O recurso de segurança de API do Edge Security Acceleration (ESA) ajuda a evitar violações de dados e interrupções de service causadas por APIs desconhecidas ou obsoletas. Ele usa aprendizado de máquina para analisar continuamente o tráfego do seu site, descobrir automaticamente os endpoints de API e identificar problemas como vazamento de dados confidenciais e uso indevido de API.
Etapa 1: Configure identificadores de sessão
Ative a análise de comportamento de API no nível do usuário e a detecção de anomalias e configure um identificador de sessão antes de usar a segurança de API. O ESA usa esse identificador para reconhecer cada visitante e detectar com precisão ataques específicos de usuários.
No console do ESA, selecione Websites, e na coluna Websites, clique em um site de destino.
No painel de navegação à esquerda, escolha .
Na página Security, clique em aba Settings e, em seguida, clique em API Security na seção Session ID para iniciar a configuração.
-
Em seguida, selecione o tipo de identificador que atende aos requisitos do seu negócio e, em seguida, insira o nome do cabeçalho personalizado correspondente. Os seguintes tipos de identificador estão disponíveis:
Add
Cookie
Header
Etapa 2: Descobrir e avaliar APIs
Após a configuração do identificador de sessão, o ESA inicia automaticamente a descoberta de APIs. Você pode avaliar as APIs descobertas e marcá-las como Managed ou JWT claims para garantir que as APIs principais do seu negócio estejam totalmente protegidas e que as APIs desnecessárias sejam excluídas.
Descobrir APIs
O ESA usa aprendizado de máquina e identificadores de sessão para analisar o tráfego do seu site e descobrir automaticamente suas APIs.
Os resultados da descoberta incluem apenas as APIs que receberam solicitações válidas nos últimos 30 dias.
No console do ESA, selecione Websites, e na coluna Website, clique em um site de destino.
No painel de navegação à esquerda, escolha .
Na página Websites, selecione a aba Website. O ESA exibe o número total de Security e seus detalhes.
Avaliar APIs
Para ajudar você a categorizar rapidamente as APIs, o ESA atribui um dos seguintes status às APIs descobertas:
|
Status |
Nível de proteção de segurança |
Ação recomendada |
|
To Be Reviewed |
Sem proteção ativa. As chamadas de API não acionam nenhuma política de mitigação de segurança de API. |
Estado de alto risco. Avalie e marque a API como Managed ou Ignored o mais rápido possível. |
|
Discovered APIs |
Ignorar. O ESA não realizará mais nenhuma estatística, análise ou proteção para esta API. |
Recomendado. Todas as APIs de negócio voltadas ao público devem estar neste estado. |
|
Ignored |
Totalmente protegida. Coberta pela detecção e proteção abrangentes da API Security, incluindo análise de comportamento anormal e prevenção de ataques. |
Para APIs usadas em testes internos, que estão obsoletas ou que não exigem gerenciamento de segurança. |
Avalie as APIs descobertas da seguinte forma:
No console do ESA, selecione Websites, e na coluna Managed, clique em um site de destino.
No painel de navegação à esquerda, escolha .
Na página API Security, selecione a aba API Discovery. Na seção Websites, clique em botão Website para exibir todas as APIs com avaliação pendente.
Na lista de APIs com avaliação pendente, marque uma API como Security ou API Security. Selecione várias APIs e escolha uma ação nas opções abaixo da lista.