Você está lendo a documentação do Apigee Edge.
Acesse a documentação da
Apigee X. info
Os ataques distribuídos de negação de serviço (DDoS) estão se tornando maiores e mais comuns. Ataques recentes registraram níveis recordes de tráfego, e as previsões são de que a situação vai piorar. O tamanho desses ataques fez com que todos reavaliassem suas defesas. Ao usar dispositivos IoT comprometidos, os ataques DDoS agora são muito maiores do que era possível antes.
O objetivo das defesas contra DDoS para a Apigee é proteger as APIs dos clientes em cada data center. O Apigee Edge Cloud foi criado para aceitar grandes volumes de tráfego e ser o filtro que mantém as solicitações reais fluindo para um data center do cliente e as interfaces de API dele, enquanto descarta o tráfego malicioso, monitora picos, gerencia a limitação de taxa e mantém nossos clientes on-line durante o ataque.
A Apigee pode detectar picos no volume de tráfego, mas não podemos determinar se esse pico é um ataque, uma campanha bem-sucedida ou um novo aplicativo lançado para usuários finais. A Apigee não analisa ativamente as chamadas de API para determinar quais são legítimas e quais são provavelmente ataques. É possível analisar as chamadas de API, mas isso não faz parte das operações normais da Apigee. Não analisamos payloads de clientes porque isso seria uma invasão de privacidade para a maioria do tráfego, dos clientes e dos usuários finais. A Apigee não sabe se um pico específico na tarde de terça-feira é devido a um ataque ou a uma adoção repentina e bem-sucedida do app e dos serviços dos clientes. A Apigee consegue detectar o pico, mas sem mais detalhes e contexto que são óbvios para os clientes, mas não estão disponíveis para a Apigee, não saberíamos como responder. O pior cenário seria se a Apigee bloqueasse um ataque apenas para descobrir que ele era um grande sucesso de marketing que a Apigee acabou de matar ao bloquear o app durante o período de alta.
Como a Apigee aborda a defesa contra DDoS?
O Apigee Edge é uma ferramenta na caixa de ferramentas de segurança. A ferramenta está disponível para o cliente configurar conforme necessário para bloquear tráfego malicioso, limitar o tráfego válido, mas excessivo, ou processar cargas mais rápido do que o back-end do cliente pode responder e evitar que o data center do cliente seja sobrecarregado. O Apigee Edge oferece recursos que permitem aos nossos clientes criar políticas de segurança muito específicas para proteger os serviços de API reais por trás da Apigee. A borda é uma camada de defesa que pode ser escalonada conforme necessário para absorver grandes picos de tráfego (como um ataque DDoS), limitando o impacto no back-end (data centers dos clientes).
Como a Apigee não gerencia nem consulta o payload de cada chamada para cada cliente, a capacidade de identificar um ataque é do cliente. No entanto, a resposta a um ataque precisa ser coordenada com o cliente e a Apigee. A Apigee pode até mesmo envolver o provedor de nuvem (GCP ou AWS), se necessário.
O Apigee, o GCP e a AWS não vão descartar o tráfego destinado a um cliente. Se a Apigee determinar que o tráfego é malicioso, vamos entrar em contato com o cliente e oferecer ajuda. No entanto, devido à escala do Apigee Edge, o volume simples de tráfego não é um gatilho para bloqueá-lo.
Os clientes podem usar o Edge para criar políticas que protegem contra ataques, incluindo DDoS. Essas políticas não vêm pré-criadas. Isso implicaria que não há nada de exclusivo nas APIs, nos dados ou nos serviços de cada cliente. A Apigee não pode ativar essas políticas sem a entrada do cliente. Isso significa que a Apigee está analisando os dados do cliente e tomando decisões sobre o que é válido e o que não é.
O Edge é uma ferramenta que pode ser usada para fazer o que os clientes precisam para proteger as APIs. Mas a defesa de API exige algum trabalho do cliente.
O objetivo é proteger os serviços de API do cliente. Esse é um dos recursos e funcionalidades do Edge Cloud.
Na verdade, trata-se de bloquear diferentes tipos de tráfego DDoS o mais longe possível das APIs reais:
- Bloquear pacotes de rede malformados na rede da nuvem
- Absorver uma enxurrada de pacotes bem formados, mas incompletos, na camada da plataforma de borda
- Descartar chamadas de API malformadas na camada do Edge
- Bloquear chamadas bem formadas, mas não autorizadas no Edge
- Bloquear chamadas bem formadas e autorizadas, mas excessivas, no Edge
- Use o Sense para detectar chaves válidas e bem formadas, além de solicitações de API válidas que estão fora do acesso esperado ou permitido.
- Transmitir apenas as chamadas de API válidas, autorizadas, aceitáveis e dentro dos limites aprovados para o data center do cliente
Outras dúvidas comuns
A Apigee pode fazer a lista de bloqueio de (ip|country|url)?
Sim, se a política for criada, configurada e ativada no Edge na organização do cliente.
O Apigee consegue detectar bots ou atividades maliciosas semelhantes?
A Apigee oferece um serviço de detecção de bots chamado Sense.
A Apigee vai fazer o blackhole do tráfego para mim?
A Apigee não vai bloquear o tráfego destinado a um cliente. Se a Apigee determinar que o tráfego é malicioso, vamos entrar em contato com o cliente e oferecer ajuda. No entanto, devido à escala do Apigee Edge e dos nossos provedores de nuvem (GCP e AWS), o grande volume de tráfego não é um gatilho para bloqueá-lo.
Um ataque DoS ou DDoS conta como chamadas de API processadas no Edge?
O Apigee Edge é uma solução que ajuda a evitar o abuso dos sistemas de back-end dos clientes. Assim, em caso de ataque, o Edge vai aplicar cota/interrupção de picos/proteção contra ameaças etc. para absorver o abuso na camada do Apigee Cloud, com base na configuração. Alguém com uma chave de API válida e dentro do limite de cota ainda pode acessar essa API. Qualquer chamada de API processada na nossa camada conta como uma chamada processada. O Apigee Edge é uma ferramenta na caixa de ferramentas de segurança para defesa dos clientes contra DDoS e outros tipos de ataques.
Informações detalhadas sobre a defesa contra DDoS
- O GCP e a AWS oferecem assistência contra DDoS no nível da rede quando necessário (um ataque muito grande).
- O Apigee mantém contatos de segurança no GCP e na AWS para escalonamentos e respostas se a assistência do GCP ou da AWS for necessária para responder a um ataque.
- O Apigee Edge pode ser usado para implementar políticas que protegem as APIs do cliente contra ataques.
- Limitação de taxa.
- Detenções de pico.
- Detecção de ataques de payload XML.
- Outras políticas podem ser criadas para defesa contra ataques específicos.
- O Edge usa o escalonamento automático como um recurso na nossa defesa.
- A Apigee e o cliente (e o GCP ou a AWS) precisam trabalhar juntos durante um ataque DDoS. A comunicação aberta é importante, e a Apigee tem recursos de segurança disponíveis para nossa equipe de suporte a qualquer momento.
A primeira resposta a um DDoS é usar o Apigee Edge para ajudar no ataque: ativando a interrupção de picos, a limitação de taxa e até mesmo a lista de negação de endereços IP de origem. Há muitas ferramentas disponíveis no Edge para se defender contra um ataque DDoS.
Se o ataque for de um volume grande o suficiente, a Apigee poderá trabalhar com o cliente para encaminhar ao provedor de nuvem adequado e receber "assistência upstream". Como cada ataque DDoS é único, a resposta será determinada durante o ataque. No entanto, as práticas recomendadas e os detalhes necessários para ajudar na escalonamento estão documentados em Mitigação de ataques de negação de serviço na AWS.
Lembre-se de que o segredo é:
Crie um plano para ataques. Não se esqueça de que estamos juntos nessa. Os clientes que suspeitarem estar sob ataque precisam abrir um tíquete e pedir ajuda da Apigee.
GCP
A Apigee usa defesas fornecidas pelo GCP, conforme declarado nas práticas recomendadas para proteção e mitigação de DDoS, como:
- Redes virtuais
- Regras de firewall
- Balanceamento de carga
AWS
A AWS publica as Práticas recomendadas para resiliência a DDoS e Como se preparar para ataques DDoS reduzindo a superfície de ataque. A Apigee usa vários deles que são aplicáveis ao nosso ambiente:
- VPC
- Grupos de segurança
- ACLs
- Route53
- Balanceamento de carga