La función de seguridad de API en Alibaba Cloud Web Application Firewall (WAF) reporta dos tipos de hallazgos para sus API: riesgos y eventos de seguridad. Consulte las estadísticas de ambos, busque en las listas de detección para localizar un registro específico, cambie los estados de manejo, abra registros individuales para analizarlos y exporte los datos para un análisis posterior.
Diferencias entre riesgos y eventos de seguridad
Un riesgo es una vulnerabilidad o exposición de seguridad en una API causada por defectos de desarrollo, de gestión o de configuración. Un riesgo no necesariamente indica que haya ocurrido un ataque. Para obtener más información sobre los tipos de riesgos, consulte API risk types supported by API security.
Un evento de seguridad es una llamada anómala o un comportamiento de ataque contra una API. Por ejemplo, ataques de fuerza bruta a una API de inicio de sesión o el uso indebido de una API de envío de SMS para enviar mensajes de spam. Un evento de seguridad es una alerta generada porque ocurrió un ataque. Para obtener más información sobre los eventos de seguridad que la seguridad de API puede detectar, consulte Abnormal event types supported by API security.
La seguridad de API reporta los eventos de seguridad en dos dimensiones: IP Security Events proporciona estadísticas por IP, mientras que Account Security Events proporciona estadísticas por cuenta.
Requisitos previos
Account Extraction está configurado para el objeto protegido. Esta configuración es obligatoria antes de poder consultar Account Security Events. Para ver las instrucciones, consulte Configure account extraction.
Consulta de los datos de detección de riesgos
La pestaña Risk Detection de la página API Security muestra las estadísticas y la búsqueda condicional del análisis y la detección de riesgos de API. Para abrir esta pestaña, haga clic en Risk Detection o haga clic en More en la esquina superior derecha de la tabla Risky Site Statistics.
Esta pestaña contiene tres módulos de funciones: estadísticas de riesgos, el panel izquierdo de tipos de riesgo y los detalles de riesgos de API.
Estadísticas de riesgos
El módulo de estadísticas de riesgos contiene a continuación dos partes:
Risk Impact Statistics: la cantidad de dominios en riesgo, la cantidad de entradas de API en riesgo y la cantidad de riesgos altos, medios y bajos, cada uno con su recuento diario de nuevos casos.
Risk Status Statistics: la cantidad de riesgos en los estados To Be Confirmed, To Be Fixed, Confirmed, Fixed e Ignored. Haga clic en cualquier número del módulo para consultar los registros de riesgo coincidentes en API Risk Details.
Panel izquierdo de tipos de riesgo
El panel izquierdo de tipos de riesgo muestra los tipos de riesgo de los recursos de API que le pertenecen y sus recuentos correspondientes. Haga clic en un tipo de riesgo para consultar las entradas de API que presentan ese tipo de riesgo en API Risk Details.
Detalles de riesgos de API
El módulo API Risk Details enumera los riesgos de API detectados. Desde esta lista, puede buscar un riesgo específico, cambiar el estado de un riesgo, abrir la página de detalles de un riesgo y exportar los datos de riesgos.
Gestión de riesgos de API
Una vez que localice el riesgo de API objetivo, puede cambiar su estado, consultar los recursos de API involucrados y revisar los detalles del riesgo.
Cambio del estado de un riesgo de API
El estado inicial de un riesgo de API es To Be Confirmed. Cambie el estado en cualquiera de a continuación ubicaciones:
En la lista API Risk Details, haga clic en el icono
de la columna Status, seleccione el estado de riesgo al que desea cambiar y luego haga clic en OK.En la página de detalles del riesgo, establezca el estado en Confirmed, To Be Fixed, Pending System Verification, Fixed (Manual Verification) o Ignore, e introduzca la información de observaciones. Para dejar de rastrear una alerta que ya no necesita, cambie el estado del riesgo a Ignored o Fixed. De este modo, el riesgo deja de contabilizarse en las estadísticas de To Be Confirmed o To Be Fixed.
Cuando establece el estado del riesgo en Pending System Verification, el sistema identifica automáticamente si el riesgo se solucionó. Si se cumple alguna de a continuación condiciones, el estado cambia a Fixed (System Verification). De lo contrario, el estado cambia a Verification Failed.
Para un riesgo de Unauthenticated Access to Sensitive API, se detecta que la API requiere autenticación o que no transmite datos confidenciales.
Para un riesgo de Unauthorized Access to Internal API, se detecta que la API no es interna o que requiere autenticación.
Para otros riesgos, Last Detection Time tiene más de 7 días de antigüedad y se accedió a la API en los últimos 7 días.
Para otros riesgos, Last Detection Time tiene más de 1 día de antigüedad y el volumen de acceso de hoy supera los 100.
Consulta de los recursos de API involucrados en un riesgo
Haga clic en la API de origen del riesgo objetivo para consultar los recursos de API en la página de detalles de la API. Para obtener más información sobre la página de detalles de la API, consulte API details.
Consulta de los detalles de riesgos de API
Haga clic en View Details en la columna Actions del ID de riesgo objetivo para abrir la página de detalles del riesgo. La página ofrece a continuación pestañas:
Basic information: consulte la API, el ID de riesgo, la hora de la primera detección, la descripción del riesgo, la sugerencia de manejo, el nombre de dominio, el propósito comercial, el estado, el análisis de IA y otra información.
Risk status description: consulte los estados de riesgo disponibles y establezca el estado del riesgo.
-
Risk Verification: consulte las muestras de solicitudes. También puede ejecutar a continuación operaciones:
Haga clic en Browser para abrir la solicitud GET directamente en un navegador.
Haga clic en Command Line para convertir la muestra de solicitud en una línea de comandos. Haga clic en Copy y acceda manualmente a la solicitud.
Haga clic en Copy Code para copiar la muestra de solicitud.
Operation Records: consulte los registros de manejo del evento de riesgo.
Consulta de los datos de eventos de seguridad
La pestaña Security Events de la página API Security muestra las estadísticas y la búsqueda condicional del análisis de eventos de ataque a API. Para abrir esta pestaña, haga clic en Security Events o haga clic en More en la esquina superior derecha de la tabla Statistics on Attacked Sites.
La pestaña incluye una subpestaña IP Security Events y una subpestaña Account Security Events. Ambas contienen los mismos tres módulos de funciones: estadísticas de impacto de ataques, el panel izquierdo de tipos de evento y los detalles de eventos de seguridad de API. Los elementos estadísticos y los campos de búsqueda disponibles varían según la dimensión.
Estadísticas de impacto de ataques
Los elementos del módulo de estadísticas de impacto de ataques dependen de la pestaña:
IP Security Events: Attacked Domain Names, Attacked APIs y la cantidad de High-Risk Events, Moderate-Risk Events y Low-Risk Events, cada uno con su recuento de New Events Today.
Account Security Events: Risky Account y la cantidad de High-Risk Events, Moderate-Risk Events y Low-Risk Events, cada uno con su recuento de New Events Today. Haga clic en cualquier número del módulo para consultar los registros de eventos de seguridad coincidentes en Details of API Security Events.
Panel izquierdo de tipos de evento
El panel izquierdo de tipos de evento muestra los tipos de evento de los recursos de API que le pertenecen y sus recuentos correspondientes. Haga clic en un tipo de evento para consultar los eventos de ese tipo en Details of API Security Events.
Detalles de eventos de seguridad de API
El módulo Details of API Security Events enumera los eventos de seguridad detectados. Desde esta lista, puede buscar un evento específico y abrir su página de detalles. También puede cambiar el estado de un evento, agregar la dirección IP de origen o la cuenta a la lista blanca, bloquear la dirección IP de origen y exportar los datos de eventos.
Gestión de eventos de seguridad de API
Una vez que localice el evento de seguridad de API objetivo, puede cambiar su estado, agregar la dirección IP de origen o la cuenta a la lista blanca, bloquear la dirección IP de origen y consultar los detalles del evento.
Cambio del estado de un evento de seguridad de API
Localice el ID del evento de seguridad objetivo, haga clic en el icono de la columna Status, seleccione el estado de evento al que desea cambiar y luego haga clic en OK.
Adición de una dirección IP o cuenta a la lista blanca
Haga clic en Add to Whitelist en la columna Actions del evento objetivo para agregar a la lista blanca, con un solo clic, la dirección IP o la cuenta que generó el evento actual. De forma predeterminada, esta acción produce a continuación resultados:
Se deja de detectar el tipo de regla del evento actual.
El estado del evento cambia a Confirmed.
Bloqueo de una dirección IP
Haga clic en Block IP Address en la columna Actions del evento objetivo para agregar a la lista de denegación, con un solo clic, la dirección IP del evento actual. De forma predeterminada, el estado del evento cambia a Handled.
Consulta de los detalles de eventos de seguridad de API
Haga clic en View Details en la columna Actions del evento objetivo para abrir la página de detalles del evento. La página proporciona a continuación información:
Basic information: consulte el ID del evento, la hora de inicio y finalización, el estado y otra información. También puede cambiar el estado del evento de seguridad. Cuando establece el estado en Confirmed, Handled o Ignore, puede introducir información de observaciones.
-
Attack details: consulte las muestras de datos, las tendencias de eventos y otra información.
Para eventos de seguridad de IP, haga clic en Log Query en la columna Actions de Attack Source Analysis para consultar registros.
Para eventos de seguridad de cuentas, haga clic en Log Query en la columna Actions de API Distribution para consultar registros.
Handling suggestion: consulte las sugerencias para manejar el evento de seguridad.
Operation records: consulte los registros de manejo del evento de seguridad.
Búsqueda de riesgos y eventos de seguridad de API
La lista API Risk Details y la lista Details of API Security Events admiten los mismos dos métodos de búsqueda. Use la búsqueda simple para buscar un único registro por un campo, o use la búsqueda avanzada para filtrar registros por varias condiciones.
Búsqueda simple
En el cuadro de búsqueda situado encima de la lista, haga clic en el icono 
, seleccione un campo de búsqueda, introduzca el nombre de API, el ID, la dirección IP o la cuenta correspondiente y luego haga clic en Search para ejecutar la consulta. Se admite la búsqueda aproximada.
Los campos de búsqueda disponibles dependen de la lista.
|
Lista |
Campos de búsqueda |
|
API Risk Details |
API Operation o Risk Item ID |
|
Details of API Security Events, pestaña IP Security Events |
IP, API Operation o Event ID |
|
Details of API Security Events, pestaña Account Security Events |
Account, API Operation o Event ID |
Búsqueda avanzada
Haga clic en More, configure las condiciones de búsqueda y luego haga clic en Search para ejecutar la consulta.
A continuación se muestran las condiciones de búsqueda avanzada.
A continuación se describe cada condición de búsqueda y las listas en las que está disponible.
|
Condición |
Descripción |
Disponible en |
|
Time |
El intervalo de tiempo de la consulta. Se admiten consultas rápidas: los últimos 15 minutos, los últimos 30 minutos, la última hora, las últimas 24 horas, hoy, ayer y los últimos 7 días. La granularidad mínima para una consulta de tiempo personalizada es de 10 minutos. |
Todas las listas |
|
Risk Level |
Se admite la selección múltiple. |
API Risk Details |
|
Event Level |
Se admite la selección múltiple. |
Details of API Security Events |
|
Status |
Se admite la selección múltiple. |
Todas las listas |
|
Purpose |
El propósito comercial de la API. Se admite la selección múltiple. |
API Risk Details y la pestaña IP Security Events |
|
Domain Name |
Selección única. |
Todas las listas |
|
Type |
Selección única. |
Todas las listas |
Para obtener más información sobre los tipos de propósitos comerciales, consulte How API security classifies API business purposes.
Cambio de los elementos mostrados en una lista
Haga clic en el icono de la esquina superior derecha de la lista y luego seleccione los campos de datos que desea mostrar en la lista.
Exportación de datos de riesgos y eventos de seguridad
La exportación se ejecuta como una tarea: primero, la seguridad de API genera el archivo y luego usted lo descarga desde los registros de exportación. Complete a continuación dos pasos.
Haga clic en el icono
en la esquina superior derecha de API Risk Details o de Details of API Security Events. La seguridad de API crea una tarea de exportación para usted.Haga clic en Export Record en la esquina superior derecha de la página API Security. Localice el archivo que desea descargar y haga clic en Download en la columna Actions.
Si configura condiciones de consulta, el archivo exportado contiene únicamente los datos consultados. De lo contrario, el archivo contiene todos los datos.
Una vez generado, el archivo exportado se almacena temporalmente en la consola de WAF y caduca después de tres días. No es posible descargar archivos caducados. Descargue el archivo dentro de su periodo de validez.
El archivo descargado se guarda en la ubicación de descarga predeterminada de su navegador. Vaya a dicha ubicación para consultar el archivo descargado.
Periodos estadísticos, retención e intervalos de consulta predeterminados
La seguridad de API aplica distintos intervalos de tiempo a los módulos de estadísticas, a los registros almacenados y a las listas de detalles. Tenga en cuenta estas diferencias cuando un valor estadístico no coincida con el resultado de una lista.
Módulos de estadísticas: las estadísticas de riesgos y las estadísticas de impacto de ataques usan un periodo estadístico predeterminado del último año.
Registros de alertas de riesgo: los registros de alertas de riesgo generados por la detección de riesgos se conservan durante un año y no desaparecen automáticamente.
Listas de detalles: API Risk Details y Details of API Security Events devuelven datos de los últimos 30 días de forma predeterminada. Esto incluye los 30 días completos de 24 horas que terminan ayer, más los registros existentes de hoy hasta la hora de la consulta.