Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi
Dağıtılmış hizmet reddi (DDoS) saldırıları daha büyük ve daha yaygın hale geliyor. Son saldırılarda rekor düzeyde trafik görüldü ve durumun daha da kötüleşeceği tahmin ediliyor. Bu saldırıların büyüklüğü, herkesin savunmalarını yeniden değerlendirmesine neden oldu. DDoS saldırıları, güvenliği ihlal edilmiş IoT cihazları kullanılarak artık daha önce mümkün olmayan boyutlara ulaşıyor.
Apigee'deki DDoS savunmalarının amacı, her müşterinin veri merkezindeki müşteri API'lerini korumaktır. Apigee Edge Cloud, büyük hacimli trafiği kabul edecek ve gerçek isteklerin bir müşterinin veri merkezine ve API arayüzlerine akmasını sağlarken aynı zamanda kötü amaçlı trafiği bırakacak, ani artışları izleyecek, sıklık sınırlamayı yönetecek ve müşterilerimizi saldırı boyunca çevrimiçi tutacak şekilde tasarlanmıştır.
Apigee, trafik hacmindeki ani artışları algılayabilir ancak bu artışın bir saldırı, başarılı bir kampanya veya son kullanıcılara sunulan yeni bir uygulama olup olmadığını belirleyemeyiz. Apigee, hangi çağrıların meşru olduğunu ve hangilerinin muhtemelen saldırı olduğunu belirlemek için API çağrılarını aktif olarak incelemez. API çağrılarına bakmak mümkündür ancak bu işlem Apigee'nin normal operasyonlarının bir parçası değildir. Çoğu trafik, müşteri ve son kullanıcı için gizlilik ihlali olacağından müşteri yüklerini incelemiyoruz. Apigee, Salı öğleden sonraki belirli bir ani artışın saldırıdan mı yoksa müşterilerin uygulama ve hizmetlerinin başarılı bir şekilde kullanılmaya başlanmasından mı kaynaklandığını bilemez. Apigee, ani artışı görebilir ancak müşteriler için açık olan ancak Apigee'nin erişemediği ek ayrıntılar ve bağlam olmadan nasıl yanıt vereceğimizi bilemeyiz. En kötü senaryo, Apigee'nin bir saldırıyı engellemesi ve ardından uygulamanın popüler olduğu dönemde engellenerek büyük bir pazarlama başarısının yok edildiğini fark etmesidir.
Apigee, DDoS savunmasına nasıl yaklaşır?
Apigee Edge, güvenlik araç kutusundaki bir araçtır. Bu araç, müşterinin kötü amaçlı trafiği engellemek, geçerli ancak aşırı trafiği sınırlamak veya yükleri müşterinin arka ucunun yanıt verebileceğinden daha hızlı işlemek ve müşterinin veri merkezinin aşırı yüklenmesini önlemek için gerektiği şekilde yapılandırabileceği bir araçtır. Apigee Edge, müşterilerimizin Apigee'nin arkasındaki gerçek API hizmetlerini savunmak için çok özel güvenlik politikaları oluşturmasına olanak tanıyan özellikler sunar. Edge, arka uç (müşterilerin veri merkezleri) üzerindeki etkiyi sınırlarken büyük trafik artışlarını (ör. DDoS saldırısı) karşılamak için gerektiğinde ölçeklenebilen bir savunma katmanıdır.
Apigee, her müşteri için her çağrının yükünü yönetip sorgulamadığından saldırıyı tanımlama yetkisi müşteriye aittir. Ancak saldırıya verilen yanıt hem müşteri hem de Apigee ile koordine edilmelidir. Gerekirse Apigee, bulut sağlayıcıyı (GCP veya AWS) bile dahil edebilir.
Apigee, GCP ve AWS, müşteriye yönelik trafiği kara deliğe yönlendirmez. Apigee, trafiğin kötü amaçlı olduğunu belirlerse müşteriyle iletişime geçerek yardımcı olmayı teklif eder. Ancak Apigee Edge'in ölçeği nedeniyle, basit trafik hacmi trafiği engellemek için bir tetikleyici değildir.
Müşteriler, saldırılara (DDoS dahil) karşı koruma sağlayan politikalar oluşturmak için Edge'i kullanabilir. Bu politikalar, kullanıma hazır olarak sunulmaz. Bu, her müşterinin API'leri, verileri veya hizmetleri hakkında benzersiz hiçbir şey olmadığı anlamına gelir. Apigee, müşterinin girişi olmadan bu politikaları etkinleştiremez. Bu durumda Apigee, müşterinin verilerini inceliyor ve geçerli olan ile olmayan hakkında kararlar veriyor demektir.
Edge, kullanılacak bir araçtır ve müşterilerin API'lerini korumak için ihtiyaç duyduğu işlemleri yapmak üzere kullanılabilir. Ancak API savunması için müşterinin biraz çalışması gerekir.
Amaç, müşteri API hizmetlerini korumaktır. Bu, Edge Cloud'un özelliklerinden ve işlevlerinden biridir.
Aslında bu, farklı DDoS trafiği türlerini gerçek API'lerden mümkün olduğunca uzağa yerleştirerek engelleme meselesidir:
- Bulut ağında hatalı ağ paketlerini engelleme
- Edge platform katmanında düzgün şekilde oluşturulmuş ancak eksik paketlerin selini emme
- Hatalı biçimlendirilmiş API çağrılarını Edge katmanında bırakma
- Edge'de düzgün şekilde oluşturulmuş ancak yetkisiz aramaları engelleme
- Edge'de düzgün şekilde oluşturulmuş ve yetkilendirilmiş ancak aşırı sayıda olan çağrıları engelleme
- Doğru şekilde oluşturulmuş, geçerli anahtarları ve beklenen veya izin verilen erişiminizin dışında olan geçerli API isteklerini algılamak için Sense'i kullanın.
- Yalnızca geçerli, yetkili, kabul edilebilir ve onaylanmış sınırlar dahilindeki API çağrılarını müşteri veri merkezine iletin.
Sık sorulan diğer sorular
Apigee, (ip|country|url) için kara listeye alma işlemi yapabilir mi?
Evet, politika müşterinin Edge kuruluşunda Edge'de oluşturulur, yapılandırılır ve etkinleştirilirse.
Apigee, botları veya benzer kötü amaçlı etkinlikleri algılayabilir mi?
Apigee, Sense adlı bir bot algılama hizmeti sunar.
Apigee, trafiği benim için kara deliğe mi yönlendirir?
Apigee, bir müşteriye yönelik trafiği kara deliğe yönlendirmez. Apigee, trafiğin kötü amaçlı olduğunu belirleyebilirse müşteriyle iletişime geçerek yardımcı olmayı teklif eder. Ancak Apigee Edge'in ve bulut sağlayıcılarımızın (GCP ve AWS) ölçeği nedeniyle, trafik hacminin yüksek olması trafiğin engellenmesine neden olmaz.
DoS veya DDoS saldırısı, Edge'de işlenen API çağrısı olarak mı sayılır?
Apigee Edge, müşteri arka uç sistemlerinin kötüye kullanımını önlemeye yardımcı olan bir çözümdür. Bu nedenle, saldırı durumunda Edge, yapılandırmaya bağlı olarak kötüye kullanımı Apigee Cloud katmanında engellemek için kota/ani artış engelleme/tehdit koruması gibi özellikleri zorunlu kılar. Geçerli bir API anahtarına sahip olan ve kota sınırının altında olan kullanıcılar, söz konusu API'ye erişmeye devam edebilir. Katmanımızda işlenen tüm API çağrıları işlenmiş çağrı olarak kabul edilir. Apigee Edge, müşterilerin DDoS ve diğer saldırı türlerine karşı savunma yapabilmesi için güvenlik araç kutusunda yer alan bir araçtır.
Ayrıntılı DDoS savunması bilgileri
- GCP ve AWS, gerektiğinde (çok büyük bir saldırı) ağ düzeyinde DDoS yardımı sunar.
- Apigee, bir saldırıya yanıt vermek için GCP veya AWS yardımı gerekirse sorunları üst birime iletmek ve yanıt vermek üzere GCP ve AWS'de güvenlik kişileri bulundurur.
- Apigee Edge, müşteri API'lerini saldırılardan koruyan politikaları uygulamak için kullanılabilir.
- Sıklık sınırlaması.
- Ani artışları durdurun.
- XML yükü saldırısı algılama.
- Belirli saldırılara karşı savunma yapmak için başka politikalar da yazılabilir.
- Edge, savunmamızda otomatik ölçeklendirme özelliğini kullanır.
- Apigee ve müşterinin (ve GCP veya AWS) bir DDoS saldırısı sırasında birlikte çalışması gerekir. Açık iletişim önemlidir ve Apigee'nin destek ekibimizle her zaman iletişime geçebileceğiniz güvenlik kaynakları vardır.
Bir DDoS saldırısına verilen ilk yanıt, saldırıya yardımcı olmak için Apigee Edge'i kullanmaktır: ani artışları engelleme, sıklık sınırlaması ve hatta kaynak IP adreslerini ret listesine alma. Edge'de DDoS saldırılarına karşı korunmak için kullanabileceğiniz birçok araç vardır.
Saldırı yeterince büyükse Apigee, "yukarı akış yardımı" için müşterinin uygun bulut sağlayıcıya iletmesine yardımcı olabilir. Her DDoS saldırısı benzersiz olduğundan yanıt, saldırı sırasında belirlenir. Ancak, sorunun üst birime iletilmesine yardımcı olacak en iyi uygulamalar ve ayrıntılar AWS'de Hizmet Reddi Saldırısı Azaltma başlıklı makalede açıklanmıştır.
Şunu unutmayın:
Saldırılar için plan oluşturun. Bu süreçte yalnız olmadığınızı unutmayın. Saldırı altında olduğundan şüphelenen müşteriler, bilet açıp Apigee'den yardım istemelidir.
GCP
Apigee, DDoS Koruması ve Azaltma ile İlgili En İyi Uygulamalar'da belirtildiği gibi GCP tarafından sağlanan savunma mekanizmalarını kullanır. Örneğin:
- Sanal ağlar
- Güvenlik duvarı kuralları
- Yük dengeleme
AWS
AWS, DDoS dayanıklılığı için en iyi uygulamaları ve Saldırı yüzeyinizi azaltarak DDoS saldırılarına nasıl hazırlanacağınızı yayınlar. Apigee, ortamımız için geçerli olan bu değişkenlerden birkaçını kullanır:
- VPC
- Güvenlik grupları
- EKL'ler
- Route53
- Yük dengeleme