cara mengonfigurasi kebijakan keamanan API - Web Application Firewall

Topik ini menjelaskan cara mengonfigurasi kebijakan bawaan dan kustom untuk API Security. Selain mekanisme deteksi bawaannya, API Security memungkinkan Anda menentukan kebijakan deteksi kustom yang sesuai dengan kebutuhan bisnis. Anda dapat mengonfigurasi kebijakan untuk deteksi risiko, peristiwa keamanan, data sensitif, kredensial autentikasi, tujuan bisnis, daftar putih, manajemen siklus hidup, langganan log, dan objek yang efektif. Konfigurasi ini menyesuaikan identifikasi data API dengan kebutuhan bisnis Anda, sehingga meningkatkan akurasi dan tingkat recall deteksi keamanan API serta membantu merespons ancaman dan mengurangi kerugian akibat serangan terhadap aset API Anda.

1. Konfigurasi deteksi risiko

Risiko keamanan adalah kerentanan pada API yang disebabkan oleh cacat dalam pengembangan, manajemen, atau konfigurasi. Risiko keamanan tidak selalu berarti serangan telah terjadi, sedangkan peristiwa keamanan merupakan peringatan yang dihasilkan oleh serangan.

Konfigurasi kebijakan bawaan

Pada tab Risk Detection Configuration di halaman Konfigurasi Kebijakan, Anda dapat melihat kebijakan risiko yang telah dikonfigurasi. Untuk kebijakan bawaan, Anda dapat mengaktifkan atau menonaktifkannya serta menyesuaikan tingkat risikonya menjadi Rendah, Menengah, atau Tinggi sesuai kebutuhan.

Konfigurasi kebijakan kustom

Selain kebijakan bawaan, Anda dapat membuat hingga 20 kebijakan deteksi risiko kustom. Untuk membuat kebijakan kustom, ikuti langkah-langkah berikut.

Pada halaman API Security, buka tab Policy Configuration > Risk Detection Configuration.

Pada bagian Kebijakan Kustom di sebelah kiri, klik Add. Pada panel yang muncul, konfigurasikan parameter yang dijelaskan dalam tabel berikut.

Parameter	Deskripsi
Risk Status	Atur status kebijakan. Nilai default-nya adalah Aktif.
Risk Name	Atur nama untuk risiko kustom. Nama dapat berisi karakter Tionghoa, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).
Recommended Action	Atur tindakan yang direkomendasikan untuk kebijakan risiko kustom berdasarkan kebutuhan bisnis Anda.
Risk Level	Atur tingkat risiko. Nilai yang valid adalah Rendah, Menengah, dan Tinggi.
Detection Settings	Atur kondisi deteksi untuk kebijakan risiko kustom Anda. Anda dapat menambahkan hingga 10 kondisi.

Tabel berikut menjelaskan konfigurasi terperinci untuk pengaturan deteksi, termasuk operator logika dan contoh konten yang cocok.

Catatan

Anda dapat memasukkan hingga 50 nilai untuk Konten yang Cocok. Tekan tombol Enter setelah memasukkan setiap nilai.
Konten pencocokan untuk Risk Detection Configurations bersifat case-sensitive.

Konfigurasi terperinci

Match Field	Sub-kondisi (Masukkan/Pilih)	Logical Operator	Deskripsi Konten Pencocokan
Nama Domain	Tidak didukung	adalah salah satu dari Tidak berisi nilai adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
API	Tidak didukung	adalah salah satu dari bukan salah satu dari adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Metode Permintaan	Tidak didukung	adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Pilih satu atau beberapa metode permintaan, seperti GET, POST, DELETE, dan PUT.
User-Agent	Tidak didukung	Dapat berupa salah satu dari Tidak berisi nilai adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Referer	Tidak didukung	Berisi satu atau beberapa nilai Tidak berisi nilai adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Protokol Komunikasi	Tidak didukung	Sama dengan	Pilih HTTP atau HTTPS dari daftar.
Jenis Konten Permintaan	Tidak didukung	adalah salah satu dari Tidak berisi nilai	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Ukuran permintaan	Tidak didukung	Sama Dengan kurang dari lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Jenis Konten Tanggapan	Tidak didukung	adalah salah satu dari Tidak berisi nilai	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Ukuran tanggapan	Tidak didukung	Sama Dengan kurang dari lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Kode Status Respons	Tidak didukung	adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Header Permintaan	Header Kustom	ada tidak ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari adalah salah satu dari Tidak berisi nilai
Parameter Cookie	Cookie Kustom-Tepat	ada tidak ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari adalah salah satu dari Tidak berisi nilai	-
Parameter GET	Parameter Kustom	ada tidak ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari adalah salah satu dari bukan salah satu dari	-
Parameter POST	Post-Arg Kustom	ada tidak ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari Berisi satu atau beberapa nilai bukan salah satu dari	-
Header Tanggapan	Header Tanggapan	ada tidak ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari adalah salah satu dari Tidak berisi nilai	-
Parameter Tanggapan	Parameter Tanggapan	ada tidak ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari adalah salah satu dari Tidak berisi nilai	-
Tujuan Bisnis	Tidak didukung	adalah salah satu dari Tidak berisi nilai	Pilih satu atau beberapa tujuan bisnis dari daftar. Catatan Untuk informasi selengkapnya tentang jenis tujuan bisnis, lihat Cara API Security mengklasifikasikan tujuan bisnis API.
Objek Layanan	Tidak didukung	Berisi salah satu dari Tidak berisi nilai	Pilih satu atau beberapa objek layanan dari daftar. Catatan Untuk informasi selengkapnya tentang jenis objek layanan, lihat Cara API Security mengklasifikasikan objek layanan API.
Otentikasi	Tidak didukung	adalah	YES or NO
Jenis Data Sensitif Permintaan	Tidak didukung	Berisi salah satu dari: Tidak berisi nilai jumlah tipe lebih dari	Pilih satu atau beberapa tipe data sensitif dari daftar. Untuk kondisi "jumlah tipe lebih dari", masukkan bilangan bulat dari 0 hingga 8192.
Tingkat Data Sensitif Permintaan	Tidak didukung	Berisi salah satu dari Tidak berisi nilai	Pilih satu atau beberapa tingkat dari S1 hingga S4.
Jenis Data Sensitif Tanggapan	Tidak didukung	Berisi salah satu dari bukan salah satu dari jumlah tipe lebih dari	Pilih satu atau beberapa tipe data sensitif dari daftar. Untuk kondisi "jumlah tipe lebih dari", masukkan bilangan bulat dari 0 hingga 8192.
Tingkat Data Sensitif Respons	Tidak didukung	Berisi salah satu dari bukan salah satu dari	Pilih satu atau beberapa tingkat dari S1 hingga S4.
Data Sensitif Tanggapan	Pilih satu atau beberapa tipe data sensitif tanggapan dari daftar.	jumlah lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Lokasi Geografis Sumber	Tidak didukung	Sama Dengan	CN / NOT-CN
IP	Tidak didukung	termasuk dalam tidak termasuk dalam	Masukkan alamat IP atau rentang alamat IP dalam format blok CIDR (misalnya, 1.1.X.X/24). Ekspresi reguler tidak didukung. Anda dapat memasukkan hingga 50 nilai, dipisahkan dengan koma (,) atau dengan menekan tombol Enter.
Akun (Hanya untuk Peristiwa Keamanan)	Tidak didukung	adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.

Setelah menyelesaikan konfigurasi kustom, klik OK.

2. Konfigurasi event keamanan

Peristiwa keamanan adalah panggilan tidak normal atau serangan terhadap API, seperti serangan brute-force terhadap API logon dan serangan pembanjiran pesan yang menyalahgunakan API SMS. Deteksi peristiwa bawaan dilakukan berdasarkan dimensi alamat IP dan akun.

Konfigurasi kebijakan bawaan

Setelah kebijakan peristiwa keamanan bawaan memicu peringatan, kebijakan tersebut tidak akan menghasilkan peringatan baru jika serangan yang sama berlanjut. Sebaliknya, waktu serangan pada peringatan asli akan diperbarui. Tingkat peringatan juga dapat berubah berdasarkan faktor-faktor seperti volume serangan.

Pada tab Security Event Configuration di halaman Konfigurasi Kebijakan, Anda dapat melihat kebijakan peristiwa keamanan yang telah dikonfigurasi. Anda tidak dapat mengedit atau menghapus kebijakan bawaan.

Konfigurasi kebijakan kustom

Selain kebijakan bawaan, Anda dapat membuat hingga 10 kebijakan peristiwa keamanan kustom. Untuk membuat kebijakan kustom, ikuti langkah-langkah berikut.

Pada halaman API Security, buka tab Policy Configuration > Security Event Configuration.

Pada bagian Kebijakan Kustom di sebelah kiri, klik Add. Pada panel yang muncul, konfigurasikan parameter yang dijelaskan dalam tabel berikut.

Parameter	Deskripsi
Event Status	Atur status kebijakan. Nilai default-nya adalah Aktif.
Event Name	Atur nama untuk peristiwa kustom. Nama dapat berisi karakter Tionghoa, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).
Recommended Action	Atur tindakan yang direkomendasikan untuk peristiwa keamanan kustom berdasarkan kebutuhan bisnis Anda.
Event Level	Atur tingkat risiko. Nilai yang valid adalah Rendah, Menengah, dan Tinggi.
Match Conditions	Atur kondisi deteksi untuk kebijakan peristiwa keamanan kustom Anda. Anda dapat menambahkan hingga 10 kondisi. Catatan Jika Anda menentukan beberapa kondisi, aturan akan terpicu hanya jika semua kondisi terpenuhi.
Frequency Control	Atur Statistic Object menjadi IP atau Akun. Atur Statistic Period dalam menit, dengan maksimum 15 menit. Atur Number Of Requests menjadi bilangan bulat positif.
Data Statistics	Atur kondisi statistik untuk kebijakan peristiwa keamanan kustom Anda. Anda dapat menambahkan hingga 10 kondisi.

Untuk informasi terperinci tentang kondisi pencocokan, operator logika, dan contoh konten yang cocok, lihat tabel Konfigurasi terperinci di bagian konfigurasi deteksi risiko.

Catatan

Anda dapat memasukkan hingga 50 nilai untuk Konten yang Cocok. Tekan tombol Enter setelah memasukkan setiap nilai.
Konten pencocokan untuk Security Event Configurations bersifat case-sensitive.

Tabel berikut menjelaskan konfigurasi terperinci untuk statistik data, termasuk operator logika dan contoh konten yang cocok.

Konfigurasi terperinci

Match Field	Sub-kondisi (Masukkan/Pilih)	Logical Operator	Deskripsi Konten Pencocokan
Statistik Kode Status	Kode status (bilangan bulat dari 100 hingga 600)	nilainya lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Header Permintaan	Header Kustom	jumlah yang telah dideduplikasi kurang dari jumlah yang telah dideduplikasi adalah jumlah yang telah dideduplikasi lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Parameter Cookie	Cookie Kustom-Tepat	jumlah yang telah dideduplikasi kurang dari jumlah yang telah dideduplikasi adalah jumlah yang telah dideduplikasi lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Parameter GET	Parameter Kustom	jumlah yang telah dideduplikasi kurang dari jumlah yang telah dideduplikasi adalah jumlah yang telah dideduplikasi lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Parameter POST	Post-Arg Kustom	jumlah yang telah dideduplikasi kurang dari jumlah yang telah dideduplikasi adalah jumlah yang telah dideduplikasi lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Jenis Data Sensitif Tanggapan	Pilih satu atau beberapa tipe data sensitif respons.	jumlah yang telah dideduplikasi lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Tingkat Data Sensitif Respons	Pilih satu atau beberapa tingkat data sensitif respons.	jumlah yang telah dideduplikasi lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.
Statistik Jumlah IP Sumber	Atur nilai untuk statistik jumlah IP sumber.	nilainya lebih dari	Masukkan bilangan bulat dari 0 hingga 8192.

Catatan

Secara default, API Security menggunakan pengambilan sampel untuk menganalisis data sensitif tanggapan. Untuk mengonfigurasi deteksi tipe dan tingkat data sensitif tanggapan dalam kebijakan peristiwa keamanan kustom, Anda harus mengaktifkan sakelar Traceability Audit untuk objek yang dilindungi yang sesuai di Policy Configuration > Effective Object Configuration. Hal ini memastikan bahwa semua data sensitif tanggapan untuk objek yang dilindungi dicatat dan dianalisis.

Setelah menyelesaikan konfigurasi kustom, klik OK.

3. Konfigurasi data sensitif

Pada tab Sensitive Data Configuration di halaman Konfigurasi Kebijakan, Anda dapat mencari, memfilter, dan melihat kebijakan data sensitif yang telah dikonfigurasi.

Tampilan penyamaran data

Tab Konfigurasi Data Sensitif memiliki sakelar Data Masking Display yang dinonaktifkan secara default, artinya data tidak disamarkan.

Saat penyamaran data diaktifkan, informasi berikut akan disamarkan:

Di Risk Details dan API Details, data sensitif di semua field contoh permintaan dan tanggapan diganti dengan placeholder, seperti {{Phone}}.
Di Event Details peristiwa keamanan, contoh data permintaan dan tanggapan yang berisi data sensitif disamarkan sebagai {}.
Dalam informasi contoh, Cookie Permintaan disamarkan sebagai {{Cookie}}, Header Permintaan yang berisi token disamarkan sebagai {{XXXToken}}, dan Set-Cookie Tanggapan disamarkan sebagai {{SetCookie}}.

Fitur penyamaran data berlaku untuk item-item berikut:

Risk Details dan API Details: Fitur ini hanya berlaku untuk contoh data permintaan dan tanggapan baru.
Event Details: Fitur ini berlaku untuk contoh data permintaan dan tanggapan baru maupun yang sudah ada.

Konfigurasi kebijakan bawaan

Anda tidak dapat mengedit, memodifikasi, atau menghapus kebijakan bawaan. Anda hanya dapat mengaktifkan atau menonaktifkannya.

Konfigurasi kebijakan kustom

Jika bisnis Anda menggunakan data sensitif kustom, Anda dapat mengonfigurasi aturan deteksi data sensitif kustom. Anda dapat membuat hingga 20 kebijakan kustom. Untuk membuat kebijakan kustom, ikuti langkah-langkah berikut.

Pada halaman API Security, buka tab Policy Configuration > Sensitive Data Configuration.

Klik Create Policy. Pada panel yang muncul, konfigurasikan parameter. Anda dapat membuat kebijakan kustom dalam Simple Mode atau Expert Mode.

Parameter	Deskripsi
Name	Tentukan nama untuk aturan. Nama dapat berisi karakter Tionghoa, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).
Mode	Tentukan mode deteksi untuk kebijakan kustom. Mode sederhana: Menyediakan antarmuka konfigurasi sederhana agar mudah digunakan. Jika Anda memilih Simple Mode, Anda harus mengatur Characters dan Length untuk deteksi. Characters: Anda dapat memilih satu atau beberapa jenis karakter untuk dideteksi, termasuk angka, huruf besar, dan huruf kecil. Length: Rentang panjang yang didukung adalah 6 hingga 64. Nilai awal dan akhir harus berupa bilangan bulat. Mode ahli: Mendukung ekspresi reguler. Jika Anda memilih Expert Mode, Anda harus memasukkan ekspresi reguler untuk deteksi. Untuk menghindari positif palsu, pastikan ekspresi reguler tersebut mencocokkan setidaknya 6 karakter.
Level	Atur tingkat data sensitif yang akan dideteksi. Nilai yang valid: S1, S2, S3, dan S4. Catatan Untuk informasi selengkapnya tentang tipe data sensitif, lihat Data sensitif apa saja yang dapat dideteksi oleh API Security.

Setelah menyelesaikan konfigurasi kustom, klik OK.

4. Konfigurasi kredensial autentikasi

Jika bisnis Anda menggunakan field non-standar atau field dengan fitur lemah (seperti nama yang seluruhnya berupa angka) untuk autentikasi, Anda dapat mengonfigurasi kredensial autentikasi kustom. Selain deteksi kredensial bawaan, Anda dapat menentukan nama parameter. Hal ini membantu model bawaan secara akurat menentukan apakah permintaan berisi kredensial autentikasi, sehingga meningkatkan keamanan API dan akurasi deteksi risiko tanpa autentikasi.

Pada halaman API Security, buka tab Policy Configuration > Authentication Credential Configuration.

Klik Create Policy, konfigurasikan parameter, lalu klik OK.

Parameter

Deskripsi

Name

Tentukan nama untuk kebijakan.

Nama dapat berisi karakter Tionghoa, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).

Match Conditions

Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Anda dapat menambahkan hingga 10 kondisi. Saat mengonfigurasi, tambahkan setidaknya satu kondisi pencocokan untuk Header Permintaan, Cookie Permintaan, Kueri Permintaan, atau Body Permintaan.

Catatan

Jika Anda menentukan beberapa kondisi, aturan akan terpicu hanya jika semua kondisi terpenuhi.

Tabel berikut menjelaskan konfigurasi terperinci untuk kondisi pencocokan, termasuk operator logika dan contoh konten yang cocok.

Catatan

Anda dapat memasukkan hingga 50 nilai untuk Konten yang Cocok. Tekan tombol Enter setelah memasukkan setiap nilai.
Konten pencocokan untuk Authentication Credential Configurations bersifat case-sensitive.

Konfigurasi terperinci

Match Field	Sub-kondisi (Masukkan/Pilih)	Operator Logis	Deskripsi Konten Pencocokan
Nama Domain	Tidak didukung	adalah salah satu dari Tidak berisi nilai adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
API	Tidak didukung	Berisi salah satu dari Tidak berisi nilai adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Header Permintaan	Header Kustom	ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari
Cookie Permintaan	Cookie Kustom-Tepat	ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari
Query Permintaan	Parameter Kustom	ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari
Body Permintaan	Post-Arg Kustom	ada panjangnya adalah panjangnya kurang dari panjangnya lebih dari

5. Konfigurasi tujuan bisnis

API Security menyediakan dua jenis konfigurasi kebijakan tujuan bisnis:

Konfigurasi kebijakan bawaan

Kebijakan tujuan bisnis didukung untuk berbagai skenario, seperti pembaruan data, berbagi data, pengiriman pesan teks, dan pengiriman informasi. Anda tidak dapat memodifikasi atau menghapus kebijakan bawaan, tetapi dapat mengaktifkan atau menonaktifkannya sesuai kebutuhan.

Konfigurasi kebijakan kustom

Jika kebijakan bawaan tidak memenuhi kebutuhan bisnis Anda, Anda dapat menentukan fitur URL dan nama parameter kustom. Hal ini meningkatkan akurasi deteksi API Security dalam skenario bisnis tertentu.

Pada halaman API Security, buka tab Policy Configuration > Business Purpose Configuration.
Klik tab Custom Policy untuk mengelola kebijakan kustom. Klik Create Policy, konfigurasikan parameter, lalu klik OK.

Catatan

Anda dapat memasukkan hingga 50 nilai untuk Konten yang Cocok. Tekan tombol Enter setelah memasukkan setiap nilai.
Konten pencocokan untuk Business Purpose bersifat case-sensitive.

Konfigurasi terperinci

Match Field	Operator Logis	Match Content
Nama Domain	merupakan salah satu dari Tidak berisi nilai adalah salah satu dari (exact match) bukan salah satu dari (exact match)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
API	merupakan salah satu dari Tidak berisi nilai adalah salah satu dari (exact match) bukan salah satu dari (exact match)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Nama Parameter Header Permintaan	adalah salah satu dari (exact match) Berisi satu atau beberapa nilai.	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Nama Parameter Cookie Permintaan	salah satu dari (pencocokan persis) adalah salah satu dari	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Nama Parameter Kueri Permintaan	adalah salah satu dari (exact match) adalah salah satu dari	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Nama Parameter dalam Body POST	adalah salah satu dari (exact match) Berisi salah satu dari:	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
Jenis Data Sensitif Permintaan	adalah salah satu dari (exact match) adalah salah satu dari	Pilih satu atau beberapa tipe data sensitif permintaan dari daftar.
Jenis Data Sensitif Tanggapan	adalah salah satu dari (exact match) adalah salah satu dari	Pilih satu atau beberapa tipe data sensitif respons dari daftar.
Nama Parameter Respons	adalah salah satu dari (exact match) adalah salah satu dari	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.

6. Konfigurasi daftar putih

Fitur daftar putih API Security memungkinkan Anda membuat daftar putih kustom untuk peristiwa keamanan dan deteksi risiko. Hal ini membantu menyaring kebisingan peringatan berdasarkan kebutuhan bisnis, seperti peringatan dari alamat IP egress jaringan kantor Anda, sehingga meningkatkan efisiensi operasional.

Pada halaman API Security, buka tab Policy Configuration > Whitelist Configuration.
Klik Create Policy, masukkan nama untuk kebijakan baru Anda, dan pilih jenis fitur yang ingin Anda konfigurasikan daftar putihnya. Anda dapat mengonfigurasi daftar putih untuk Risk Detection dan Security Events.

Atur kondisi pencocokan berdasarkan jenis fitur yang Anda pilih.

Catatan

Anda dapat menambahkan hingga 10 kondisi pencocokan.
Kondisi pencocokan untuk Configure Whitelist bersifat case-sensitive.

Kondisi pencocokan kebijakan daftar putih deteksi risiko

Match Field

Operator Logis

Match Content

Nama Domain

adalah salah satu dari

Tidak berisi nilai

adalah salah satu dari (pencocokan eksak)

bukan salah satu dari (pencocokan eksak)

Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.

API

adalah salah satu dari

Tidak berisi nilai.

Merupakan salah satu dari

bukan salah satu dari (pencocokan eksak)

Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.

Kondisi pencocokan kebijakan daftar putih event keamanan

Match Field	Operator Logis	Match Content
Nama Domain	Berisi salah satu dari Tidak berisi nilai Merupakan salah satu dari bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
API	Berisi satu atau beberapa nilai Tidak berisi nilai adalah salah satu dari (pencocokan eksak) bukan salah satu dari (pencocokan eksak)	Masukkan hingga 50 nilai. Tekan tombol Enter setelah setiap nilai.
IP	termasuk dalam tidak termasuk dalam	Masukkan alamat IP atau rentang alamat IP dalam format blok CIDR (misalnya, 1.1.X.X/24). Ekspresi reguler tidak didukung. Anda dapat memasukkan hingga 50 nilai, dipisahkan dengan koma (,) atau dengan menekan tombol Enter.

Pilih jenis deteksi risiko atau peristiwa keamanan yang ingin diabaikan, lalu klik OK.
Catatan
Anda dapat memilih beberapa jenis bawaan dan kustom untuk diabaikan.

7. Manajemen siklus hidup

API Security memungkinkan Anda menentukan kriteria untuk API tidak aktif dengan mengatur volume akses harian dan durasi. Hal ini membuat deteksi API tidak aktif lebih relevan dengan bisnis Anda. Manajemen siklus hidup API membantu mengidentifikasi API tidak aktif berdasarkan standar kustom dan mengambil tindakan segera, sehingga mencegah penyerang mengeksploitasi API tidak aktif dan menyebabkan kerugian bisnis.

Pada halaman API Security, buka tab Policy Configuration > Lifecycle Management.
Atur kriteria untuk API tidak aktif, lalu klik OK.
- Klik Built-in Models.
  API dianggap tidak aktif berdasarkan kriteria bawaan jika API tersebut tidak diakses atau volume aksesnya turun secara signifikan selama 8 hari terakhir.
- Klik Custom dan atur volume akses harian dan durasi (maksimal 31 hari). API dianggap tidak aktif jika volume akses harian kurang dari nilai yang ditentukan dalam durasi kustom.
  API dianggap tidak aktif jika jumlah akses harian tetap di bawah angka tertentu selama durasi kustom.

Penting

Jika Last Active Time aset melebihi 30 hari, sistem akan secara otomatis menghapus aset tersebut beserta data risiko dan catatan peristiwa keamanan terkaitnya.

8. Langganan log

Setelah Anda mengaktifkan langganan log untuk informasi aset, risiko, atau peristiwa, log yang sesuai akan dikirimkan ke Logstore yang ditentukan di konsol Simple Log Service ketika kondisi pengiriman terpenuhi. Hal ini memungkinkan Anda mengelola dan menganalisis log secara terpusat menggunakan fitur Alibaba Cloud Simple Log Service (SLS).

Catatan

Saat ini, instans Web Application Firewall (WAF) di Daratan Tiongkok hanya dapat mengirimkan log ke Logstore SLS di Daratan Tiongkok. Instans WAF di luar Daratan Tiongkok hanya dapat mengirimkan log ke Logstore SLS di luar Daratan Tiongkok. Pengiriman log lintas wilayah antara Daratan Tiongkok dan wilayah lain tidak didukung.

Aktifkan peran terkait layanan

Jika Anda belum mengaktifkan peran terkait layanan untuk WAF, Anda harus melakukannya sebelum menggunakan layanan langganan log API Security. Ikuti petunjuk untuk mengaktifkan peran tersebut, yang memberikan izin kepada WAF untuk mengakses sumber daya cloud lainnya. Untuk informasi selengkapnya tentang peran terkait layanan, lihat Peran terkait layanan. Jika Anda telah memberikan otorisasi ini saat mengaktifkan fitur seperti Simple Log Service untuk WAF, Anda dapat melewati langkah ini.

Konfigurasi langganan log

Sebelum mengonfigurasi tugas langganan log untuk API Security, buka konsol Simple Log Service untuk membuat Project dan Logstore guna menerima log. Jika Anda telah membuat Logstore target dan memastikan bahwa Logstore tersebut mengikuti konvensi penamaan, Anda dapat melanjutkan ke langkah berikutnya.
Catatan
Fitur langganan log tidak mendukung penggunaan Logstore yang dibuat secara otomatis oleh SLS atau Logstore yang Anda beri nama "waf-logstore", "wafng-logstore", atau "wafnew-logstore" sebagai target langganan.
Setelah membuat Logstore, kembali ke tab langganan log untuk mengonfigurasi langganan informasi aset, informasi risiko, dan informasi peristiwa serangan Anda. Jika Anda ingin menganalisis dan mengkueri log yang dikirimkan ke Logstore yang ditentukan dari konsol SLS, Anda harus terlebih dahulu mengaktifkan pengindeksan seperti yang diminta. Untuk informasi selengkapnya, lihat Membuat indeks.
Pilih tipe log untuk tugas langganan, lalu klik tombol Configure untuk membuka halaman konfigurasi.
Pilih Wilayah, nama Project, dan nama Logstore untuk tugas langganan log Anda, lalu klik tombol OK untuk menyimpan konfigurasi. Setelah konfigurasi selesai dan log dihasilkan, Anda dapat membuka Logstore yang sesuai di konsol Simple Log Service untuk mengkueri dan menganalisis log. Jika Anda ingin melakukan transformasi data, seperti penyamaran data, lihat Transformasi data.
Jika Anda menonaktifkan tugas langganan log, tidak lagi memerlukan log yang ada, dan ingin menghindari biaya tambahan untuk Logstore, Anda dapat menonaktifkan tugas tersebut di tab Log Subscription lalu menghapus Logstore yang sesuai. Untuk informasi selengkapnya, lihat Bagaimana cara menonaktifkan Simple Log Service atau menghentikan penagihan?.

Bagian berikut menjelaskan kondisi pemicu dan field terperinci untuk tugas langganan log.

Penting

Anda mungkin dikenai biaya tambahan untuk membuat sumber daya cloud dan melakukan operasi seperti mengaktifkan pengindeksan di Simple Log Service. Biaya ini ditagihkan oleh Simple Log Service. Untuk informasi selengkapnya tentang item penagihan dan harga, lihat Ikhtisar penagihan Simple Log Service.
Biaya mungkin tetap dikenakan setelah Anda membuat Project atau Logstore, meskipun tidak ada tugas langganan log yang diaktifkan. Jika Anda yakin tidak lagi memerlukan Logstore yang dibuat, segera hapus untuk menghindari biaya tambahan. Untuk informasi selengkapnya, lihat Mengapa saya dikenai biaya hanya karena membuat Project dan Logstore?.

Log informasi aset

Kondisi pemicu:

Log informasi aset dikirimkan segera setelah aset API baru ditambahkan.
Jika tidak ada aset API baru yang ditambahkan, log informasi aset dikirimkan secara default setiap jam.

Field log informasi aset

Nama Bidang	Deskripsi	Format	Contoh
user_id	UID Pelanggan	string	123456
service_host	Nama Domain	string	api.aliyun.com
api_format	Jalur API	string	/api/v1/getuserbyid/${param}
request_method	Metode permintaan	string	GET
api_tag	Tujuan Bisnis	object []	['QueryInfo']
api_type	Objek Layanan	object []	['PublicAPI']
auth_key	Field autentikasi	object []	['id_token', 'access_token']
api_status	Siklus Hidup	string	NewbornInterface
api_sensitive_level	Tingkat sensitivitas API	string	L1
api_sensitive_req	Tipe data sensitif permintaan	object []	['1014', '1017', '1002']
api_sensitive_res	Tipe data sensitif tanggapan	object []	['1009', '1013', '1003', '1014', '1002']
farthest_ts	Waktu pertama kali ditemukan	long	1713237135
lastest_ts	Waktu aktif terakhir	long	1716452318
abnormal_num	Jumlah risiko	integer	1
event_num	Jumlah peristiwa	integer	2
struct_baseline	Struktur parameter	object	['{"key":"Trace-Id","location":"request_header","format":"string","required":"true"}', '{"key":"pageNum","location":"request_query","format":"integer","required":"true"}', '{"key":"tlogTraceId","location":"response_header","format":"integer","required":"true"}', '{"key":"Strict-Transport-Security","location":"request_header","format":"string","required":"true"}', '{"key":"X-Forwarded-ClientSrcPort","location":"request_header","format":"integer","required":"true"}', '{"key":"Trace-State","location":"request_header","format":"string","required":"true"}', '{"key":"auth","location":"request_header","format":"string","required":"true"}', '{"key":"Access-Control-Max-Age","location":"response_header","format":"integer","required":"true"}', '{"key":"Enterprise-Hash","location":"request_header","format":"string","required":"true"}', '{"key":"X-Request-ID","location":"header permintaan","format":"string","required":"true"}', ['{"key":"postName","location":"request_query","format":"string","required":"true"}', '{"key":"pageSize","location":"request_query","format":"integer","required":"true"}']
matched_hosts	Objek yang dilindungi	object []	['*.aliyun.com-waf']
hosts	Nama Domain	object []	['api.aliyun.com']
server_port	Port	object []	['443']
server_location	Negara server asal	object []	['CN']
api_id	ID API Unik	string	af418cb31036015fddea71b48d06aa4b
log_type	Tipe log	string	asset
request_header	Header Permintaan	JSON	{"Connection":"Keep-Alive","Host":"api.aliyun.com","eagleeye-rpcid":"0.1"}
querystring	Parameter URL permintaan	string	?token=7464f593205896e23b1286ba7532dcff
request_body	Body Permintaan	string	xxx=1
response_header	Header Respons	JSON	{"Accept-Ranges":["bytes","bytes"],"Cache-Control":"private, max-age=21600, no-transform"}
response_body	Body Respons	string	xxxx
example_timestamp	Timestamp contoh	long	1718546694
example_traceid	ID trace contoh	string	784e2ca717213678365778292e58de

Log informasi risiko

Kondisi pemicu: Saat informasi risiko baru terdeteksi, log informasi risiko dikirimkan ke Logstore yang Anda tentukan.

Field log informasi risiko

Nama Bidang	Deskripsi	Format	Contoh
user_id	UID Pelanggan	string	123456
service_host	Nama Domain	string	api.aliyun.com
api_format	Jalur API	string	/api/v1/login
request_method	Metode permintaan	string	POST
api_tag	Tujuan Bisnis	object []	['LoginAPI']
abnormal_tag	Nama Risiko	string	Risk_DefaultPasswd
abnormal_type	Tipe risiko (Kustom/Bawaan)	string	default
abnormal_level	Tingkat risiko	string	medium
abnormal_discover_ts	Waktu penemuan risiko	long	1716343432
abnormal_info	Informasi risiko	object	{'default_passwd':'aliyun123'}
api_id	ID API Unik	string	2c0f97e10b586208039e60671150bd9b
abnormal_id	ID risiko unik	string	8cfccc0e8c3d41aa1221e94a2fdeffe3
log_type	Tipe log	string	risk
matched_hosts	Objek yang dilindungi	object []	['*.aliyun.com-waf']
request_header	Header Permintaan	JSON	{"Connection":"Keep-Alive","Host":"api.aliyun.com","eagleeye-rpcid":"0.1"}
querystring	Parameter URL permintaan	string	?token=7464f593205896e23b1286ba7532dcff
request_body	Body Permintaan	string	xxx=1
response_header	Header Respons	JSON	{"Accept-Ranges":["bytes","bytes"],"Cache-Control":"private, max-age=21600, no-transform"}
response_body	Body Respons	string	xxxx
example_timestamp	Timestamp contoh	long	1718546694
example_traceid	ID trace contoh	string	784e2ca717213678365778****58de

Log informasi event serangan

Kondisi pemicu:

Saat peristiwa serangan baru terdeteksi, log informasi peristiwa serangan baru dikirimkan ke Logstore yang Anda tentukan.
Jika serangan berlanjut, log informasi peristiwa serangan dikirimkan ke Logstore yang Anda tentukan setiap 10 menit.

Field log informasi event serangan

Nama Bidang

Deskripsi

Format

Contoh

user_id

UID Pelanggan

string

123456

service_host

Nama Domain

string

api.aliyun.com

matched_host

Objek yang dilindungi

string

api.aliyun.com-waf

host

Nama Domain

string

api.aliyun.com

api_format

Jalur API

string

/api/admin/login

request_method

Metode permintaan

string

POST

api_tag

Tujuan Bisnis

object []

['AdminService', 'LoginService']

event_tag

Nama Event

string

Event_LoginCollision

event_origin

Tipe peristiwa (Kustom/Bawaan)

string

default

event_level

Tingkat peristiwa

string

high

start_ts

Waktu mulai serangan

long

1713886210

end_ts

Waktu akhir serangan

panjang

1713887817

attack_cnt

Total serangan

integer

147

attack_ip_info

Informasi IP penyerang

object []

['{'ip':'103.44.XX.XXX'', 'country_id':'HK', 'region_id':'-', 'cnt':'147'']

api_id

ID API Unik

string

4dfc73b37d2d645fe2ca7f45c08f7398

event_id

ID Event

string

f09f6802e9b57a58ebb9f1bea212027e

log_type

Tipe log

string

event

request_data

Contoh data permintaan

JSON

{'1002':['John Doe','Jane Smith','Chen Liu'],'1004':['13200000001','15200000002']}

response_data

Contoh data tanggapan

JSON

{'postarg.userId':['lisi111','zhangsan123'],'postarg.corpId':['wx1111111'],'postarg.externalUserid':['wm7_KpDgOm6Bm-BGA']}

Deskripsi nilai field langganan log

Untuk memahami arti nilai field dalam log atau melihat deskripsi yang sesuai di konsol selama analisis atau pengkuerian log, rujuk tabel berikut. Kolom Deskripsi menunjukkan nama field log sebagaimana muncul di konsol WAF.

Siklus Hidup (api_status)

Nilai Bidang	Deskripsi
NewbornInterface	Baru
OfflineInterface	Tidak Aktif
normal	Normal

Objek Layanan (api_type)

Nilai Bidang	Deskripsi
PublicAPI	Layanan Publik
ThirdpartAPI	Kerja Sama Pihak Ketiga
InternalAPI	Kantor Internal

Tujuan Bisnis (api_tag)

Nilai Field	Deskripsi
LoginByUserPasswd	Log on dengan nama pengguna dan kata sandi
LoginByPhoneCode	Log on dengan kode verifikasi ponsel
LoginByMailCode	Log on dengan kode verifikasi email
WeChatLogin	Log on dengan WeChat
AliPayLogin	Log on dengan Alipay
OAuthLogin	Autorisasi OAuth
OIDCLogin	Autorisasi OIDC
SAMLLogin	Autentikasi SAML
SSOLogin	Autorisasi SSO
LoginAPI	Layanan Logon
LogoutAPI	Log off
RegisterByUserPasswd	Daftar dengan nama pengguna dan kata sandi
RegisterByPhoneCode	Daftar dengan kode verifikasi ponsel
RegisterByMailCode	Daftar dengan kode verifikasi email
WeChatRegister	Daftar dengan WeChat
AliPayRegister	Daftar dengan Alipay
RegisterAPI	Layanan Pendaftaran
SendSMS	Kirim pesan teks
SendMail	Kirim email
ResetPasswd	Reset kata sandi
CheckVerifyCode	Verifikasi kode verifikasi
CheckStatus	Periksa status
QueryOrder	Kueri pesanan
ExportOrder	Ekspor pesanan
UpdateOrder	Perbarui pesanan
PayOrder	Bayar pesanan
QueryLog	Kueri log
UploadLog	Unggah log
DownloadLog	Ekspor log
LogService	Layanan Log
GraphQL	GraphQL
SqlService	Layanan SQL
Unggah Berkas	Unggah file
Unduh File	Unduh file
FileService	Layanan File
AdminService	Manajemen Backend
DashBoard	Dasbor
MonitorService	Layanan Pemantauan
SendInfo	Kirim informasi
CheckInfo	Periksa data
QueryInfo	Kueri data
UploadInfo	Unggah data
Informasi Unduhan	Unduh data
AddInfo	Tambah data
EditInfo	Edit data
InformasiPembaruan	Perbarui data
ShareInfo	Bagikan data
DeleteInfo	Hapus data
SyncInfo	Sinkronkan data
SubmitInfo	Kirim data
Salin Informasi	Salin data
AuditInfo	Audit data
SimpanInfo	Simpan data
CancelOp	Batalkan
StartOp	Mulai
BatchOp	Pemrosesan batch
PauseOp	Jeda
BindOp	Ikat
DebugOp	Debug
SetOp	Pengaturan
ShutDown	Matikan

Tipe Data Sensitif Permintaan/Tanggapan (api_sensitive_req, api_sensitive_res)

Nilai field	Deskripsi
1.000	KTP (Daratan Tiongkok)
1.001	Kartu Debit
1.002	Nama Lengkap (Bahasa Tionghoa Sederhana)
1003	Alamat (Daratan Tiongkok)
1.004	Nomor ponsel (Daratan Tiongkok)
1005	Kotak Surat
1006	Nomor Paspor (Daratan Tiongkok)
1007	Izin Keluar-Masuk untuk Hong Kong dan Makau
1.008	Nomor plat kendaraan (Daratan Tiongkok)
1.009	Nomor telepon (Daratan Tiongkok)
1010	Kartu identitas perwira militer
1.011	Jenis Kelamin
1.012	Grup Etnis
1.013	Provinsi (Daratan Tiongkok)
1.014	Kota (Daratan Tiongkok)
1.015	KTP (Hong Kong (Tiongkok))
1.016	Nama Lengkap (Bahasa Tionghoa Tradisional)
1017	Nama Lengkap (Bahasa Inggris)
1.018	KTP (Malaysia)
1.019	KTP (Singapura)
1.020	Kartu Kredit atau Debit
1.022	Kode SWIFT
1.023	SSN
1.024	Nomor Telepon (Amerika Serikat)
1.025	Keyakinan Agama
2.000	Alamat IP
2001	Alamat MAC
2002	String koneksi Java Database Connectivity (JDBC)
2003	Sertifikat PEM
2004	Kunci pribadi
2005	ID AccessKey
2006	Rahasia AccessKey
2007	Alamat IPv6
2009	Tanggal
2010	IMEI
2011	Identifikasi Peralatan Bergerak (MEID)
2013	File passwd Linux
2014	File shadow Linux
2015	URL
4.000	Nomor Izin Usaha
4001	Nomor Sertifikat Pendaftaran Pajak
4002	Kode Organisasi
4003	Kode Kredit Sosial Terpadu
4004	Nomor Identifikasi Kendaraan (VIN)

Tipe Risiko (risk)

Nilai Bidang	Deskripsi
RiskType_Spesifikasi	Spesifikasi Keamanan
Risk_UnsafeHttpMethod	Metode HTTP tidak aman
Risk_WeakSignAlgorithm	Algoritma tanda tangan JWT lemah
Risk_UrlParam	Parameter berupa URL
RiskType_Account	Keamanan Akun
Risk_PasswdUnencrypt	Kata sandi dikirimkan dalam teks biasa
Risk_WeakPasswd	Kata sandi lemah diizinkan
Risk_InternalWeakPasswd	Kata sandi lemah dalam aplikasi internal
Risk_DefaultPasswd	Kata sandi default ada
Risk_PasswdResponse	Mengembalikan kata sandi dalam teks biasa
Risk_PasswdCookie	Kata sandi disimpan dalam cookie
Risk_LoginRestrict	API logon tidak memiliki batasan
Risk_LoginPrompt	Pesan kegagalan logon tidak wajar
Risk_PasswdUrl	Nama pengguna dan kata sandi dikirimkan dalam URL
RiskType_Control	Kontrol Akses
Risk_InternalAPI	Aplikasi internal dapat diakses dari Internet
Risk_SourceRestrict	API tidak membatasi sumber akses
Risk_ClientRestrict	API tidak membatasi alat akses
Risk_SpeedRestrict	API tidak membatasi laju akses
RiskType_Permission	Manajemen Izin
Risk_WeakToken	Kredensial autentikasi lemah
Risk_UnauthSensitive	API sensitif tidak diautentikasi
Risk_UnauthInternalAPI	API internal mengizinkan akses tanpa autentikasi
Risk_TokenUrl	Informasi kredensial dikirimkan dalam URL
Risk_AkLeak	Kebocoran informasi AccessKey
RiskType_Sensitive	Perlindungan Data
Risk_SensitiveTypeExcessive	Mengembalikan jenis data sensitif berlebihan
Risk_SensitiveNumExcessive	Mengembalikan jumlah data sensitif berlebihan
Risk_InvalidDesensitize	Data sensitif tidak disamarkan secara efektif
Risk_ServerInfoLeak	Kebocoran informasi sensitif server
Risk_InternalIPLeak	Kebocoran alamat IP jaringan internal
Risk_SensitiveURL	Data sensitif dikirimkan dalam URL
RiskType_Design	Desain API
Risk_ParamTraverse	Parameter permintaan dapat dilalui
Risk_PageSize	Volume data yang dikembalikan dapat dimodifikasi
Risk_SqlAPI	Kueri database
Risk_RceAPI	API eksekusi perintah
Risk_SmsContent	Pengiriman konten pesan teks arbitrer
Risk_MailContent	Pengiriman konten email arbitrer
Risk_SmsVerifyCodeLeak	Kebocoran kode verifikasi pesan teks
Risk_MailVerifyCodeLeak	Kebocoran kode verifikasi email
Risk_FileDownload	Unduh file tertentu
Risk_ExceptionLeak	Kebocoran informasi pengecualian aplikasi
Risk_ExceptionSql	Kebocoran informasi pengecualian database

Tipe Event (event)

Nilai Bidang	Deskripsi
Event_AbnormalFrequency	Akses frekuensi sangat tinggi yang tidak normal
Event_ExceptionIPInvoke	IP tidak normal mengakses API internal
Event_ExceptionRegionInvoke	Wilayah tidak normal mengakses API internal
Event_ExceptionClientInvoke	Akses menggunakan alat tidak normal
Event_ExceptionTimeInvoke	Akses selama periode waktu tidak normal
Event_AbnormalParamValue	Akses dengan nilai parameter tidak normal
Event_InternalLoginWeakPasswd	Logon aplikasi internal dengan kata sandi lemah
Event_LoginAccountBruteForce	Brute-force nama pengguna
Event_LoginPasswdBruteForce	Brute-force kata sandi logon
Event_LoginCollision	Serangan kamus
Event_MobileVerifyBruteForce	Brute-force kode verifikasi pesan teks
Event_MailVerifyBruteForce	Brute-force kode verifikasi email
Event_AbnormalRegister	Pendaftaran batch
Event_SMSInterfaceAbuse	Konsumsi sumber daya pesan teks secara jahat
Event_EmailInterfaceAbuse	Konsumsi sumber daya email secara jahat
Event_AbnormalExport	Unduh batch
Event_DataTraverse	Menelusuri dan mengambil data API
Event_WebAttackAPI	Serangan jahat terhadap API
Event_ObtainSensitiveUnauthorized	Akses tidak sah ke data sensitif
Event_ObtainSensitiveExcessive	Mendapatkan data sensitif dalam jumlah besar
Event_CrossborderIPSensitiveExcessive	IP luar negeri mendapatkan data sensitif dalam jumlah besar
Event_ExceptionResponse	API mengembalikan pesan kesalahan tidak normal
Event_ExceptionSql	API mengembalikan pesan kesalahan database
Event_SystemInfoResponse	API mengembalikan informasi sensitif sistem
Event_AbnormalStatus	Status respons API tidak normal

9. Konfigurasi objek efektif

Langganan WAF

API Security menyediakan tiga sakelar di tingkat objek yang dilindungi atau grup objek yang dilindungi:

Sakelar Basic Detection: Sakelar ini diaktifkan secara default dan mengontrol apakah semua kebijakan deteksi bawaan dan kustom berlaku.
Sakelar Compliance Check: Sakelar ini dinonaktifkan secara default dan hanya dapat diaktifkan setelah sakelar Basic Detection diaktifkan. Sakelar ini mengontrol apakah fitur Compliance Check berlaku.
Sakelar Tracing and Auditing: Sakelar ini dinonaktifkan secara default dan hanya dapat diaktifkan setelah sakelar Basic Detection diaktifkan. Sakelar ini mengontrol apakah fitur Tracing and Auditing berlaku.

WAF bayar sesuai pemakaian

API Security menyediakan satu sakelar di tingkat objek yang dilindungi atau grup objek yang dilindungi:

Sakelar Basic Detection: Sakelar ini mengontrol apakah semua kebijakan deteksi bawaan dan kustom berlaku. Untuk menonaktifkan fitur API Security, Anda dapat mematikan sakelar Basic Detection untuk semua objek yang dilindungi dan grup objek yang dilindungi.