Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào
tài liệu Apigee X. thông tin
Các cuộc tấn công từ chối dịch vụ phân tán (DDoS) đang trở nên quy mô lớn hơn và phổ biến hơn. Các cuộc tấn công gần đây đã chứng kiến mức lưu lượng truy cập kỷ lục và dự đoán rằng tình trạng này sẽ tiếp tục trở nên tồi tệ hơn. Quy mô của những cuộc tấn công này đã khiến mọi người phải đánh giá lại các biện pháp phòng thủ của mình. Bằng cách sử dụng các thiết bị IoT bị xâm nhập, các cuộc tấn công DDoS hiện có quy mô lớn hơn nhiều so với trước đây.
Mục tiêu của biện pháp chống tấn công DDoS cho Apigee là bảo vệ API của khách hàng trong trung tâm dữ liệu của mỗi khách hàng. Apigee Edge Cloud được xây dựng để chấp nhận lưu lượng truy cập lớn và là bộ lọc giúp các yêu cầu thực tế truyền đến trung tâm dữ liệu của khách hàng và giao diện API của họ, đồng thời loại bỏ lưu lượng truy cập độc hại, theo dõi các đột biến, quản lý việc giới hạn tốc độ và giúp khách hàng luôn trực tuyến trong suốt cuộc tấn công.
Apigee có thể phát hiện lưu lượng truy cập tăng đột biến, nhưng chúng tôi không thể xác định liệu đó có phải là một cuộc tấn công, một chiến dịch thành công hay một ứng dụng mới được phát hành cho người dùng cuối hay không. Apigee không chủ động xem xét các lệnh gọi API để xác định lệnh gọi nào là hợp pháp và lệnh gọi nào có thể là các cuộc tấn công. Bạn có thể xem các lệnh gọi API, nhưng việc này không thuộc các hoạt động bình thường của Apigee. Chúng tôi không xem xét tải trọng của khách hàng vì điều đó sẽ xâm phạm quyền riêng tư của hầu hết lưu lượng truy cập, khách hàng và người dùng cuối. Apigee không biết liệu một mức tăng đột biến cụ thể vào chiều thứ Ba là do một cuộc tấn công hay do khách hàng đột ngột sử dụng thành công ứng dụng và dịch vụ. Apigee có thể thấy mức tăng đột biến, nhưng nếu không có thêm thông tin chi tiết và bối cảnh mà khách hàng biết rõ nhưng Apigee không có, thì chúng tôi sẽ không biết cách phản hồi. Trường hợp xấu nhất là nếu Apigee chặn một cuộc tấn công chỉ để phát hiện ra đó là một thành công lớn về tiếp thị mà Apigee vừa giết chết bằng cách chặn ứng dụng trong thời gian cao điểm.
Apigee tiếp cận vấn đề chống tấn công từ chối dịch vụ phân tán (DDoS) như thế nào?
Apigee Edge là một công cụ trong hộp công cụ bảo mật. Khách hàng có thể định cấu hình công cụ này theo nhu cầu để chặn lưu lượng truy cập độc hại, giới hạn lưu lượng truy cập hợp lệ nhưng quá mức hoặc xử lý các tải nhanh hơn so với khả năng phản hồi của máy chủ phụ trợ của khách hàng và ngăn trung tâm dữ liệu của khách hàng bị quá tải. Apigee Edge cung cấp các chức năng cho phép khách hàng tạo ra các chính sách bảo mật rất cụ thể để bảo vệ các dịch vụ API thực tế đằng sau Apigee. Edge là một lớp phòng thủ có thể mở rộng khi cần thiết để hấp thụ các đợt tăng đột biến lưu lượng truy cập lớn (chẳng hạn như cuộc tấn công DDoS) trong khi hạn chế tác động đến phần phụ trợ (trung tâm dữ liệu của khách hàng).
Vì Apigee không quản lý và kiểm tra tải trọng của mọi lệnh gọi cho mọi khách hàng, nên khách hàng có khả năng xác định một cuộc tấn công. Tuy nhiên, phản ứng đối với một cuộc tấn công phải được phối hợp với cả khách hàng và Apigee. Apigee thậm chí có thể liên quan đến nhà cung cấp dịch vụ đám mây (GCP hoặc AWS) nếu cần.
Apigee, GCP và AWS sẽ không chặn lưu lượng truy cập đến một khách hàng. Nếu Apigee xác định rằng lưu lượng truy cập là độc hại, chúng tôi sẽ liên hệ với khách hàng và đề nghị hỗ trợ. Tuy nhiên, do quy mô của Apigee Edge, nên chỉ lưu lượng truy cập đơn thuần không phải là yếu tố kích hoạt để chặn lưu lượng truy cập.
Khách hàng có thể sử dụng Edge để tạo các chính sách bảo vệ khỏi các cuộc tấn công (bao gồm cả DDoS). Các chính sách này không được tích hợp sẵn. Điều đó có nghĩa là không có gì đặc biệt về API, dữ liệu hoặc dịch vụ của mỗi khách hàng. Apigee không thể bật các chính sách này mà không có thông tin đầu vào từ khách hàng. Điều đó có nghĩa là Apigee đang xem xét dữ liệu của khách hàng và đưa ra quyết định về những gì hợp lệ và những gì không hợp lệ.
Edge là một công cụ để sử dụng và có thể được dùng để thực hiện những việc mà khách hàng cần làm để bảo vệ API của họ. Tuy nhiên, khách hàng cần phải nỗ lực để bảo vệ API.
Mục tiêu là bảo vệ các dịch vụ API của khách hàng. Đó là một trong những tính năng và chức năng của Đám mây biên.
Thực tế, đó là vấn đề chặn các loại lưu lượng truy cập DDoS càng xa các API thực tế càng tốt:
- Chặn các gói mạng bị lỗi tại mạng của Đám mây
- Hấp thụ một lượng lớn các gói được tạo đúng cách nhưng không đầy đủ ở lớp nền tảng Edge
- Loại bỏ các lệnh gọi API bị lỗi ở lớp Edge
- Chặn các lệnh gọi được tạo đúng cách nhưng không được phép trong Edge
- Chặn các lệnh gọi được hình thành và uỷ quyền đúng cách nhưng quá mức trong Edge
- Sử dụng Sense để phát hiện các khoá hợp lệ, được định dạng đúng cách, các yêu cầu API hợp lệ nằm ngoài quyền truy cập dự kiến hoặc được phép của bạn
- Chỉ truyền các lệnh gọi API hợp lệ, được uỷ quyền, chấp nhận được và nằm trong giới hạn được phê duyệt cho trung tâm dữ liệu của khách hàng
Các câu hỏi thường gặp khác
Apigee có thể từ chối (ip|country|url) không?
Có, nếu chính sách được tạo, định cấu hình và bật trong Edge trong tổ chức Edge của khách hàng.
Apigee có thể phát hiện bot hoặc các hoạt động độc hại tương tự không?
Apigee cung cấp một dịch vụ phát hiện bot có tên là Sense.
Apigee có chặn lưu lượng truy cập cho tôi không?
Apigee sẽ không chặn lưu lượng truy cập đến một khách hàng. Nếu Apigee xác định được rằng lưu lượng truy cập là độc hại, chúng tôi sẽ liên hệ với khách hàng và đề nghị hỗ trợ. Tuy nhiên, do quy mô của Apigee Edge và các nhà cung cấp dịch vụ đám mây của chúng tôi (GCP và AWS), nên lưu lượng truy cập lớn không phải là yếu tố kích hoạt để chặn lưu lượng truy cập.
Tấn công từ chối dịch vụ (DoS) hoặc tấn công từ chối dịch vụ phân tán (DDoS) có được tính là các lệnh gọi API đã xử lý trong Edge không?
Apigee Edge là một giải pháp giúp ngăn chặn hành vi sai trái đối với các hệ thống phụ trợ của khách hàng. Vì vậy, trong trường hợp xảy ra một cuộc tấn công, Edge sẽ thực thi hạn mức/ngăn chặn đột biến/bảo vệ khỏi mối đe doạ, v.v. để ngăn chặn hành vi sai trái ở lớp Apigee Cloud, dựa trên cấu hình. Người có khoá API hợp lệ và nằm trong hạn mức vẫn có thể tiếp tục truy cập vào API đó. Mọi lệnh gọi API được xử lý ở lớp của chúng tôi sẽ được tính là một lệnh gọi đã xử lý. Apigee Edge là một công cụ trong bộ công cụ bảo mật giúp khách hàng chống lại các cuộc tấn công DDoS và các loại tấn công khác.
Thông tin chi tiết về biện pháp chống tấn công DDoS
- GCP và AWS cung cấp dịch vụ hỗ trợ DDoS ở cấp mạng khi cần (một cuộc tấn công rất lớn).
- Apigee duy trì các đầu mối liên hệ về bảo mật tại GCP và AWS để báo cáo và phản hồi nếu cần sự trợ giúp của GCP hoặc AWS để phản hồi một cuộc tấn công.
- Bạn có thể dùng Apigee Edge để triển khai các chính sách bảo vệ API khách hàng khỏi bị tấn công.
- Giới hạn tốc độ.
- Mốc tăng đột biến
- Phát hiện cuộc tấn công bằng tải trọng XML.
- Bạn có thể viết các chính sách khác để chống lại các cuộc tấn công cụ thể.
- Edge sử dụng tính năng tự động cấp tài nguyên bổ sung như một khả năng trong hệ thống phòng thủ của chúng tôi.
- Apigee và khách hàng (cũng như GCP hoặc AWS) cần phối hợp với nhau trong quá trình xảy ra một cuộc tấn công DDoS. Việc giao tiếp cởi mở là rất quan trọng và Apigee luôn có các nguồn lực bảo mật để hỗ trợ nhóm hỗ trợ của chúng tôi.
Phản ứng đầu tiên đối với một cuộc tấn công DDoS là sử dụng Apigee Edge để hỗ trợ trong cuộc tấn công: cho phép ngăn chặn đột biến, giới hạn tốc độ và thậm chí là từ chối địa chỉ IP nguồn. Có nhiều công cụ trong Edge để chống lại cuộc tấn công DDoS.
Nếu cuộc tấn công có quy mô đủ lớn, Apigee có thể phối hợp với khách hàng để chuyển vấn đề lên nhà cung cấp dịch vụ đám mây phù hợp để được "hỗ trợ từ phía trên". Vì mỗi cuộc tấn công DDoS đều là duy nhất, nên phản hồi sẽ được xác định trong quá trình diễn ra cuộc tấn công. Tuy nhiên, các phương pháp hay nhất và thông tin chi tiết cần thiết để hỗ trợ trong quá trình chuyển yêu cầu lên cấp trên được ghi lại trong tài liệu Giảm thiểu cuộc tấn công từ chối dịch vụ trên AWS.
Hãy nhớ rằng chìa khoá là:
Lập kế hoạch cho các cuộc tấn công. Đừng quên rằng chúng ta đang cùng nhau vượt qua giai đoạn này. Những khách hàng nghi ngờ mình đang bị tấn công nên mở một phiếu yêu cầu hỗ trợ và yêu cầu Apigee trợ giúp.
GCP
Apigee sử dụng các biện pháp phòng vệ do GCP cung cấp như nêu trong Các phương pháp hay nhất để bảo vệ và giảm thiểu tấn công DDoS, chẳng hạn như:
- Mạng ảo
- Quy tắc về tường lửa
- Cân bằng tải
AWS
AWS xuất bản Các phương pháp hay nhất để tăng khả năng chống tấn công DDoS và Cách chuẩn bị cho các cuộc tấn công DDoS bằng cách giảm bề mặt tấn công. Apigee sử dụng một số biến trong số này, áp dụng cho môi trường của chúng tôi:
- VPC
- Nhóm bảo mật
- ACL
- Route53
- Cân bằng tải