Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация
Распределенные атаки типа "отказ в обслуживании" (DDoS-атаки) становятся все масштабнее и чаще. Недавние атаки привели к рекордному трафику, и, по прогнозам, ситуация будет ухудшаться. Из-за масштаба этих атак все пересматривают свои системы защиты. Используя взломанные устройства интернета вещей, злоумышленники могут проводить DDoS-атаки гораздо большей мощности, чем раньше.
Цель защиты от DDoS-атак для Apigee – защитить API клиентов в каждом центре обработки данных. Apigee Edge Cloud предназначен для обработки больших объемов трафика и фильтрации запросов, чтобы в центры обработки данных клиентов и их интерфейсы API поступали только легитимные запросы. При этом он отсеивает вредоносный трафик, отслеживает скачки, управляет ограничением частоты запросов и обеспечивает доступность ресурсов клиентов во время атаки.
Apigee может обнаруживать скачки объема трафика, но не может определить, вызваны ли они атакой, успешной кампанией или выпуском нового приложения для конечных пользователей. Apigee не анализирует вызовы API, чтобы определить, какие из них легитимны, а какие, вероятно, являются атаками. Просматривать вызовы API можно, но это не входит в стандартные операции Apigee. Мы не проверяем полезную нагрузку клиентов, поскольку это нарушает конфиденциальность большинства типов трафика, клиентов и конечных пользователей. Apigee не может определить, вызван ли скачок во вторник днем атакой или внезапным ростом популярности приложения и сервисов клиента. Apigee может заметить скачок, но без дополнительных сведений и контекста, которые очевидны для клиентов, но недоступны для Apigee, мы не сможем понять, как реагировать. В худшем случае Apigee заблокирует атаку, а потом выяснится, что это была успешная маркетинговая кампания, которую Apigee сорвал, заблокировав приложение в самый пик его популярности.
Как Apigee защищает от DDoS-атак?
Apigee Edge – это инструмент для обеспечения безопасности. Клиент может настроить этот инструмент так, чтобы блокировать вредоносный трафик, ограничивать допустимый, но избыточный трафик или обрабатывать нагрузки быстрее, чем может ответить сервер клиента, и предотвращать перегрузку центра обработки данных клиента. Apigee Edge предоставляет возможности, которые позволяют нашим клиентам создавать очень специфические правила безопасности для защиты фактических сервисов API, стоящих за Apigee. Edge – это защитный уровень, который можно масштабировать по мере необходимости, чтобы поглощать большие скачки трафика (например, DDoS-атаки), ограничивая при этом воздействие на внутренние системы (центры обработки данных клиентов).
Поскольку Apigee не управляет полезной нагрузкой каждого вызова для каждого клиента и не анализирует ее, возможность обнаружить атаку зависит от клиента. Однако ответ на атаку должен быть скоординирован с клиентом и Apigee. При необходимости Apigee может привлечь поставщика облачных сервисов (GCP или AWS).
Apigee, GCP и AWS не будут блокировать трафик, предназначенный для клиента. Если Apigee определит, что трафик вредоносный, мы свяжемся с клиентом и предложим помощь. Однако из-за масштаба Apigee Edge простой объем трафика не является триггером для блокировки трафика.
Клиенты могут использовать Edge для создания правил, обеспечивающих защиту от атак, в том числе DDoS. Эти правила не заданы по умолчанию. Это означало бы, что API, данные и сервисы каждого клиента ничем не отличаются друг от друга. Apigee не может включить эти правила без участия клиента. Это означает, что Apigee проверяет данные клиента и решает, что допустимо, а что нет.
Edge – это инструмент, который можно использовать для защиты API. Однако для защиты API клиенту необходимо выполнить ряд действий.
Цель – защитить сервисы API клиентов. Это одна из функций и возможностей Edge Cloud.
На самом деле все сводится к тому, чтобы блокировать разные типы DDoS-трафика как можно дальше от API:
- Блокировка неправильно сформированных сетевых пакетов в сети облака
- Поглощение большого количества правильно сформированных, но неполных пакетов на уровне платформы Edge.
- Отклонение некорректных вызовов API на уровне Edge
- Как блокировать в Edge правильно сформированные, но неавторизованные вызовы
- Блокировка корректных и авторизованных, но избыточных вызовов в Edge
- Используйте Sense, чтобы обнаруживать правильно сформированные действительные ключи и действительные запросы к API, которые выходят за рамки ожидаемого или разрешенного доступа.
- Передавать в центр обработки данных клиента только действительные, авторизованные, допустимые и соответствующие одобренным ограничениям вызовы API.
Другие распространенные вопросы
Может ли Apigee составлять черные списки (IP-адресов, стран, URL)?
Да, если правило создано, настроено и включено в Edge в организации Edge клиента.
Может ли Apigee обнаруживать ботов или другие вредоносные действия?
Apigee предлагает сервис обнаружения роботов под названием Sense.
Будет ли Apigee блокировать трафик для меня?
Apigee не будет блокировать трафик, предназначенный для клиента. Если Apigee сможет определить, что трафик вредоносный, мы свяжемся с клиентом и предложим помощь. Однако из-за масштаба Apigee Edge и наших облачных провайдеров (GCP и AWS) большой объем трафика не является причиной для его блокировки.
Учитываются ли DoS- или DDoS-атаки как обработанные вызовы API в Edge?
Apigee Edge – это решение, которое помогает предотвратить злоупотребление клиентскими серверными системами. Поэтому в случае атаки Edge будет применять квоты, защиту от скачков трафика, защиту от угроз и т. д., чтобы поглотить злоупотребление на уровне облака Apigee на основе конфигурации. Пользователь с действительным ключом API и в пределах квоты может продолжить доступ к этому API. Любой вызов API, обработанный на нашем уровне, считается обработанным. Apigee Edge – это инструмент для защиты от DDoS-атак и других видов атак.
Подробная информация о защите от DDoS-атак
- GCP и AWS предлагают помощь в случае DDoS-атак на уровне сети, если это необходимо (при очень масштабных атаках).
- Apigee поддерживает контакты по вопросам безопасности в GCP и AWS для эскалации и реагирования, если для ответа на атаку требуется помощь GCP или AWS.
- Apigee Edge можно использовать для реализации правил, защищающих API клиентов от атак.
- Ограничение частоты запросов.
- Аресты Пика.
- Обнаружение атак с использованием полезной нагрузки XML.
- Другие правила можно написать для защиты от определенных атак.
- Edge использует автомасштабирование в качестве одного из средств защиты.
- Во время DDoS-атаки Apigee и клиент (а также GCP или AWS) должны работать вместе. Открытое общение очень важно, и в Apigee есть специалисты по безопасности, которые всегда готовы помочь нашей команде поддержки.
Первая реакция на DDoS-атаку – использовать Apigee Edge, чтобы помочь в отражении атаки: включить защиту от скачков трафика, ограничение частоты запросов и даже заблокировать исходные IP-адреса. В Edge есть множество инструментов для защиты от DDoS-атак.
Если атака достаточно масштабная, Apigee может обратиться к поставщику облачных сервисов за помощью. Поскольку каждая DDoS-атака уникальна, ответ на нее определяется во время атаки. Однако рекомендации и подробная информация, необходимые для эскалации, приведены в документе Denial of Service Attack Mitigation on AWS.
Помните, что главное:
Разработайте план действий при атаках. Не забывайте, что мы вместе. Если вы подозреваете, что подверглись атаке, создайте запрос и запросите помощь у Apigee.
GCP
Apigee использует средства защиты, предоставляемые GCP, как указано в рекомендациях по защите от DDoS-атак и их предотвращению, например:
- Виртуальные сети
- Правила брандмауэра
- Балансировка нагрузки
AWS
AWS опубликовала рекомендации по защите от DDoS-атак и инструкции по подготовке к DDoS-атакам путем уменьшения поверхности атаки. Apigee использует несколько из них, которые применимы к нашей среде:
- VPC
- Группы безопасности
- Списки управления доступом
- Route53
- Балансировка нагрузки