Wyświetlasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. info
Ataki typu DDoS stają się coraz większe i częstsze. Ostatnie ataki osiągnęły rekordowe poziomy natężenia ruchu i przewiduje się, że sytuacja będzie się pogarszać. Ogromna skala tych ataków sprawiła, że wszyscy ponownie ocenili swoje zabezpieczenia. Dzięki wykorzystaniu przejętych urządzeń IoT ataki DDoS są teraz znacznie większe niż wcześniej.
Celem ochrony przed atakami DDoS w przypadku Apigee jest ochrona interfejsów API klientów w każdym centrum danych klienta. Apigee Edge Cloud jest zaprojektowany tak, aby przyjmować duże ilości ruchu i być filtrem, który przepuszcza rzeczywiste żądania do centrum danych klienta i jego interfejsów API, a jednocześnie odrzuca złośliwy ruch, monitoruje nagłe wzrosty, zarządza ograniczeniami szybkości i zapewnia klientom dostępność online podczas ataku.
Apigee może wykrywać nagłe wzrosty natężenia ruchu, ale nie możemy określić, czy jest to atak, udana kampania czy nowa aplikacja udostępniona użytkownikom. Apigee nie analizuje aktywnie wywołań interfejsu API, aby określić, które z nich są prawidłowe, a które prawdopodobnie stanowią ataki. Można sprawdzić wywołania interfejsu API, ale nie jest to część normalnych operacji Apigee. Nie sprawdzamy ładunków klientów, ponieważ w przypadku większości ruchu, klientów i użytkowników naruszałoby to ich prywatność. Apigee nie wie, czy nagły wzrost w poniedziałek po południu jest spowodowany atakiem, czy nagłym wzrostem popularności aplikacji i usług klientów. Apigee może wykryć nagły wzrost, ale bez dodatkowych szczegółów i kontekstu, które są oczywiste dla klientów, ale niedostępne dla Apigee, nie będziemy wiedzieć, jak zareagować. Najgorszy scenariusz to sytuacja, w której Apigee blokuje atak, a potem okazuje się, że był to duży sukces marketingowy, który Apigee właśnie zniweczyło, blokując aplikację w okresie jej największej popularności.
Jak Apigee podchodzi do ochrony przed atakami DDoS?
Apigee Edge to narzędzie w zestawie narzędzi do zabezpieczeń. Klient może skonfigurować to narzędzie w dowolny sposób, aby blokować złośliwy ruch, ograniczać prawidłowy, ale nadmierny ruch lub przetwarzać obciążenia szybciej niż backend klienta może na nie odpowiadać, a także zapobiegać przeciążeniu centrum danych klienta. Apigee Edge udostępnia funkcje, które umożliwiają naszym klientom tworzenie bardzo szczegółowych zasad bezpieczeństwa w celu ochrony rzeczywistych usług API znajdujących się za Apigee. Edge to warstwa ochronna, którą można w razie potrzeby skalować, aby absorbować duże skoki ruchu (np. ataki DDoS), jednocześnie ograniczając wpływ na backend (centra danych klientów).
Apigee nie zarządza ładunkiem każdego wywołania ani nie analizuje go w przypadku każdego klienta, dlatego możliwość wykrycia ataku zależy od klienta. Odpowiedź na atak powinna być skoordynowana zarówno z klientem, jak i z Apigee. W razie potrzeby Apigee może nawet zaangażować dostawcę chmury (GCP lub AWS).
Apigee, GCP i AWS nie będą blokować ruchu kierowanego do klienta. Jeśli Apigee stwierdzi, że ruch jest złośliwy, skontaktujemy się z klientem i zaproponujemy mu pomoc. Jednak ze względu na skalę Apigee Edge sama ilość ruchu nie jest powodem do jego blokowania.
Klienci mogą używać Edge do tworzenia zasad chroniących przed atakami (w tym DDoS). Te zasady nie są dostępne od razu. Oznaczałoby to, że interfejsy API, dane lub usługi każdego klienta nie mają żadnych unikalnych cech. Apigee nie może włączyć tych zasad bez interwencji klienta. Oznacza to, że Apigee sprawdza dane klienta i podejmuje decyzje o tym, co jest prawidłowe, a co nie.
Edge to narzędzie, które można wykorzystać do ochrony interfejsów API. Ochrona interfejsu API wymaga jednak pewnego wysiłku ze strony klienta.
Celem jest ochrona usług API klientów. Jest to jedna z funkcji i możliwości Edge Cloud.
Chodzi o blokowanie różnych rodzajów ruchu DDoS jak najdalej od rzeczywistych interfejsów API:
- Blokowanie nieprawidłowych pakietów sieciowych w sieci chmury
- Absorbowanie na warstwie platformy Edge zalewu prawidłowo sformatowanych, ale niekompletnych pakietów
- Odrzucanie nieprawidłowych wywołań interfejsu API na warstwie Edge
- Blokowanie prawidłowo sformułowanych, ale nieautoryzowanych połączeń w Edge
- Blokowanie prawidłowo sformułowanych i autoryzowanych, ale nadmiernych wywołań w Edge
- Używaj Sense do wykrywania prawidłowo sformułowanych, ważnych kluczy i prawidłowych żądań do interfejsu API, które wykraczają poza oczekiwany lub dozwolony dostęp.
- Przekazuj do centrum danych klienta tylko prawidłowe, autoryzowane, akceptowalne i mieszczące się w zatwierdzonych limitach wywołania interfejsu API.
Inne częste pytania
Czy Apigee może umieścić na liście zablokowanych (ip|country|url)?
Tak, jeśli zasada jest utworzona, skonfigurowana i włączona w Edge w organizacji Edge klienta.
Czy Apigee może wykrywać boty lub podobne szkodliwe działania?
Apigee oferuje usługę wykrywania botów o nazwie Sense.
Czy Apigee będzie blokować ruch?
Apigee nie będzie blokować ruchu kierowanego do klienta. Jeśli Apigee stwierdzi, że ruch jest złośliwy, skontaktujemy się z klientem i zaproponujemy pomoc. Jednak ze względu na skalę Apigee Edge i naszych dostawców usług w chmurze (GCP i AWS) sama ilość ruchu nie jest powodem do jego blokowania.
Czy atak DoS lub DDoS jest liczony jako przetworzone wywołania interfejsu API w Edge?
Apigee Edge to rozwiązanie, które pomaga zapobiegać nadużyciom systemów backendu klientów. W przypadku ataku Edge wymusi limity, ochronę przed nagłymi wzrostami ruchu, ochronę przed zagrożeniami itp., aby wchłonąć nadużycia na warstwie Apigee Cloud na podstawie konfiguracji. Osoba z prawidłowym kluczem interfejsu API, która nie przekracza limitu, nadal może korzystać z tego interfejsu. Każde wywołanie interfejsu API, które jest przetwarzane na naszej warstwie, będzie liczone jako przetworzone wywołanie. Apigee Edge to narzędzie w zestawie narzędzi zabezpieczających, które pomaga klientom chronić się przed atakami typu DDoS i innymi rodzajami ataków.
Szczegółowe informacje o ochronie przed atakami typu DDoS
- GCP i AWS oferują pomoc w przypadku ataków typu DDoS na poziomie sieci, gdy jest to potrzebne (w przypadku bardzo dużego ataku).
- Apigee ma kontakty ds. bezpieczeństwa w GCP i AWS, które służą do eskalacji i reagowania w przypadku ataku, jeśli do odpowiedzi na niego potrzebna jest pomoc GCP lub AWS.
- Apigee Edge można używać do wdrażania zasad, które chronią interfejsy API klientów przed atakami.
- Ograniczanie liczby żądań.
- Aresztowania Spike’a.
- Wykrywanie ataków na ładunek XML.
- Można też tworzyć inne zasady, które chronią przed konkretnymi atakami.
- Edge wykorzystuje autoskalowanie jako element naszej ochrony.
- Podczas ataku DDoS Apigee i klient (oraz GCP lub AWS) muszą współpracować. Otwarta komunikacja jest ważna, dlatego zespół pomocy Apigee ma zawsze do dyspozycji zasoby związane z bezpieczeństwem.
Pierwszą reakcją na atak DDoS jest użycie Apigee Edge, aby pomóc w jego odparciu: włączenie ochrony przed nagłymi wzrostami ruchu, ograniczenie szybkości i nawet dodanie adresów IP źródła do listy zablokowanych. W Edge dostępnych jest wiele narzędzi, które pomagają chronić się przed atakami DDoS.
Jeśli atak jest wystarczająco duży, Apigee może współpracować z klientem, aby przekazać problem odpowiedniemu dostawcy chmury w celu uzyskania „pomocy wyższego rzędu”. Każdy atak DDoS jest niepowtarzalny, dlatego reakcja na niego zostanie określona w trakcie ataku. Sprawdzone metody i szczegółowe informacje, które pomogą w eskalacji, znajdziesz w artykule Łagodzenie skutków ataków typu „odmowa usługi” w AWS.
Pamiętaj, że najważniejsze jest:
Utwórz plan ataków. Pamiętaj, że jesteśmy w tym razem. Klienci, którzy podejrzewają, że są celem ataku, powinni otworzyć zgłoszenie i poprosić o pomoc zespół Apigee.
GCP
Apigee korzysta z mechanizmów obronnych udostępnianych przez GCP, zgodnie z sprawdzonymi metodami ochrony przed atakami DDoS i ich ograniczania, takimi jak:
- Sieci wirtualne
- Reguły zapory sieciowej
- Równoważenie obciążenia
AWS
AWS publikuje sprawdzone metody zwiększania odporności na ataki DDoS oraz informacje o tym, jak przygotować się na ataki DDoS, zmniejszając obszar ataku. Apigee używa kilku z nich, które mają zastosowanie w naszym środowisku:
- VPC
- Grupy zabezpieczeń
- Listy ACL
- Route53
- Równoważenie obciążenia