DDoS से बचाव की सुविधा

Apigee Edge का दस्तावेज़ देखा जा रहा है.
Apigee X के दस्तावेज़ पर जाएं. info

डिस्ट्रिब्यूटेड डिनायल ऑफ़ सर्विस (डीडीओएस) हमले, बड़े पैमाने पर और ज़्यादा आम होते जा रहे हैं. हाल ही में हुए हमलों में, ट्रैफ़िक का स्तर रिकॉर्ड स्तर पर पहुंच गया है. अनुमान है कि यह और भी ज़्यादा बढ़ सकता है. इन हमलों की संख्या बहुत ज़्यादा है. इसलिए, सभी को अपनी सुरक्षा की दोबारा जांच करनी पड़ी है. अब हैक किए गए IoT डिवाइसों का इस्तेमाल करके, डीडीओएस हमले पहले के मुकाबले ज़्यादा बड़े पैमाने पर किए जा रहे हैं.

Apigee के लिए DDoS से बचाव करने वाली सुविधाओं का मकसद, हर ग्राहक के डेटा सेंटर में मौजूद उसके एपीआई को सुरक्षित रखना है. Apigee Edge Cloud को ज़्यादा ट्रैफ़िक को स्वीकार करने के लिए बनाया गया है. साथ ही, यह एक फ़िल्टर की तरह काम करता है. यह फ़िल्टर, असली अनुरोधों को ग्राहक के डेटा सेंटर और उसके एपीआई इंटरफ़ेस तक पहुंचाता है. साथ ही, नुकसान पहुंचाने वाले ट्रैफ़िक को हटाता है, स्पाइक पर नज़र रखता है, दर को सीमित करता है, और हमले के दौरान हमारे ग्राहकों को ऑनलाइन रखता है.

Apigee, ट्रैफ़िक वॉल्यूम में अचानक होने वाली बढ़ोतरी का पता लगा सकता है. हालांकि, हम यह पता नहीं लगा सकते कि यह बढ़ोतरी किसी हमले की वजह से हुई है, किसी कैंपेन के सफल होने की वजह से हुई है या यह बढ़ोतरी, उपयोगकर्ताओं के लिए रिलीज़ किए गए किसी नए ऐप्लिकेशन की वजह से हुई है. Apigee, एपीआई कॉल की जांच करके यह पता नहीं लगाता कि कौनसे कॉल सही हैं और कौनसे कॉल शायद हमले हैं. एपीआई कॉल देखे जा सकते हैं. हालांकि, ऐसा करना Apigee की सामान्य कार्रवाइयों का हिस्सा नहीं है. हम ग्राहक के पेलोड की समीक्षा नहीं करते. ऐसा इसलिए, क्योंकि इससे ज़्यादातर ट्रैफ़िक, ग्राहकों, और उपयोगकर्ताओं की निजता का उल्लंघन होगा. Apigee को यह पता नहीं होता कि मंगलवार दोपहर को अचानक हुए स्पाइक की वजह कोई हमला है या ग्राहकों के ऐप्लिकेशन और सेवाओं को अचानक अपना लिया गया है. Apigee को स्पाइक दिख सकता है. हालांकि, ज़्यादा जानकारी और कॉन्टेक्स्ट के बिना, हम यह नहीं जान पाएंगे कि जवाब कैसे देना है. यह जानकारी और कॉन्टेक्स्ट, ग्राहकों के लिए तो उपलब्ध होता है, लेकिन Apigee के लिए उपलब्ध नहीं होता. सबसे खराब स्थिति यह होगी कि Apigee ने किसी हमले को सिर्फ़ इसलिए ब्लॉक कर दिया, ताकि यह पता चल सके कि यह मार्केटिंग की एक बड़ी सफलता थी. Apigee ने ऐप्लिकेशन को ब्लॉक करके, इस सफलता को खत्म कर दिया.

Apigee, डीडीओएस (DDoS) हमलों से बचाव कैसे करता है?

Apigee Edge, सुरक्षा टूलबॉक्स में मौजूद एक टूल है. यह टूल, ग्राहक के लिए उपलब्ध है. ग्राहक इसे अपनी ज़रूरत के हिसाब से कॉन्फ़िगर कर सकता है. इससे नुकसान पहुंचाने वाले ट्रैफ़िक को ब्लॉक किया जा सकता है. साथ ही, मान्य लेकिन बहुत ज़्यादा ट्रैफ़िक को सीमित किया जा सकता है. इसके अलावा, यह टूल ग्राहक के बैकएंड की तुलना में ज़्यादा तेज़ी से लोड को प्रोसेस कर सकता है. इससे ग्राहक के डेटा सेंटर पर ज़्यादा लोड नहीं पड़ता. Apigee Edge, ऐसी सुविधाएं देता है जिनकी मदद से हमारे ग्राहक, Apigee के पीछे मौजूद असली एपीआई सेवाओं को सुरक्षित रखने के लिए, बहुत खास सुरक्षा नीतियां बना सकते हैं. Edge, सुरक्षा की एक लेयर है. यह ज़रूरत के हिसाब से, ट्रैफ़िक में अचानक होने वाली बड़ी बढ़ोतरी (जैसे, डीडीओएस हमला) को झेल सकती है. साथ ही, बैकएंड (ग्राहकों के डेटा सेंटर) पर इसके असर को कम कर सकती है.

Apigee, हर ग्राहक के लिए हर कॉल के पेलोड को मैनेज और उसकी जांच नहीं करता. इसलिए, हमले की पहचान करने की ज़िम्मेदारी ग्राहक की होती है. हालांकि, किसी हमले का जवाब देने के लिए, ग्राहक और Apigee, दोनों के साथ मिलकर काम करना चाहिए. ज़रूरत पड़ने पर, Apigee क्लाउड सेवा देने वाली कंपनी (GCP या AWS) को भी शामिल कर सकता है.

Apigee, GCP, और AWS, किसी ग्राहक के लिए भेजे गए ट्रैफ़िक को ब्लैकहोल नहीं करेंगे. अगर Apigee को लगता है कि ट्रैफ़िक नुकसान पहुंचाने वाला है, तो हम ग्राहक से संपर्क करेंगे और उसकी मदद करेंगे. हालांकि, Apigee Edge के बड़े पैमाने पर इस्तेमाल होने की वजह से, सिर्फ़ ट्रैफ़िक की मात्रा के आधार पर ट्रैफ़िक को ब्लॉक नहीं किया जाता.

ग्राहक, Edge का इस्तेमाल करके ऐसी नीतियां बना सकते हैं जो हमलों (डीडीओएस शामिल है) से सुरक्षा करती हैं. ये नीतियां, पहले से मौजूद नहीं होती हैं. इसका मतलब यह होगा कि हर ग्राहक के एपीआई, डेटा या सेवाओं में कोई खास अंतर नहीं है. Apigee, ग्राहक से इनपुट लिए बिना इन नीतियों को चालू नहीं कर सकता. इसका मतलब है कि Apigee, ग्राहक के डेटा की समीक्षा कर रहा है और यह फ़ैसले ले रहा है कि कौनसी चीज़ मान्य है और कौनसी नहीं.

Edge एक टूल है, जिसका इस्तेमाल किया जा सकता है. इसका इस्तेमाल उन कामों के लिए किया जा सकता है जिनकी मदद से ग्राहक अपने एपीआई की सुरक्षा कर सकते हैं. हालांकि, एपीआई डिफ़ेंस के लिए ग्राहक को कुछ काम करना पड़ता है.

इसका मकसद, ग्राहक की एपीआई सेवाओं को सुरक्षित रखना है. यह Edge Cloud की सुविधाओं और क्षमताओं में से एक है.

असल में, अलग-अलग तरह के डीडीओएस ट्रैफ़िक को एपीआई से जितना हो सके उतना दूर ब्लॉक करना होता है:

• क्लाउड के नेटवर्क पर, खराब नेटवर्क पैकेट को ब्लॉक करना
• Edge प्लैटफ़ॉर्म लेयर पर, सही फ़ॉर्मैट वाले लेकिन अधूरे पैकेट को प्रोसेस करना
• Edge लेयर पर गलत तरीके से बनाए गए एपीआई कॉल को हटाना
• Edge में, सही तरीके से बनाए गए, लेकिन बिना अनुमति वाले कॉल को ब्लॉक करना
• Edge में सही तरीके से बनाए गए और अनुमति पा चुके, लेकिन ज़रूरत से ज़्यादा कॉल को ब्लॉक करना
• Sense का इस्तेमाल करके, सही तरीके से बनाई गई और मान्य कुंजियों का पता लगाएं. साथ ही, ऐसे मान्य एपीआई अनुरोधों का पता लगाएं जो आपके अनुमानित या अनुमति वाले ऐक्सेस से बाहर हैं
• सिर्फ़ मान्य, अनुमति वाले, स्वीकार किए जाने वाले, और मंज़ूरी वाली सीमाओं के अंदर के एपीआई कॉल को ग्राहक के डेटा सेंटर पर पास करें

आम तौर पर पूछे जाने वाले अन्य सवाल

क्या Apigee, (ip|country|url) को अस्वीकार की गई सूची में शामिल कर सकता है?

हां, अगर नीति को ग्राहक के Edge संगठन में Edge के लिए बनाया, कॉन्फ़िगर, और चालू किया गया है.

क्या Apigee, बॉट या इस तरह की अन्य नुकसान पहुंचाने वाली गतिविधियों का पता लगा सकता है?

Apigee, बॉट का पता लगाने की सेवा उपलब्ध कराता है. इसे Sense कहा जाता है.

क्या Apigee मेरे लिए ट्रैफ़िक को ब्लैकहोल करेगा?

Apigee, किसी ग्राहक के लिए तय किए गए ट्रैफ़िक को ब्लैकहोल नहीं करेगा. अगर Apigee को पता चलता है कि ट्रैफ़िक नुकसान पहुंचाने वाला है, तो हम ग्राहक से संपर्क करेंगे और उसकी मदद करेंगे. हालांकि, Apigee Edge और क्लाउड सेवाएं देने वाली हमारी कंपनियों (GCP और AWS) के बड़े पैमाने पर काम करने की वजह से, ज़्यादा ट्रैफ़िक आने पर भी ट्रैफ़िक को ब्लॉक नहीं किया जाता.

क्या Edge में, DoS या DDoS हमले को प्रोसेस किए गए एपीआई कॉल के तौर पर गिना जाता है?

Apigee Edge एक ऐसा समाधान है जो ग्राहक के बैकएंड सिस्टम का गलत इस्तेमाल रोकने में मदद करता है. इसलिए, हमला होने पर Edge, कॉन्फ़िगरेशन के आधार पर Apigee Cloud लेयर पर गलत इस्तेमाल को रोकने के लिए, कोटा/स्पाइक अरेस्ट/खतरे से सुरक्षा वगैरह लागू करेगा. एपीआई पासकोड और कोटे की सीमा के साथ, कोई व्यक्ति उस एपीआई को ऐक्सेस करना जारी रख सकता है. हमारी लेयर पर प्रोसेस किए गए हर एपीआई कॉल को प्रोसेस किया गया कॉल माना जाएगा. Apigee Edge, सुरक्षा टूलबॉक्स में मौजूद एक टूल है. यह ग्राहकों को डीडीओएस और अन्य तरह के हमलों से बचाता है.

डीडीओएस से बचाव के बारे में ज़्यादा जानकारी

1. GCP और AWS, नेटवर्क लेवल पर डीडीओएस से जुड़ी सहायता देते हैं. यह सहायता तब मिलती है, जब ज़रूरत होती है (बहुत बड़ा हमला).
   • Apigee, GCP और AWS पर सुरक्षा से जुड़े संपर्कों की जानकारी रखता है. इससे, अगर किसी हमले का जवाब देने के लिए GCP या AWS की सहायता की ज़रूरत होती है, तो Apigee उस जानकारी का इस्तेमाल कर सकता है.
2. Apigee Edge का इस्तेमाल, ऐसी नीतियां लागू करने के लिए किया जा सकता है जो ग्राहक के एपीआई को हमलों से बचाती हैं.
   • अनुरोध संख्या सीमित करने की सुविधा.
   • स्पाइक को डिफ्यूज़ करने से रोकना.
   • एक्सएमएल पेलोड के ज़रिए किए गए हमले का पता लगाना.
   • कुछ खास तरह के हमलों से बचने के लिए, अन्य नीतियां बनाई जा सकती हैं.
3. Edge, सुरक्षा के लिए ऑटो-स्केलिंग का इस्तेमाल करता है.
4. डीडीओएस हमले के दौरान, Apigee और ग्राहक (और GCP या AWS) को साथ मिलकर काम करना होगा. खुले तौर पर बातचीत करना ज़रूरी है. साथ ही, Apigee की सहायता टीम के पास हर समय सुरक्षा से जुड़े संसाधन उपलब्ध होते हैं.

डीडीओएस हमले के दौरान, Apigee Edge का इस्तेमाल करके हमले को रोकने में मदद मिलती है. इसके लिए, स्पाइक अरेस्ट, रेट लिमिटिंग, और सोर्स आईपी पतों को ब्लॉक करने जैसी सुविधाएं चालू की जाती हैं. डीडीओएस (DDoS) हमले से बचने के लिए, Edge में कई टूल उपलब्ध हैं.

अगर हमला काफ़ी बड़ा है, तो Apigee, ग्राहक के साथ मिलकर काम कर सकता है. इसके लिए, वह क्लाउड सेवा देने वाली सही कंपनी से संपर्क करके "अपस्ट्रीम सहायता" मांग सकता है. हर डीडीओएस हमला अलग होता है. इसलिए, हमले के दौरान ही यह तय किया जाएगा कि इससे कैसे निपटा जाए. हालांकि, एस्केलेशन में मदद करने के लिए सबसे सही तरीके और ज़रूरी जानकारी, AWS पर सेवा में रुकावट डालने वाले हमले को कम करना लेख में दी गई है.

ध्यान रखें कि सबसे ज़रूरी है:

हमलों से बचने के लिए प्लान बनाएं. याद रखें, हमें साथ मिलकर काम करना है. जिन ग्राहकों को लगता है कि उन पर हमला हो रहा है उन्हें टिकट खोलना चाहिए और Apigee से मदद का अनुरोध करना चाहिए.

GCP

Apigee, डीडीओएस से सुरक्षा और इसे कम करने के सबसे सही तरीकों में बताए गए GCP के सुरक्षा उपायों का इस्तेमाल करता है. जैसे:

• वर्चुअल नेटवर्क
• फ़ायरवॉल के नियम
• लोड बैलेंसिंग

AWS

AWS, डीडीओएस हमलों से बचने के सबसे सही तरीके और अटैक सरफ़ेस को कम करके डीडीओएस हमलों से बचने का तरीका पब्लिश करता है. Apigee, इनमें से कई कुकी का इस्तेमाल करता है. ये कुकी, हमारे एनवायरमेंट पर लागू होती हैं:

• VPC
• सुरक्षा से जुड़े ग्रुप
• ACL
• Route53
• लोड बैलेंसिंग