בקשות של לקוחות לבדיקות אבטחה

הדף הזה רלוונטי ל-Apigee ול-Apigee Hybrid.

לעיון במסמכי התיעוד של Apigee Edge

בדיקה של Apigee לפי בקשת לקוח

‫Apigee מאפשרת ללקוחות שלנו לסרוק או לבדוק את נקודות הקצה שלהם ב-Apigee, ואפילו מעודדת אותם לעשות זאת. אנחנו מבקשים לקבל הודעה על הסריקה רק כדי שנדע על הסריקה במקרה שהיא תגרום לבעיה בשירותים שלכם. כדי להודיע ל-Apigee על הבדיקה המתוכננת, צריך לפתוח כרטיס תמיכה לפחות יום עסקים לפני תחילת הבדיקה ולספק את הפרטים הבאים:

• תאריך הבדיקות (תאריך התחלה ותאריך סיום משוער כולל אזור זמן)
• שם האדם או החברה שמבצעים את הבדיקה
• פרטים ליצירת קשר עם האדם שמבצע את הבדיקה
• כתובות ה-IP של המקור של הבדיקה
• כתובות ה-IP של היעד או של המערכות שנבדקות (שמות של נקודות קצה ב-API)

הבדיקות לא נאסרות באופן ספציפי בהסכמי לקוחות. לא יישלחו אימיילים לאישור ולא ייחתמו מכתבי הרשאה, כי אין איסור על הלקוח לבדוק את נקודות הקצה וההגדרות שלו ב-Apigee.

אם לקוחות מוצאים במהלך הבדיקות נקודות חולשה שלדעתם נובעות מפלטפורמת Apigee עצמה, אנחנו מבקשים מהם לשלוח את המידע הזה ל-Apigee באמצעות כרטיס תמיכה רגיל. כשפותחים כרטיס תמיכה, אפשר לעקוב אחרי הבעיה, להעביר אותה לטיפול ברמה גבוהה יותר ולפתור אותה בהתאם.

אחרי שהלקוחות שולחים דוח על פגיעות בתהליך התמיכה הרגיל של Apigee, צוות התמיכה בודק את הכרטיס ומעביר אותו לצוותי האבטחה וההנדסה לפי הצורך. הלקוחות אמורים לקבל תשובה בכרטיס התמיכה, אבל יכול להיות שיישלח המשך טיפול ישירות מאבטחה או מהנדסה של Google אם יידרש מידע נוסף על הפגיעות שדווחה.

סריקה של Apigee על ידי Google

מערכת Apigee סורקת את Apigee מדי שבוע. עם זאת, הסריקות האלה מיועדות לשימוש פנימי ולא משותפות עם הלקוחות. הסריקות של Google בודקות נקודות קצה שחשופות לציבור ואת התשתית הפנימית. בסריקות האלה מחפשים תיקוני אבטחה חסרים, נקודות חולשה, מארחים שההגדרה שלהם שגויה, הגדרות TLS לא טובות וכו'. הם חלק מהמחויבות של Google ל "אבטחת הפלטפורמה".

אם נזהה משהו שקשור ישירות ללקוח וברור שההגדרה שלו שגויה, נודיע על כך ללקוח. אבל מכיוון שהלקוחות משתמשים בהגדרות של טקסט גלוי ו-TLS, וחלק מהלקוחות משתמשים ב-Apigee לנתונים ציבוריים ואחרים משתמשים ב-Apigee לנתוני PCI, לנתונים רפואיים או לסוגים אחרים של פרטים אישיים מזהים, אנחנו לא יכולים לקבוע מה מתאים תמיד לכל הלקוחות שלנו.

לקוחות לא יכולים להשתמש בסריקות האלה של Google כדי לעמוד בדרישות של בדיקת נאותות משלהם, כמו בדיקת נקודות הקצה ואימות הגדרות אבטחה, כפי שנדרש על ידי PCI ותקנים אחרים בתחום או תקנים רגולטוריים.

מומלץ ללקוחות לבצע בדיקות משלהם של נקודות קצה ב-Apigee לצורך אבטחה או תאימות. הוראות מפורטות מופיעות בקטע בדיקות של Apigee לפי בקשת לקוח במסמך הזה.

בדיקות לקוחות של Apigee Hybrid

לקוחות Apigee hybrid יכולים לבדוק את התוכנה כי היא נמצאת ברשתות שלהם. אין הגבלות על בדיקות של מערכות או שירותים שמנוהלים ישירות על ידי הלקוח.

עם זאת, כתוצאה מכך, לקוחות Apigee hybrid לא מקבלים דוחות בדיקה מ-Apigee. ‫Apigee כן מבצעת סריקה של קוד Apigee לאיתור תוכנות זדוניות לפני שהיא מפרסמת אותו ללקוחות.

ללקוחות היברידיים, שירותי עיבוד ה-API נמצאים ברשת של הלקוח, ואילו ממשק הניהול נמצא ב-Apigee Cloud. בקטע בדיקות של Apigee Cloud לפי בקשת לקוח במסמך הזה מפורטות ההגבלות על בדיקות של ממשק הניהול.

בדיקות של לקוחות בפורטלי מפתחים בחסות Apigee שמארחים ב-Pantheon או ב-Acquia

לקוחות יכולים לבצע בדיקות חדירה בפורטלים שלהם שמארחים Pantheon או Acquia. קודם צריך להודיע ל-Apigee ול-Pantheon (או ל-Acquia). הלקוחות יכולים לעשות זאת באמצעות פתיחת כרטיס תמיכה ב-Apigee.

הלקוחות צריכים לספק לצוות התמיכה את הפרטים הבאים לגבי הבדיקה המתוכננת:

• תאריך הבדיקות (תאריך התחלה ותאריך סיום משוער כולל אזור זמן)
• שם האדם או החברה שמבצעים את הבדיקה
• פרטים ליצירת קשר עם האדם שמבצע את הבדיקה
• כתובות ה-IP של המקור של הבדיקה
• שמות וכתובות URL של אתרים ב-Pantheon שנבדקים