Implementando Proteção Contra Ameaças de API com Apigee

Visão Geral

O Google Apigee é uma plataforma de gerenciamento de API empresarial que oferece políticas de segurança nativas para proteção contra ameaças, incluindo validação de conteúdo JSON e XML, aplicação de OAuth 2.0, limitação de taxa SpikeArrest, proteção contra ameaças com expressões regulares e Segurança Avançada de API para detectar clientes maliciosos e padrões de abuso de API. O Apigee opera como um proxy reverso que intercepta todo o tráfego de API, aplicando políticas de segurança antes que as requisições cheguem aos serviços de backend, protegendo efetivamente as APIs contra as 10 principais ameaças de segurança de API da OWASP.

Quando Usar

• Ao implantar ou configurar a implementação de proteção contra ameaças de API com recursos do Apigee em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Conta do Google Cloud Platform com organização Apigee provisionada
• Ambiente Apigee X ou Apigee híbrido configurado
• Serviços de API de backend implantados e acessíveis a partir do Apigee
• Google Cloud CLI (gcloud) instalado e autenticado
• Especificação OpenAPI para as APIs de destino
• Compreensão da estrutura do pacote de proxy do Apigee

Políticas de Segurança Principais

1. Proteção Contra Ameaças JSON

Protege contra ataques de negação de serviço baseados em JSON, limitando a profundidade estrutural, contagem de entradas e comprimentos de strings:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<JSONThreatProtection name="JSON-Threat-Protection-1">
    <DisplayName>JSON Threat Protection</DisplayName>
    <Source>request</Source>
    <!-- Maximum nesting depth of JSON structure -->
    <ObjectEntryNameLength>50</ObjectEntryNameLength>
    <ObjectEntryCount>25</ObjectEntryCount>
    <ArrayElementCount>100</ArrayElementCount>
    <ContainerDepth>5</ContainerDepth>
    <StringValueLength>500</StringValueLength>
</JSONThreatProtection>

2. Proteção Contra Ameaças XML

Protege contra bombas XML, ataques XXE e cargas úteis XML excessivamente grandes:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<XMLThreatProtection name="XML-Threat-Protection-1">
    <DisplayName>XML Threat Protection</DisplayName>
    <Source>request</Source>
    <NameLimits>
        <Element>50</Element>
        <Attribute>50</Attribute>
        <NamespacePrefix>20</NamespacePrefix>
        <ProcessingInstructionTarget>50</ProcessingInstructionTarget>
    </NameLimits>
    <ValueLimits>
        <Text>1000</Text>
        <Attribute>500</Attribute>
        <NamespaceURI>256</NamespaceURI>
        <Comment>256</Comment>
        <ProcessingInstructionData>256</ProcessingInstructionData>
    </ValueLimits>
    <StructureLimits>
        <NodeDepth>5</NodeDepth>
        <AttributeCountPerElement>5</AttributeCountPerElement>
        <NamespaceCountPerElement>3</NamespaceCountPerElement>
        <ChildCount>25</ChildCount>
    </StructureLimits>
</XMLThreatProtection>

3. Proteção Contra Ameaças com Expressões Regulares

Detecta injeção de SQL, XSS e outros padrões de injeção em parâmetros de requisição:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<RegularExpressionProtection name="RegEx-Threat-Protection-1">
    <DisplayName>Regex Injection Protection</DisplayName>
    <Source>request</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

    <!-- SQL Injection patterns -->
    <QueryParam name="*">
        <Pattern>[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>
    </QueryParam>

    <!-- XSS patterns -->
    <QueryParam name="*">
        <Pattern>[\s]*&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*/\s*script\s*&gt;</Pattern>
    </QueryParam>

    <!-- Header injection -->
    <Header name="*">
        <Pattern>[\r\n]</Pattern>
    </Header>

    <!-- URI path traversal -->
    <URIPath>
        <Pattern>(/\.\.)|(\.\./)</Pattern>
    </URIPath>

    <!-- JSON body injection -->
    <JSONPayload>
        <JSONPath>$.*</JSONPath>
        <Pattern>[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update))</Pattern>
    </JSONPayload>
</RegularExpressionProtection>

4. Política SpikeArrest

Impede que picos de tráfego sobrecarreguem os serviços de backend:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<SpikeArrest name="Spike-Arrest-1">
    <DisplayName>API Spike Arrest</DisplayName>
    <Rate>30ps</Rate> <!-- 30 por segundo suavizado -->

…