คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่เอกสารประกอบของ
Apigee X info
การโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS) มีขนาดใหญ่ขึ้นและพบได้บ่อยขึ้น การโจมตี ล่าสุดมีการเข้าชมในระดับที่สูงเป็นประวัติการณ์ และคาดการณ์ว่าการโจมตีจะ รุนแรงขึ้นเรื่อยๆ การโจมตีเหล่านี้มีขนาดใหญ่มากจนทำให้ทุกคนต้องประเมินการป้องกันของตนเองใหม่ การโจมตีแบบ DDoS ในปัจจุบันมีขนาดใหญ่กว่าที่เคยเป็นมามากเนื่องจากใช้ อุปกรณ์ IoT ที่ถูกบุกรุก
เป้าหมายของการป้องกัน DDoS สำหรับ Apigee คือการปกป้อง API ของลูกค้าในศูนย์ข้อมูลของลูกค้าแต่ละราย Apigee Edge Cloud สร้างขึ้นเพื่อรองรับการรับส่งข้อมูลจำนวนมากและเป็นตัวกรองที่ ช่วยให้คำขอจริงไหลผ่านไปยังศูนย์ข้อมูลของลูกค้าและอินเทอร์เฟซ API ของลูกค้า ในขณะเดียวกันก็ ทิ้งการรับส่งข้อมูลที่เป็นอันตราย เฝ้าระวังการรับส่งข้อมูลที่เพิ่มขึ้น จัดการการจำกัดอัตรา และ ช่วยให้ลูกค้าออนไลน์ได้ตลอดเวลาที่เกิดการโจมตี
Apigee สามารถตรวจจับปริมาณการเข้าชมที่เพิ่มขึ้นอย่างรวดเร็วได้ แต่เราไม่สามารถระบุได้ว่าการเพิ่มขึ้นนั้นเป็นการโจมตี แคมเปญที่ประสบความสำเร็จ หรือแอปพลิเคชันใหม่ที่เผยแพร่ต่อผู้ใช้ปลายทาง Apigee ไม่ได้ ตรวจสอบการเรียก API อย่างละเอียดเพื่อพิจารณาว่าการเรียกใดถูกต้องและการเรียกใด อาจเป็นการโจมตี คุณดูการเรียก API ได้ แต่การดำเนินการดังกล่าวไม่ใช่ส่วนหนึ่งของการดำเนินการปกติของ Apigee เราจะไม่ตรวจสอบเพย์โหลดของลูกค้า เนื่องจากจะเป็นการละเมิดความเป็นส่วนตัวสำหรับ การเข้าชม ลูกค้า และผู้ใช้ปลายทางส่วนใหญ่ Apigee ไม่ทราบว่าการเพิ่มขึ้นอย่างรวดเร็วในบ่ายวันอังคาร เกิดจากการโจมตีหรือการที่ลูกค้าหันมาใช้แอปและบริการของคุณอย่างรวดเร็ว Apigee สามารถ เห็นช่วงที่เพิ่มขึ้น แต่หากไม่มีรายละเอียดและบริบทเพิ่มเติมที่ลูกค้าทราบดีแต่ Apigee ไม่ทราบ เราก็จะไม่ทราบวิธีการตอบสนอง สถานการณ์ที่แย่ที่สุดคือหาก Apigee บล็อกการโจมตี แต่กลับพบว่าการโจมตีนั้นเป็นความสำเร็จทางการตลาดครั้งใหญ่ที่ Apigee เพิ่ง ทำลายด้วยการบล็อกแอปในช่วงที่แอปได้รับความนิยม
Apigee มีแนวทางในการป้องกัน DDoS อย่างไร
Apigee Edge เป็นเครื่องมือในกล่องเครื่องมือด้านความปลอดภัย เครื่องมือนี้พร้อมให้ลูกค้า กำหนดค่าตามต้องการเพื่อบล็อกการเข้าชมที่เป็นอันตราย จำกัดการเข้าชมที่ถูกต้องแต่มากเกินไป หรือประมวลผล โหลดได้เร็วกว่าที่แบ็กเอนด์ของลูกค้าจะตอบสนองได้ และป้องกันไม่ให้ศูนย์ข้อมูลของลูกค้า รับภาระหนักเกินไป Apigee Edge มีความสามารถที่ช่วยให้ลูกค้าสร้างนโยบายความปลอดภัยที่เฉพาะเจาะจงมากเพื่อปกป้องบริการ API จริงที่อยู่เบื้องหลัง Apigee Edge เป็นเลเยอร์ป้องกัน ที่ปรับขนาดได้ตามต้องการเพื่อรองรับการเข้าชมที่เพิ่มขึ้นอย่างมาก (เช่น การโจมตีแบบ DDoS) ขณะเดียวกันก็ จำกัดผลกระทบต่อแบ็กเอนด์ (ศูนย์ข้อมูลของลูกค้า)
เนื่องจาก Apigee ไม่ได้จัดการและตรวจสอบเพย์โหลดของการเรียกทุกครั้งสำหรับลูกค้าทุกราย ความสามารถในการระบุการโจมตีจึงขึ้นอยู่กับลูกค้า แต่การตอบสนองต่อการโจมตีควร ประสานงานกับทั้งลูกค้าและ Apigee Apigee ยังสามารถเกี่ยวข้องกับผู้ให้บริการคลาวด์ (GCP หรือ AWS) ได้หากจำเป็น
Apigee, GCP และ AWS จะไม่แบล็กโฮลทราฟิกที่มุ่งหน้าไปยังลูกค้า หาก Apigee พิจารณาว่าการเข้าชมเป็นอันตราย เราจะสื่อสารกับลูกค้าและเสนอ ความช่วยเหลือ อย่างไรก็ตาม เนื่องจากขนาดของ Apigee Edge ปริมาณการเข้าชมเพียงอย่างเดียวจึงไม่ใช่ทริกเกอร์ในการบล็อกการเข้าชม
ลูกค้าสามารถใช้ Edge เพื่อสร้างนโยบายที่ป้องกันการโจมตี (รวมถึง DDoS) นโยบายเหล่านี้ ไม่ได้มาพร้อมกับผลิตภัณฑ์ตั้งแต่แกะกล่อง ซึ่งหมายความว่า API, ข้อมูล หรือบริการของลูกค้าแต่ละรายไม่มีอะไรที่แตกต่างกัน Apigee ไม่สามารถเปิดใช้นโยบายเหล่านี้ได้หากไม่ได้รับข้อมูลจากลูกค้า ซึ่งหมายความว่า Apigee จะตรวจสอบข้อมูลของลูกค้าและตัดสินใจเกี่ยวกับ สิ่งที่ถูกต้องและไม่ถูกต้อง
Edge เป็นเครื่องมือที่ใช้ได้ และใช้ทำสิ่งต่างๆ ที่ลูกค้าต้องการเพื่อปกป้อง API ได้ แต่การป้องกัน API ต้องอาศัยการทำงานของลูกค้า
เป้าหมายคือการปกป้องบริการ API ของลูกค้า ซึ่งเป็นหนึ่งในฟีเจอร์และความสามารถของ Edge Cloud
จริงๆ แล้วเป็นเรื่องของการบล็อกการเข้าชม DDoS ประเภทต่างๆ ให้ไกลจาก API จริงมากที่สุด เท่าที่จะเป็นไปได้
- บล็อกแพ็กเก็ตเครือข่ายที่ผิดรูปแบบในเครือข่ายของระบบคลาวด์
- ดูดซับแพ็กเก็ตที่สร้างอย่างถูกต้องแต่ไม่สมบูรณ์จำนวนมากที่เลเยอร์แพลตฟอร์ม Edge
- ทิ้งการเรียก API ที่มีรูปแบบไม่ถูกต้องที่เลเยอร์ Edge
- บล็อกการโทรที่รูปแบบถูกต้องแต่ไม่ได้รับอนุญาตภายใน Edge
- บล็อกการเรียกที่ถูกต้องและได้รับอนุญาต แต่มากเกินไปภายใน Edge
- ใช้ Sense เพื่อตรวจหาคีย์ที่ถูกต้องและมีรูปแบบที่เหมาะสม รวมถึงคำขอ API ที่ถูกต้องซึ่งอยู่นอกเหนือการเข้าถึงที่คาดไว้หรือได้รับอนุญาต
- ส่งต่อเฉพาะการเรียก API ที่ถูกต้อง ได้รับอนุญาต ยอมรับได้ และอยู่ภายในขีดจำกัดที่อนุมัติแล้วไปยังศูนย์ข้อมูลของลูกค้า
คำถามอื่นๆ ที่พบบ่อย
Apigee สามารถปฏิเสธรายการ (ip|country|url) ได้ไหม
ได้ หากมีการสร้าง กำหนดค่า และเปิดใช้นโยบายใน Edge ภายในองค์กร Edge ของลูกค้า
Apigee ตรวจหาบ็อตหรือกิจกรรมที่เป็นอันตรายที่คล้ายกันได้ไหม
Apigee มีบริการตรวจหาบ็อตชื่อ Sense
Apigee จะแบล็กโฮลการเข้าชมให้ฉันไหม
Apigee จะไม่บล็อกการรับส่งข้อมูลที่มุ่งไปยังลูกค้า หาก Apigee ระบุได้ว่าการเข้าชมเป็นอันตราย เราจะติดต่อลูกค้าและเสนอความช่วยเหลือ อย่างไรก็ตาม เนื่องจากขนาดของ Apigee Edge และผู้ให้บริการระบบคลาวด์ (GCP และ AWS) ปริมาณการเข้าชมจำนวนมากจึงไม่ใช่ทริกเกอร์ในการบล็อกการเข้าชม
การโจมตีแบบ DoS หรือ DDoS นับเป็นการเรียก API ที่ประมวลผลใน Edge ไหม
Apigee Edge เป็นโซลูชันที่ช่วยป้องกันการละเมิดระบบแบ็กเอนด์ของลูกค้า ดังนั้นในกรณีที่มีการโจมตี Edge จะบังคับใช้โควต้า/การป้องกันการเพิ่มขึ้นของทราฟิก/การป้องกันภัยคุกคาม ฯลฯ เพื่อดูดซับการละเมิดที่เลเยอร์ Apigee Cloud ตามการกำหนดค่า ผู้ที่มีคีย์ API ที่ถูกต้องและอยู่ภายใต้ขีดจำกัดโควต้า จะยังคงเข้าถึง API นั้นได้ต่อไป การเรียก API ที่ประมวลผลที่เลเยอร์ของเราจะนับเป็น การเรียกที่ประมวลผลแล้ว Apigee Edge เป็นเครื่องมือในกล่องเครื่องมือด้านความปลอดภัยสำหรับการป้องกันลูกค้าจาก DDoS และการโจมตีประเภทอื่นๆ
ข้อมูลโดยละเอียดเกี่ยวกับการป้องกัน DDoS
- GCP และ AWS ให้ความช่วยเหลือด้าน DDoS ที่ระดับเครือข่ายเมื่อจำเป็น (การโจมตีขนาดใหญ่มาก)
- Apigee มีรายชื่อผู้ติดต่อด้านความปลอดภัยที่ GCP และ AWS สำหรับการส่งต่อและการตอบกลับในกรณีที่ต้องขอความช่วยเหลือจาก GCP หรือ AWS เพื่อตอบโต้การโจมตี
- คุณใช้ Apigee Edge เพื่อใช้นโยบายที่ปกป้อง API ของลูกค้าจากการโจมตีได้
- การจำกัดอัตราคำขอ
- การจับกุมที่เพิ่มขึ้น
- การตรวจจับการโจมตีด้วยเพย์โหลด XML
- คุณเขียนนโยบายอื่นๆ เพื่อป้องกันการโจมตีที่เฉพาะเจาะจงได้
- Edge ใช้การปรับขนาดอัตโนมัติเป็นความสามารถในการป้องกัน
- Apigee และลูกค้า (และ GCP หรือ AWS) ต้องทำงานร่วมกันในระหว่างการโจมตีแบบ DDoS การสื่อสารที่เปิดกว้างเป็นสิ่งสำคัญ และ Apigee มีแหล่งข้อมูลด้านความปลอดภัยที่พร้อมให้ความช่วยเหลือแก่ทีมสนับสนุนของเราตลอดเวลา
การตอบสนองแรกต่อการโจมตีแบบ DDoS คือการใช้ Apigee Edge เพื่อช่วยในการโจมตี โดยการเปิดใช้การป้องกันการเพิ่มขึ้นของทราฟิก การจำกัดอัตรา และแม้แต่การปฏิเสธรายการที่อยู่ IP ต้นทาง Edge มีเครื่องมือมากมาย ที่ช่วยป้องกันการโจมตีแบบ DDoS
หากการโจมตีมีปริมาณมากพอ Apigee สามารถทำงานร่วมกับลูกค้าเพื่อส่งต่อปัญหาไปยังผู้ให้บริการคลาวด์ที่เหมาะสมเพื่อขอ "ความช่วยเหลือจากต้นทาง" เนื่องจากการโจมตีแบบ DDoS แต่ละครั้งไม่เหมือนกัน การตอบสนองจะพิจารณาในระหว่างการโจมตี อย่างไรก็ตาม แนวทางปฏิบัติแนะนำและรายละเอียดที่จำเป็นเพื่อช่วย ในการส่งต่อปัญหาได้รับการบันทึกไว้ในการลดผลกระทบจากการโจมตีแบบปฏิเสธการให้บริการใน AWS
โปรดทราบว่าสิ่งสำคัญคือ
วางแผนการโจมตี อย่าลืมว่าเราจะช่วยคุณ ลูกค้าที่สงสัยว่าตนเองกำลังถูกโจมตีควรเปิดคำขอแจ้งปัญหาและขอรับความช่วยเหลือจาก Apigee
GCP
Apigee ใช้การป้องกันที่ GCP จัดให้ตามที่ระบุไว้ในแนวทางปฏิบัติแนะนำ สำหรับการป้องกันและการบรรเทาปัญหา DDoS เช่น
- เครือข่ายเสมือน
- กฎไฟร์วอลล์
- การจัดสรรภาระงาน
AWS
AWS เผยแพร่แนวทางปฏิบัติแนะนำ เพื่อความยืดหยุ่นต่อการโจมตีแบบ DDoS และวิธีเตรียมรับมือการโจมตีแบบ DDoS โดยการลดพื้นที่การโจมตี Apigee ใช้ หลายรายการที่เกี่ยวข้องกับสภาพแวดล้อมของเรา ดังนี้
- VPC
- กลุ่มความปลอดภัย
- ACL
- Route53
- การจัดสรรภาระงาน