssertion / validate-saml-assertion-policy-check Indique si la règle ValidateSAMLAssertion est utilisée. Ajouter la règle ValidateSAMLAssertion au proxy. Règle VerifyAPIKey / verify-api-key-policy-check Indique si la règle VerifyAPIKey est utilisée. Ajouter la règle VerifyAPIKey au proxy. Règle VerifyJWS / verify-jws-policy-check Indique si la règle VerifyJWS est utilisée. Ajouter la règle VerifyJWS au proxy. Règle VerifyJWT / verify-jwt-policy-check Indique si la règle VerifyJWT est utilisée. Ajouter la règle VerifyJWT au proxy.
CORS	Vérifier si une règle CORS ou un en-tête CORS est présent dans la règle AssignMessage. Vérification de l'évaluation / nom Description Recommandation Vérification des règles CORS / cors-policies-check Vérifier si une règle CORS ou un en-tête CORS dans la règle AssignMessage sont présents. Ajouter la règle CORS ou la règle AssignMessage avec les en-têtes CORS au proxy. Vérification des règles CORS / cors-policy-check Vérifier si une règle CORS est utilisée. Ajouter la règle CORS au proxy. Vérification de la règle CORS AssignMessage / cors-assignmessage-policy-check Vérifier si les en-têtes CORS sont ajoutés dans une règle AssignMessage. Ajouter la règle AssignMessage avec des en-têtes CORS au proxy.
Médiation	Vérifier si une règle de médiation est activée. Vérification de l'évaluation / nom Description Recommandation Vérification des règles de médiation / mediation-policies-check Vérifier si l'une des règles de médiation suivantes est activée : SOAPMessageValidation ou OASValidation. Ajouter l'une des règles de médiation suivantes à votre proxy: SOAPMessageValidation ou OASValidation. Véfification de la règle SOAPMessageValidation / soap-validation-policy-check Vérifier si la règle SOAPMessageValidation est utilisée. Ajouter la règle SOAPMessageValidation au proxy. Vérification de la règle OASValidation / oas-validation-policy-check Vérifier si la règle OASValidation est utilisée. Ajouter la règle OASValidationCheck au proxy.
Cible	Vérifier si les protections du serveur cible sont utilisées. Pour en savoir plus sur la configuration des serveurs cibles, consultez la section Équilibrage de charge sur les serveurs backend. Vérification de l'évaluation / nom Description Recommandation Vérification TLS du serveur cible / tls-target-server-check Recherche TLS/SSL dans les serveurs cibles. Configurer TLS/SSL sur tous les serveurs cibles configurés dans le proxy pour des communications sécurisées. Vérification mTLS sur le serveur cible / mtls-target-server-check Recherche mTLS sur les serveurs cibles. Configurer mTLS sur tous les serveurs cibles configurés dans le proxy pour une sécurité maximale. Vérification du champ du serveur cible / target-enforce-field-check Vérifier si le champ Enforce est activé dans la configuration du serveur cible. Configurer le champ "Appliquer" pour appliquer le protocole SSL strict entre le proxy Apigee et la cible.
Menace	Vérifier si des règles de prévention des menaces sont utilisées. Vérification de l'évaluation / nom Description Recommandation Vérification des règles de menace / threat-policies-check Vérifier si l'une des règles de menace suivantes est activée : JSONThreatProtection, RegularExpressionProtection ou XMLThreatProtection. Ajouter l'une des règles de menace requises à votre proxy. Vérification continueOnError dans les règles de menace / continue-on-error-threat-policies Vérifier si le champ continueOnError est activé dans toutes les règles de menace utilisées dans le proxy. Cela implique de vérifier si une règle de menace est utilisée. Cette vérification n'a aucun impact si le proxy ne contient aucune règle de menace. Définir continueOnError sur false pour toutes les règles de détection des menaces utilisées dans le proxy. Vérification de la règle JSONThreatProtection / json-threat-protection-policy-check Vérifier si la règle JSONThreatProtection est utilisée. Ajouter la règle JSONThreatProtection au proxy. Vérification de la règle RegularExpressionProtection / regex-protection-policy-check Vérifier si la règle RegularExpressionProtection est utilisée. Ajouter la règle RegularExpressionProtection au proxy. Vérification de la règle XMLThreatProtection / xml-threat-protection-policy-check Vérifier si la règle XMLThreatProtection est utilisée. Ajouter la règle XMLThreatProtection au proxy.
Trafic	Vérifie si vous avez mis en place des règles de gestion du trafic. Vérification de l'évaluation / nom Description Recommandation Vérification des règles de gestion du trafic / traffic-management-policies-check Vérifier si l'une des règles de gestion du trafic suivantes est activée : LookupCache, Quota, ResponseCache ou SpikeArrest. Ajouter l'une des règles de gestion du trafic à votre proxy. Vérification de la règle LookupCache / lookup-cache-policy-check Vérifier si la règle LookupCache est activée. Ajouter la règle LookupCache au proxy. Vérification des règles de quota / quota-policy-check Vérifier si la règle de quota est utilisée. Ajouter la règle de quota au proxy. Vérification de la règle ResponseCache / response-cache-policy-check Vérifier si la règle ResponseCache est utilisée. Ajouter la règle ResponseCache au proxy. Vérification de la règle SpikeArrest / spike-arrest-policy-check Vérifier si la règle SpikeArrest est utilisée. Ajouter la règle SpikeArrest au proxy.

Scores de sécurité des règles et des proxys

Pour les évaluations de proxys, les scores de sécurité sont basés sur les règles que vous utilisez. La manière dont ces règles sont évaluées varie selon que celles-ci sont associées ou non aux flux, et selon la façon dont elles y sont associées :

• Seules les règles associées à un flux (préflux, flux conditionnel, post-flux dans les proxys, ou flux partagé) ont un impact sur les scores. Les règles qui ne sont associées à aucun flux nont aucun impact sur les scores.
• Les scores de proxy prennent en compte les flux partagés qu'un proxy appelle via des hooks de flux et les règles FlowCallout incluses dans le proxy, à condition que la règle FlowCallout soit associée à un flux. Toutefois, si la règle FlowCallout n'est pas associée à un flux, les règles issues de son flux partagé associé n'ont aucun impact sur les scores de sécurité.
• Les flux partagés en chaîne sont évalués jusqu'à cinq niveaux de profondeur. Toutes les règles incluses directement dans le proxy et dans les cinq premiers niveaux de flux partagés sont prises en compte dans le score de sécurité.
• Pour les règles associées aux flux conditionnels, les scores de sécurité ne tiennent compte que de la présence ou non de ces règles. Ils ne tiennent pas compte du fait que les règles sont appliquées ou non au moment de leur exécution, ni de quelle manière.

Profils de sécurité v2

Un profil de sécurité est un ensemble d'évaluations et de pondérations de sécurité permettant d'évaluer les proxys d'API. Vous pouvez utiliser le profil de sécurité par défaut d'Apigee, appelé google-default, ou créer un profil de sécurité personnalisé qui ne contient que les catégories de sécurité et les pondérations que vous souhaitez évaluer.

Lorsque vous utilisez des profils de sécurité ou que vous en créez, notez que les différentes vérifications d'évaluation d'une catégorie sont évaluées individuellement.

Par exemple, si un profil de sécurité comporte trois vérifications de règles d'authentification et que le proxy évalué inclut l'une des trois, le score d'évaluation inclura le nombre maximal de points pour la règle trouvée et zéro point pour les deux autres règles qui ne sont pas présentes. Dans cet exemple, le proxy évalué ne recevrait pas le nombre maximal de points pour les vérifications des règles d'authentification, même s'il inclut une règle d'authentification. Compte tenu de ce comportement, soyez prudent lorsque vous interprétez le score de sécurité et concevez le profil de sécurité.

Profil de sécurité par défaut

Advanced API Security fournit un profil de sécurité par défaut contenant toutes les évaluations. Lorsque vous utilisez le profil par défaut, les scores de sécurité sont basés sur toutes les catégories.

Le profil de sécurité par défaut, google-default, ne peut pas être modifié ni supprimé.

Profil de sécurité personnalisé

Vous pouvez créer des profils de sécurité personnalisés qui n'incluent que les vérifications et les pondérations d'évaluation que vous avez choisies pour évaluer les proxys. Pour savoir comment créer et utiliser des profils de sécurité personnalisés à partir de l'interface utilisateur d'Apigee, consultez Gérer les profils personnalisés dans l'interface utilisateur d'Apigee.

Pour les profils de sécurité personnalisés :

• Le nom du profil (également appelé ID de profil) est obligatoire et s'affiche dans le tableau récapitulatif lorsque vous listez les profils. Le nom doit comporter entre 1 et 63 caractères, qui peuvent être des lettres minuscules, des chiffres de 0 à 9 ou des traits d'union. Le premier caractère doit être une lettre minuscule. Le dernier caractère doit être une lettre minuscule ou un chiffre. Les profils de sécurité personnalisés doivent avoir des noms uniques et ne peuvent pas dupliquer les noms de profils existants.
• La description du profil est facultative et ne doit pas dépasser 1 000 caractères.

Limites et problèmes connus des scores de sécurité v2

Les scores de sécurité présentent les limites et problèmes connus suivants :

• Les scores de sécurité ne sont générés que si un environnement a déployé des proxys.
• Les proxys nouvellement déployés, ainsi que les organisations et les environnements nouvellement activés, n'affichent pas immédiatement de scores.
• Vous pouvez créer jusqu'à 100 profils personnalisés par organisation.
• La notification des nouveaux calculs et scores d'évaluation n'est pas disponible pour le moment.

Retards de données

Les données sur lesquelles se basent les scores de sécurité d'Advanced API Security sont soumises aux délais de traitement suivants avant que les résultats ne soient disponibles :

• Lorsque vous activez Advanced API Security dans une organisation pour la première fois, l'actualisation des scores des proxys et des cibles existants dans un environnement peut prendre un certain temps. En règle générale, comptez entre 30 et 90 minutes pour les organisations avec abonnement et moins de temps pour les organisations avec paiement à l'usage.
• Les nouveaux événements liés aux proxys (déploiement et annulation du déploiement) et aux cibles (créer, mettre à jour, supprimer) dans un environnement peuvent prendre au moins 60 secondes et jusqu'à cinq minutes (pour les très grands environnements) pour apparaître dans le score de l'environnement.

Afficher les évaluations des risques dans l'interface utilisateur d'Apigee

La page Évaluation des risques affiche des scores qui mesurent la sécurité de votre API dans chaque environnement.

Pour ouvrir la page Évaluation des risques, procédez comme suit :

1. Ouvrez l'interface utilisateur d'Apigee dans la console Cloud.
2. Sélectionnez Advanced API Security > Évaluation des risques.

La page Évaluation des risques s'affiche :

La page comporte les sections suivantes :

• Environnement : sélectionnez l'environnement dans lequel afficher les évaluations.
• Profil de sécurité : sélectionnez le profil par défaut (google-default) ou un profil personnalisé, le cas échéant. Pour en savoir plus sur les profils de sécurité, consultez la page Profils de sécurité.
• Proxys déployés par niveau de gravité : une fois l'environnement défini, la page affiche un récapitulatif des niveaux de gravité des proxys dans cet environnement. Consultez la section Concepts et évaluation des risques.
• Détails de l'évaluation : affiche le profil de sécurité, la date et l'heure de l'évaluation, le nombre total de configurations évaluées et le nombre total de proxys déployés pour l'environnement sélectionné. Le nombre total de configurations évaluées reflète le nombre total de "vérifications" effectuées. Ce nombre peut être supérieur au nombre d'évaluations dans un profil. Certaines évaluations, comme la vérification que l'attribut "continueOnError" est défini sur false, vérifient également si les règles associées sont en place et activées.
• Proxys déployés : récapitulatif des proxys déployés dans l'environnement et de leurs scores d'évaluation des risques :
  • Proxy : nom du proxy.
  • Gravité : gravité de l'évaluation des risques pour le proxy. Pour en savoir plus, consultez Scores et niveaux de gravité de sécurité.

  • Score : score d'évaluation des risques pour le proxy. Pour en savoir plus, consultez Concepts et évaluation des risques.
  • Révision : révision du proxy pour laquelle le score a été évalué.
  • Évaluations ayant échoué par pondération : nombre d'évaluations ayant échoué regroupées par pondération.
  • Recommandations : recommandations spécifiques pour améliorer le score du proxy. Cliquez sur le nombre pour afficher les recommandations.

Gérer les profils personnalisés dans l'interface utilisateur d'Apigee

Cette section explique comment afficher, créer, modifier et supprimer des profils personnalisés à l'aide de l'interface utilisateur d'Apigee. Notez les limites des profils personnalisés listées dans la section Limites des scores de sécurité.

Commencez par afficher les évaluations des risques dans l'interface utilisateur d'Apigee.

Créer et modifier des profils personnalisés

Sur l'écran "Évaluation des risques", sélectionnez l'onglet Profils de sécurité. Pour modifier un profil existant, cliquez sur son nom pour afficher ses détails, puis sur Modifier. Vous pouvez également sélectionner Modifier dans le menu "Actions" de la ligne correspondant à ce profil.

Pour créer un profil personnalisé, cliquez sur + Créer dans la liste des profils de sécurité.

Lorsque vous créez ou modifiez un profil personnalisé, vous pouvez définir les valeurs suivantes :

• Nom : nom du profil de sécurité. Assurez-vous que ce nom est unique pour le projet.
• Description : (facultatif). Description du profil de sécurité.
• Vérification(s) d'évaluation et pondération(s) de l'évaluation : une ou plusieurs vérifications d'évaluation à évaluer par rapport aux proxys et une pondération pour chacune. Consultez la section Concepts et évaluation des risques pour obtenir la liste des vérifications d'évaluation disponibles. Pour ajouter des vérifications et des pondérations d'évaluation supplémentaires au profil, cliquez sur + Ajouter. Pour supprimer une paire de vérification/pondération, cliquez sur l'icône de corbeille de la ligne correspondante.

Profils en double

Pour dupliquer un profil existant (pour créer un profil personnalisé), sélectionnez Dupliquer dans le menu "Actions" de la ligne correspondante ou cliquez sur le nom du profil dans la liste des profils pour afficher les métadonnées du profil, puis cliquez sur Dupliquer.

Le nom du nouveau profil personnalisé ne peut pas correspondre à celui du profil en double. Pour connaître les règles de dénomination des profils de sécurité, consultez Profil de sécurité personnalisé.

Supprimer des profils personnalisés

Pour supprimer un profil personnalisé existant, sélectionnez Supprimer dans le menu "Actions" de la ligne correspondante ou cliquez sur le nom du profil dans la liste des profils pour afficher les métadonnées du profil, puis cliquez sur Supprimer.

Notez que vous ne pouvez pas supprimer le profil système par défaut (google-default).

La suppression d'un profil personnalisé est immédiate et empêche d'évaluer les proxys par rapport à ce profil ou de consulter les évaluations précédentes de ce profil personnalisé.

Risk Assessment v1

Cette section décrit l'évaluation des risques v1. Pour en savoir plus sur l'évaluation des risques v2, consultez Risk Assessment v2.

Scores de sécurité

Les scores de sécurité évaluent la sécurité de vos API, ainsi que leur posture de sécurité au fil du temps. Par exemple, un score qui varie beaucoup peut indiquer que le comportement de l'API évolue fréquemment, ce qui peut ne pas être souhaitable. Les modifications apportées à un environnement pouvant entraîner une baisse du score sont les suivantes :

• Le déploiement de nombreux proxys d'API sans les règles de sécurité nécessaires
• Un pic de trafic abusif en provenance de sources malveillantes.

L'observation des modifications de vos scores de sécurité au fil du temps est un bon indicateur de toute activité indésirable ou suspecte dans l'environnement.

Les scores de sécurité sont calculés en fonction de votre profil de sécurité, qui spécifie les catégories de sécurité que vous souhaitez évaluer. Vous pouvez utiliser le profil de sécurité par défaut d'Apigee ou créer un profil de sécurité personnalisé qui n'inclut que les catégories de sécurité les plus importantes pour vous.

Types d'évaluation des scores de sécurité

Trois types d'évaluation contribuent au score de sécurité global calculé par Advanced API Security :

• Évaluation de la source : évalue le trafic détecté à l'aide des règles de détection d'Advanced API Security. L'"utilisation abusive" désigne des requêtes envoyées à l'API à des fins autres que celles auxquelles l'API est destinée.

• Évaluation des proxys : évalue dans quelle mesure les proxys ont mis en œuvre diverses règles de sécurité dans les domaines suivants :
  • Médiation : vérifiez si l'une des règles de médiation suivantes est configurée pour tous les proxys de l'environnement : OASValidation ou SOAPMessageValidation.
  • Sécurité :
    • Autorisation : vérifie si l'une des règles d'autorisation suivantes est configurée pour tous les proxys de l'environnement :
      • JWS ou JWT
      • OAuth
      • VerifyAPIKey
      • BasicAuthentication
    • CORS : vérifie si CORS est configuré.
    • Menace : vérifie si l'une des règles suivantes est configurée pour tous les proxys de l'environnement : XMLThreatProtection ou JSONThreatProtection.

  Pour en savoir plus, consultez la section Impact des règles sur les scores de sécurité des proxys.

• Évaluation des cibles : vérifie si la sécurité de la couche de transport mutuelle (mTLS) est configurée avec les serveurs cibles de l'environnement.

Chaque type d'évaluation se voit attribuer un score qui lui est propre. Le score global correspond à la moyenne des scores de chaque type d'évaluation.

Impact des règles sur les scores de sécurité des proxys

Pour les évaluations de proxys, les scores de sécurité sont basés sur les règles que vous utilisez. La manière dont ces règles sont évaluées varie selon que celles-ci sont associées ou non aux flux, et selon la façon dont elles y sont associées :

• Seules les règles associées à un flux (préflux, flux conditionnel, post-flux dans les proxys, ou flux partagé) ont un impact sur les scores. Les règles qui ne sont associées à aucun flux nont aucun impact sur les scores.
• Les scores de proxy prennent en compte les flux partagés qu'un proxy appelle via des hooks de flux et les règles FlowCallout incluses dans le proxy, à condition que la règle FlowCallout soit associée à un flux. Toutefois, si la règle FlowCallout n'est pas associée à un flux, les règles issues de son flux partagé associé n'ont aucun impact sur les scores de sécurité.
• Les chaînes de flux partagée ne sont pas prises en charge. Les règles incluses via des chaînes de flux partagée ne sont pas évaluées lors du calcul des scores de sécurité.
• Pour les règles associées aux flux conditionnels, les scores de sécurité ne tiennent compte que de la présence ou non de ces règles. Ils ne tiennent pas compte du fait que les règles sont appliquées ou non au moment de leur exécution, ni de quelle manière.

.

Profils de sécurité

Un profil de sécurité est un ensemble de catégories de sécurité (décrites ci-dessous) en fonction desquelles vous souhaitez que vos API soient évaluées. Un profil peut contenir n'importe quel sous-ensemble des catégories de sécurité. Pour afficher les scores de sécurité d'un environnement, vous devez d'abord associer un profil de sécurité à l'environnement. Vous pouvez utiliser le profil de sécurité par défaut d'Apigee ou créer un profil de sécurité personnalisé qui ne contient que les catégories de sécurité qui vous intéressent.

Profil de sécurité par défaut

Advanced API Security fournit un profil de sécurité par défaut qui contient toutes les catégories de sécurité. Si vous utilisez le profil par défaut, les scores de sécurité seront basés sur toutes les catégories.

Profil de sécurité personnalisé

Les profils de sécurité personnalisés vous permettent de baser vos scores de sécurité uniquement sur les catégories de sécurité que vous souhaitez inclure dans le score. Consultez Créer et modifier des profils de sécurité pour découvrir comment créer un profil personnalisé.

Catégories de sécurité

Les scores de sécurité sont basés sur une évaluation des catégories de sécurité décrites ci-dessous.

Catégorie	Description	Recommandation
Utilisation abusive	Recherche toute utilisation abusive, y compris toutes les requêtes envoyées à l'API à des fins autres que celles auxquelles elle est destinée, par exemple des volumes élevés de requêtes, le détournement de données et les utilisations abusives liées à l'autorisation.	Consultez les recommandations liées aux abus.
Autorisation	Vérifie si vous avez mis en place une règle d'autorisation.	Ajoutez l'une des règles suivantes à votre proxy : Règle JWS ou JWT OAuth BasicAuth VerifyAPIKey
CORS	Vérifie si vous avez mis en place une règle CORS.	Ajouter une règle CORS à votre proxy.
MTLS	Vérifie si vous avez configuré mTLS (Mutual Transport Layer Security) pour le serveur cible.	Consultez la section Configuration mTLS du serveur cible.
Médiation	Vérifie si vous avez mis en place une règle de médiation.	Ajoutez l'une des règles suivantes à vos proxys : OASValidation SOAPMessageValidation
Menace	Vérifie si vous avez mis en place une règle de protection contre les menaces.	Ajoutez l'une des règles suivantes à vos proxys : XMLThreatProtection JSONThreatProtection

Limites des scores de sécurité v1

Les scores de sécurité présentent les limites suivantes :

• Vous pouvez créer jusqu'à 100 profils personnalisés par organisation.
• Les scores de sécurité ne sont générés que si un environnement comporte des proxys, des serveurs cibles et du trafic.
• Les proxys nouvellement déployés n'affichent pas immédiatement de scores.

Retards de données

Les données sur lesquelles se basent les scores de sécurité d'Advanced API Security sont soumises aux délais suivants, en raison de la façon dont les données sont traitées :

• Lorsque vous activez Advanced API Security dans une organisation, l'actualisation des scores des proxys et des cibles existants dans un environnement peut prendre jusqu'à six heures.
• Les nouveaux événements liés aux proxys (déploiement et annulation du déploiement) et aux cibles (créer, mettre à jour, supprimer) dans un environnement peuvent prendre jusqu'à six heures pour apparaître dans le score de l'environnement.
• Les données transmises par le pipeline Apigee Analytics ont un délai moyen de 15 à 20 minutes. Par conséquent, les données d'utilisation abusive des scores des sources présentent un retard de traitement d'environ 15 à 20 minutes.

Ouvrir la page Évaluation des risques

La page Évaluation des risques affiche des scores qui mesurent la sécurité de votre API dans chaque environnement.

Le chargement de la page Évaluation des risques peut prendre quelques minutes. La page prendra plus de temps à se charger dans les environnements ayant un volume de trafic élevé et un grand nombre de proxys et de cibles.

Recommandations liées à une utilisation abusive

Si le score de la source est faible, Apigee vous recommande d'examiner les adresses IP pour lesquelles des utilisations abusives ont été détectées. Ensuite, si vous acceptez le caractère abusif du trafic provenant de ces adresses IP, utilisez la page Actions de sécurité pour bloquer les requêtes provenant des adresses IP qui sont à l'origine du trafic abusif.

Pour obtenir plus d'informations sur l'utilisation abusive, vous pouvez utiliser l'une des ressources suivantes :

• La page Détection d'utilisation abusive, qui affiche des informations sur les incidents de sécurité impliquant du trafic abusif.
• Page Rapports de sécurité Par exemple, vous pouvez créer les rapports suivants :
  • Adresses IP des bots, comme décrit dans le champ Exemple : rapport sur les adresses IP des bots.
  • Trafic du bot par motif, comme décrit dans la section Exemple : Trafic du bot par bot_reason.