Sie lesen gerade die Dokumentation zu Apigee Edge.
Apigee X-Dokumentation aufrufen. info
DDoS-Angriffe (Distributed Denial of Service) werden immer größer und häufiger. Bei den jüngsten Angriffen wurden Rekordmengen an Traffic verzeichnet und es wird erwartet, dass sich die Situation weiter verschlimmern wird. Die schiere Größe dieser Angriffe hat alle dazu veranlasst, ihre Sicherheitsmaßnahmen neu zu bewerten. Durch die Verwendung kompromittierter IoT-Geräte sind DDoS-Angriffe heute viel größer als bisher möglich.
Ziel der DDoS-Abwehrmaßnahmen für Apigee ist es, die Kunden-APIs im Rechenzentrum jedes Kunden zu schützen. Apigee Edge Cloud ist darauf ausgelegt, große Mengen an Traffic zu verarbeiten und als Filter zu fungieren, der dafür sorgt, dass echte Anfragen an das Rechenzentrum und die API-Schnittstellen eines Kunden weitergeleitet werden. Gleichzeitig wird schädlicher Traffic blockiert, es wird auf Spitzen geachtet, die Ratenbegrenzung wird verwaltet und unsere Kunden bleiben während des Angriffs online.
Apigee kann Spitzen im Trafficvolumen erkennen, aber wir können nicht feststellen, ob es sich dabei um einen Angriff, eine erfolgreiche Kampagne oder eine neue Anwendung handelt, die für Endnutzer veröffentlicht wurde. Apigee untersucht API-Aufrufe nicht aktiv, um festzustellen, welche Aufrufe legitim sind und welche wahrscheinlich Angriffe sind. Es ist möglich, API-Aufrufe zu analysieren, dies ist jedoch nicht Teil des normalen Betriebs von Apigee. Wir prüfen keine Kunden-Payloads, da dies für die meisten Zugriffe, Kunden und Endnutzer einen Datenschutzverstoß darstellen würde. Apigee weiß nicht, ob ein bestimmter Spike am Dienstagnachmittag auf einen Angriff oder eine plötzliche erfolgreiche Einführung der App und Dienste des Kunden zurückzuführen ist. Apigee kann den Anstieg sehen, aber ohne zusätzliche Details und Kontext, die für Kunden offensichtlich sind, aber Apigee nicht zur Verfügung stehen, wissen wir nicht, wie wir reagieren sollen. Ein Worst-Case-Szenario wäre, wenn Apigee einen Angriff blockiert und sich dann herausstellt, dass es sich um einen großen Marketingerfolg handelte, den Apigee durch das Blockieren der App während ihrer Hochphase zunichte gemacht hat.
Wie geht Apigee beim DDoS-Schutz vor?
Apigee Edge ist ein Tool in der Sicherheits-Toolbox. Der Kunde kann das Tool nach Bedarf konfigurieren, um schädlichen Traffic zu blockieren, gültigen, aber übermäßigen Traffic zu begrenzen oder Lasten schneller zu verarbeiten, als das Backend des Kunden reagieren kann, und so zu verhindern, dass das Rechenzentrum des Kunden überlastet wird. Apigee Edge bietet Funktionen, mit denen unsere Kunden sehr spezifische Sicherheitsrichtlinien erstellen können, um die tatsächlichen API-Dienste hinter Apigee zu schützen. Edge ist eine defensive Ebene, die nach Bedarf skaliert werden kann, um große Trafficspitzen (z. B. einen DDoS-Angriff) abzufangen und gleichzeitig die Auswirkungen auf das Backend (die Rechenzentren der Kunden) zu begrenzen.
Da Apigee die Nutzlast jedes Aufrufs für jeden Kunden nicht verwaltet und untersucht, liegt die Fähigkeit, einen Angriff zu erkennen, beim Kunden. Die Reaktion auf einen Angriff sollte jedoch sowohl mit dem Kunden als auch mit Apigee koordiniert werden. Bei Bedarf kann Apigee sogar den Cloud-Anbieter (GCP oder AWS) einbeziehen.
Apigee, GCP und AWS leiten Traffic, der für einen Kunden bestimmt ist, nicht ins Leere. Wenn Apigee feststellt, dass der Traffic schädlich ist, werden wir den Kunden kontaktieren und ihm unsere Unterstützung anbieten. Aufgrund der Größe von Apigee Edge ist das einfache Trafficvolumen jedoch kein Auslöser zum Blockieren von Traffic.
Kunden können Edge verwenden, um Richtlinien zu erstellen, die vor Angriffen (einschließlich DDoS) schützen. Diese Richtlinien sind nicht standardmäßig enthalten. Das würde bedeuten, dass die APIs, Daten oder Dienste jedes Kunden nicht einzigartig sind. Apigee kann diese Richtlinien nicht ohne Eingabe des Kunden aktivieren. Das würde bedeuten, dass Apigee die Daten des Kunden prüft und Entscheidungen darüber trifft, was gültig ist und was nicht.
Edge ist ein Tool, das verwendet werden kann, um die APIs von Kunden zu schützen. Die API-Sicherheit erfordert jedoch einige Maßnahmen seitens des Kunden.
Ziel ist es, die API-Dienste von Kunden zu schützen. Das ist eine der Funktionen von Edge Cloud.
Es geht darum, verschiedene Arten von DDoS-Traffic so weit wie möglich von den eigentlichen APIs entfernt zu blockieren:
- Fehlerhafte Netzwerkpakete im Netzwerk der Cloud blockieren
- Eine Flut von korrekt formatierten, aber unvollständigen Paketen auf der Edge-Plattformebene aufnehmen
- Fehlerhafte API-Aufrufe auf der Edge-Ebene verwerfen
- Blockieren von ordnungsgemäß formatierten, aber nicht autorisierten Anrufen in Edge
- Blockieren von ordnungsgemäß formatierten und autorisierten, aber übermäßigen Aufrufen in Edge
- Sense verwenden, um korrekt formatierte, gültige Schlüssel und gültige API-Anfragen zu erkennen, die außerhalb Ihres erwarteten oder zulässigen Zugriffs liegen
- Leiten Sie nur gültige, autorisierte, akzeptable und innerhalb der genehmigten Grenzwerte liegende API-Aufrufe an das Kundendatencenter weiter.
Weitere häufig gestellte Fragen
Kann Apigee eine Denylisting von (IP|Land|URL) durchführen?
Ja, wenn die Richtlinie in der Edge-Organisation des Kunden in Edge erstellt, konfiguriert und aktiviert wird.
Kann Apigee Bots oder ähnliche schädliche Aktivitäten erkennen?
Apigee bietet einen Dienst zur Bot-Erkennung namens Sense.
Wird der Traffic für mich von Apigee blockiert?
Apigee leitet Traffic, der für einen Kunden bestimmt ist, nicht ins Leere. Wenn Apigee feststellen kann, dass der Traffic schädlich ist, werden wir den Kunden kontaktieren und ihm Hilfe anbieten. Aufgrund der Größe von Apigee Edge und unserer Cloud-Anbieter (GCP und AWS) ist das schiere Traffic-Volumen jedoch kein Auslöser für das Blockieren von Traffic.
Werden DoS- oder DDoS-Angriffe in Edge als verarbeitete API-Aufrufe gezählt?
Apigee Edge ist eine Lösung, die dazu beiträgt, Missbrauch von Backend-Systemen von Kunden zu verhindern. Im Falle eines Angriffs erzwingt Edge daher je nach Konfiguration Kontingente, Spike Arrest und Bedrohungsschutz, um den Missbrauch auf der Apigee Cloud-Ebene abzufangen. Nutzer mit einem gültigen API-Schlüssel, die das Kontingentlimit nicht überschreiten, können weiterhin auf die API zugreifen. Jeder API-Aufruf, der auf unserer Ebene verarbeitet wird, zählt als verarbeiteter Aufruf. Apigee Edge ist ein Tool im Sicherheits-Toolkit, mit dem Kunden sich vor DDoS- und anderen Angriffen schützen können.
Detaillierte Informationen zum DDoS-Schutz
- GCP und AWS bieten bei Bedarf (bei einem sehr großen Angriff) DDoS-Unterstützung auf Netzwerkebene.
- Apigee unterhält Sicherheitskontakte bei GCP und AWS für Eskalierungen und Reaktionen, wenn GCP- oder AWS-Unterstützung erforderlich ist, um auf einen Angriff zu reagieren.
- Mit Apigee Edge können Richtlinien implementiert werden, die Kunden-APIs vor Angriffen schützen.
- Ratenbegrenzung.
- Spike Arrest-Fehler
- Erkennung von Angriffen auf XML-Nutzlasten
- Andere Richtlinien können geschrieben werden, um sich vor bestimmten Angriffen zu schützen.
- Edge nutzt Autoscaling als Funktion in unserer Verteidigung.
- Apigee und der Kunde (und GCP oder AWS) müssen bei einem DDoS-Angriff zusammenarbeiten. Offene Kommunikation ist wichtig und das Apigee-Supportteam kann jederzeit auf Sicherheitsressourcen zugreifen.
Die erste Reaktion auf einen DDoS-Angriff besteht darin, Apigee Edge zu verwenden, um den Angriff abzuwehren. Dazu können Sie die Funktionen „Spike Arrest“, Ratenbegrenzung und sogar die Sperrliste für Quell-IP-Adressen aktivieren. Es gibt viele Tools in Edge, mit denen Sie sich vor DDoS-Angriffen schützen können.
Wenn der Angriff ein ausreichend großes Volumen hat, kann Apigee mit dem Kunden zusammenarbeiten, um den Fall an den entsprechenden Cloud-Anbieter zu eskalieren und „Upstream-Unterstützung“ zu erhalten. Da jeder DDoS-Angriff einzigartig ist, wird die Reaktion während des Angriffs festgelegt. Best Practices und Details, die für die Eskalierung erforderlich sind, sind jedoch unter Denial of Service Attack Mitigation on AWS dokumentiert.
Denken Sie daran:
Einen Plan für Angriffe erstellen: Denken Sie daran, dass wir alle im selben Boot sitzen. Kunden, die vermuten, dass sie angegriffen werden, sollten ein Ticket erstellen und die Unterstützung von Apigee anfordern.
GCP
Apigee nutzt die von GCP bereitgestellten Schutzmaßnahmen, wie in den Best Practices for DDoS Protection and Mitigation on Google Cloud Platform beschrieben, z. B.:
- Virtuelle Netzwerke
- Firewallregeln
- Load Balancing
AWS
AWS veröffentlicht Best Practices für DDoS-Resilienz und Vorbereitung auf DDoS-Angriffe durch Verkleinerung der Angriffsfläche. Apigee verwendet mehrere dieser Variablen, die für unsere Umgebung gelten:
- VPC
- Sicherheitsgruppen
- ACLs
- Route53
- Load Balancing