Integração com o Akamai API Security

Se você usa o Akamai API Security, pode conectá-lo aos seus gateways Sensedia para que o Akamai descubra e monitore suas APIs a partir do tráfego real. Com a integração habilitada, toda requisição que passa pelos seus gateways é encaminhada ao Akamai API Security como metadado de tráfego — sem agente para instalar, sem mudança nas suas APIs e sem mudança na forma como seus consumidores as chamam.

O Akamai então monta um inventário das suas APIs, atribui pontuações de risco e gera alertas e incidentes de segurança a partir do que observa.

O tráfego é enviado para descoberta e monitoramento — a integração não aplica políticas do Akamai nos seus gateways Sensedia e não bloqueia requisições. Por padrão, a integração envia metadados de tráfego; os corpos de requisição e de resposta são enviados apenas para as APIs que têm o interceptor de Log habilitado. Veja Quais dados são enviados.

Como funciona

Seus gateways já publicam um evento de analytics para cada requisição que atendem. A integração adiciona um exporter dedicado que lê esses eventos e os encaminha ao Akamai API Security:

  1. Uma requisição chega a um dos seus gateways e é atendida normalmente.

  2. O gateway publica um evento de analytics dessa requisição.

  3. O exporter do Akamai lê o evento, converte para o formato que o Akamai espera e envia ao seu engine do Akamai.

Vale conhecer algumas propriedades desse fluxo, porque elas explicam o que você vai e o que não vai ver:

  • Seu tráfego de API nunca é afetado. O exporter roda fora do caminho da requisição. Ele não adiciona latência às suas APIs e não pode bloquear nem atrasar uma chamada ao seu backend.

  • Os eventos são enviados em lotes — até 100 eventos ou a cada 500 milissegundos, o que ocorrer primeiro. Por isso os contadores do lado do Akamai são atualizados com um pequeno atraso, e não instantaneamente.

  • A entrega é best-effort. Se o seu engine do Akamai estiver inacessível, os eventos afetados são descartados, em vez de reenviados ou enfileirados. Você perde visibilidade nesse período; seu tráfego de API não é afetado.

  • Cada ambiente é isolado. As credenciais e o engine de destino são configurados por ambiente, e um ambiente que não foi explicitamente habilitado não envia nada.

Quais dados são enviados

Para cada requisição atendida pelos seus gateways, a integração envia:

  • Método HTTP

  • Path e query string da requisição

  • Headers de requisição e de resposta

  • Código de status da resposta

  • Timestamps

Envio de corpos de requisição e resposta

Além dos metadados acima, a integração pode enviar os corpos de requisição e de resposta ao Akamai. O envio de corpos é opt-in por API: ele acontece apenas para as APIs que têm o interceptor de Log configurado nos fluxos de requisição e de resposta.

Ao habilitar o interceptor de Log, o corpo da API passa a ser incluído no evento de analytics que o exporter encaminha ao Akamai. Isso permite ao Akamai analisar o conteúdo das chamadas — por exemplo, para classificação de dados sensíveis — além dos metadados.

  • O envio de corpos herda o mascaramento já configurado na sua API: se você usa o interceptor de Log Obfuscation ou outras técnicas de mascaramento, o corpo enviado ao Akamai respeita essas regras.

  • APIs sem o interceptor de Log continuam enviando apenas metadados.

Como configurar a integração

Para configurar a integração, você precisa de uma subscrição ativa do Akamai API Security, com permissão para criar integrações na plataforma do Akamai.

A habilitação da integração começa por um ticket de suporte. Abra o ticket antes de começar, ou logo depois de coletar as credenciais nos passos abaixo — o time da Sensedia precisa delas para concluir a configuração.

Configuração

A configuração acontece em dois lugares: você cria a traffic source da Sensedia no Akamai API Security e depois envia as credenciais resultantes para a Sensedia.

  1. Crie a traffic source da Sensedia no Akamai

    No Akamai API Security, adicione uma integração de traffic source usando o tile Sensedia e selecione o engine de destino para onde ela deve enviar o tráfego. Consulte a documentação do Akamai para localizar essas opções.

  2. Defina x-forwarded-host como header do host original

    Nas configurações da integração, configure x-forwarded-host como a primeira entrada usada para determinar o host original.

    O tráfego chega ao Akamai a partir do seu gateway, então sem isso o inventário mostra um único host: o do gateway. Com isso, cada API descoberta aparece com o seu próprio hostname. Configure antes de enviar tráfego de produção: a definição vale apenas para APIs descobertas depois da mudança.

  3. Colete as credenciais

    Na integração que você acabou de criar, colete o engine URL, o source index e a source key.

  4. Abra um ticket de suporte com a Sensedia

    Abra um ticket no Suporte da Sensedia solicitando a integração com o Akamai API Security e inclua:

    • O ambiente que você quer monitorar

    • O engine URL e o source index do passo anterior

    • A source key, compartilhada por um canal seguro — ela é um segredo, então não a cole no corpo do ticket a menos que seu canal de suporte seja aprovado para credenciais

    A Sensedia configura as credenciais do seu ambiente e o habilita.

  5. Confirme que o tráfego está chegando

    No Akamai API Security, confirme que sua integração está recebendo tráfego e que a contagem de requisições cresce conforme o tráfego flui. Aguarde alguns minutos depois das primeiras requisições.

Rotação da source key

Se você rotacionar a source key da sua integração no Akamai, envie a nova chave ao Suporte da Sensedia por um canal seguro.

Até que a nova chave esteja configurada do lado da Sensedia, o Akamai rejeita os eventos que enviamos. Como a entrega é best-effort e sem retry, esses eventos são descartados — não ficam enfileirados e não podem ser recuperados depois.

Solução de problemas

Não chega tráfego nenhum

A causa mais comum é o ambiente não ter sido habilitado do lado da Sensedia — ambientes não enviam nada até serem habilitados explicitamente. Confirme com o Suporte da Sensedia que seu ambiente está ativo e que o engine URL, o source index e a source key configurados para ele são os mesmos da sua integração no Akamai.

O tráfego parou de chegar depois que eu rotacionei a source key

Os eventos enviados com a chave anterior são rejeitados pelo Akamai, e o exporter não os reenvia. Envie a nova source key ao Suporte da Sensedia por um canal seguro; o tráfego volta assim que a credencial for atualizada no seu ambiente. Os eventos atendidos enquanto as chaves não coincidiam não são recuperados.

O Akamai aceita o tráfego, mas nenhuma API é descoberta

Isso pode acontecer quando o traffic source type configurado do lado da Sensedia não é o mesmo emitido para a integração da Sensedia. Confirme com o Suporte da Sensedia.

O Akamai recebe o tráfego, mas não vejo os corpos das requisições

Os corpos são enviados apenas para APIs com o interceptor de Log habilitado nos fluxos de requisição e de resposta. Confirme que o interceptor está configurado na API cujos corpos você espera ver. APIs sem o interceptor enviam apenas metadados.

A contagem de requisições no Akamai não bate com o que meu gateway atendeu

Os eventos são entregues em lotes, então uma diferença logo depois de um pico de tráfego é esperada. Uma diferença que persiste pode indicar que eventos foram descartados porque o engine do Akamai estava inacessível.

Thanks for your feedback!
EDIT

Share your suggestions with us!
Click here and then [+ Submit idea]