دفاع دربرابر «منع سرویس توزیع‌شده» در Edge

درحال مشاهده اسناد Apigee Edge هستید.
به اسناد Apigee X بروید. اطلاعات

حملات منع سرویس توزیع‌شده (DDoS) بزرگ‌تر و رایج‌تر می‌شوند. حملات اخیر سطوح بی‌سابقه‌ای از ترافیک را تجربه کرده‌اند و پیش‌بینی می‌شود که این وضعیت بدتر شود. اندازه این حملات باعث شده است که همه دفاعیات خود را دوباره ارزیابی کنند. بااستفاده از دستگاه‌های IoT به‌خطر افتاده، حمله‌های منع سرویس توزیع‌شده اکنون بسیار بزرگ‌تر از آنچه قبلاً ممکن بود، هستند.

هدف دفاع‌های «منع سرویس توزیع‌شده» برای Apigee محافظت از میاناهای برنامه‌سازی کاربردی مشتری در مرکز داده هر مشتری است. ‫Apigee Edge Cloud برای پذیرش حجم بالای ترافیک و تبدیل شدن به فیلتری ساخته شده است که درخواست‌های واقعی را به مرکز داده مشتری و میاناهای برنامه‌سازی کاربردی او ارسال می‌کند و درعین‌حال ترافیک مخرب را حذف می‌کند، مراقب افزایش ناگهانی ترافیک است، محدودیت نرخ را مدیریت می‌کند، و مشتریان ما را درطول حمله آنلاین نگه می‌دارد.

‫Apigee می‌تواند جهش‌های ناگهانی در حجم ترافیک را شناسایی کند، اما نمی‌توانیم تشخیص دهیم که این جهش یک حمله است، یک پویش موفق است، یا یک برنامه جدید است که برای کاربران نهایی منتشر شده است. ‫Apigee به‌طور فعال به درون فراخوان‌های API نگاه نمی‌کند تا تعیین کند کدام فراخوان‌ها قانونی هستند و کدام احتمالاً حمله هستند. امکان بررسی فراخوانی‌های API وجود دارد، اما انجام این کار بخشی از عملکرد عادی Apigee نیست. ما محموله‌های مشتری را بررسی نمی‌کنیم، زیرا این کار برای اکثر ترافیک، مشتریان، و کاربران نهایی نقض حریم خصوصی محسوب می‌شود. ‫Apigee نمی‌داند که آیا افزایش ناگهانی در بعدازظهر سه‌شنبه به‌دلیل حمله است یا به‌دلیل پذیرش ناگهانی موفقیت‌آمیز برنامه و خدمات مشتریان. ‫Apigee می‌تواند این جهش را ببیند، اما بدون جزئیات و زمینه‌های اضافی که برای مشتریان واضح است اما برای Apigee دردسترس نیست، نمی‌دانیم چگونه پاسخ دهیم. بدترین سناریو این است که Apigee حمله‌ای را مسدود کند و بعد متوجه شود که این حمله یک موفقیت بزرگ بازاریابی بوده است که Apigee با مسدود کردن برنامه در دوره اوج آن، آن را ازبین برده است.

رویکرد Apigee به دفاع دربرابر «منع سرویس توزیع‌شده» چیست؟

Apigee Edge ابزاری در جعبه ابزار امنیتی است. این ابزار برای مشتری دردسترس است تا آن را درصورت نیاز پیکربندی کند تا ترافیک مخرب را مسدود کند، ترافیک معتبر اما بیش‌ازحد را محدود کند، یا بارها را سریع‌تر از آنچه زیرینه مشتری می‌تواند پاسخ دهد پردازش کند و از غرق شدن مرکز داده مشتری جلوگیری کند. ‫Apigee Edge قابلیت‌هایی را ارائه می‌دهد که به مشتریان ما امکان می‌دهد خط‌مشی‌های امنیتی بسیار خاصی را برای دفاع از خدمات واقعی API در پشت Apigee ایجاد کنند. ‫Edge لایه دفاعی است که می‌تواند درصورت نیاز مقیاس‌بندی شود تا افزایش‌های بزرگ ترافیک (مانند حمله منع سرویس توزیع‌شده) را جذب کند و درعین‌حال تأثیر آن را بر زیرینه (مراکز داده مشتریان) محدود کند.

ازآنجایی‌که Apigee محتوای هر تماس را برای هر مشتری مدیریت و بررسی نمی‌کند، توانایی شناسایی حمله برعهده مشتری است. اما پاسخ به حمله باید با هماهنگی مشتری و Apigee انجام شود. درصورت نیاز، Apigee حتی می‌تواند ارائه‌دهنده فضای ابری (GCP یا AWS) را نیز درگیر کند.

‫Apigee،‏ GCP، و AWS ترافیک مقصد مشتری را مسدود نخواهند کرد. اگر Apigee تشخیص دهد که ترافیک مخرب است، با مشتری ارتباط برقرار می‌کنیم و پیشنهاد می‌کنیم که به او کمک کنیم. بااین‌حال، به‌دلیل مقیاس Apigee Edge، حجم ساده ترافیک محرکی برای مسدود کردن ترافیک نیست.

مشتریان می‌توانند از Edge برای ایجاد خط‌مشی‌هایی که دربرابر حمله‌ها (ازجمله منع سرویس توزیع‌شده) محافظت می‌کنند استفاده کنند. این خط‌مشی‌ها به‌صورت پیش‌ساخته در دسترس نیستند. این یعنی هیچ چیز منحصربه‌فردی درباره میاناهای برنامه‌سازی کاربردی یا داده‌ها یا سرویس‌های هر مشتری وجود ندارد. ‫Apigee نمی‌تواند این خط‌مشی‌ها را بدون ورودی از مشتری فعال کند. این یعنی Apigee داده‌های مشتری را بررسی می‌کند و درباره اینکه چه چیزی معتبر است و چه چیزی معتبر نیست تصمیم می‌گیرد.

‫Edge ابزاری است که باید از آن استفاده شود و می‌توان از آن برای انجام کارهایی که مشتریان برای دفاع از میاناهای برنامه‌سازی کاربردی خود نیاز دارند استفاده کرد. اما دفاع از API نیازمند تلاش مشتری است.

هدف محافظت از خدمات API مشتری است. این یکی از ویژگی‌ها و قابلیت‌های Edge Cloud است.

درواقع، مسئله مسدود کردن انواع مختلف ترافیک «منع سرویس توزیع‌شده» تا حد امکان دور از «میاناهای برنامه‌سازی کاربردی» واقعی است:

• بسته‌های شبکه بدشکل را در شبکه Cloud مسدود کنید
• جذب سیل بسته‌های به‌درستی شکل‌گرفته اما ناقص در لایه پلاتفرم Edge
• فراخوانی‌های میانای برنامه‌سازی کاربردی بدشکل را در لایه Edge رها کنید
• تماس‌های معتبر اما غیرمجاز را در Edge مسدود کنید
• تماس‌های بیش‌ازحد را که به‌درستی شکل گرفته و مجاز هستند در Edge مسدود کنید
• از Sense برای شناسایی کلیدهای معتبر و درست، درخواست‌های معتبر میانای برنامه‌سازی کاربردی که خارج از دسترسی موردانتظار یا مجاز شما است استفاده کنید
• فقط تماس‌های api معتبر، مجاز، قابل‌قبول، و در محدوده مجاز را به مرکز داده مشتری ارسال کنید

دیگر سؤالات متداول

آیا Apigee می‌تواند (ip|country|url) را در فهرست غیرمجازها قرار دهد؟

بله، اگر خط‌مشی در Edge در سازمان Edge مشتری ایجاد، پیکربندی، و فعال شده باشد.

آیا Apigee می‌تواند روبات‌ها یا فعالیت‌های مخرب مشابه را شناسایی کند؟

‫Apigee سرویس تشخیص روباتی به‌نام Sense ارائه می‌دهد.

آیا Apigee ترافیک را برای من در سیاهچاله قرار می‌دهد؟

‫Apigee ترافیک مقصد مشتری را مسدود نمی‌کند. اگر Apigee بتواند تشخیص دهد که ترافیک مخرب است، با مشتری ارتباط برقرار می‌کنیم و پیشنهاد کمک می‌دهیم. بااین‌حال، به‌دلیل مقیاس Apigee Edge و ارائه‌دهندگان فضای ابری ما (GCP و AWS)، حجم ترافیک به‌تنهایی باعث مسدود شدن ترافیک نمی‌شود.

آیا حمله DoS یا DDoS به‌عنوان فراخوانی‌های API پردازش‌شده در Edge محسوب می‌شود؟

‫Apigee Edge راه‌حلی است که به جلوگیری از سوءاستفاده از سیستم‌های زیرینه مشتری کمک می‌کند. بنابراین درصورت وقوع حمله، Edge براساس پیکربندی، سهمیه/توقف جهش/محافظت دربرابر تهدید و غیره را برای جذب سوءاستفاده در لایه Apigee Cloud اعمال می‌کند. فردی که کلید API معتبر دارد و از حد سهمیه فراتر نرفته است همچنان می‌تواند به آن API دسترسی داشته باشد. هر فراخوانی API که در لایه ما پردازش شود به‌عنوان فراخوانی پردازش‌شده محسوب می‌شود. ‫Apigee Edge ابزاری در جعبه‌ابزار امنیتی برای دفاع مشتریان دربرابر حمله‌های منع سرویس توزیع‌شده و انواع دیگر حمله‌ها است.

اطلاعات دقیق درباره دفاع دربرابر «حمله منع سرویس توزیع‌شده»

1. ‫GCP و AWS درصورت نیاز (حمله بسیار بزرگ) در سطح شبکه کمک‌های لازم را برای مقابله با «منع سرویس توزیع‌شده» ارائه می‌دهند.
   • ‫Apigee در GCP و AWS مخاطبین امنیتی را برای ارجاع و پاسخگویی درصورت نیاز به کمک GCP یا AWS برای پاسخ به حمله حفظ می‌کند.
2. از Apigee Edge می‌توان برای پیاده‌سازی خط‌مشی‌هایی که از میاناهای برنامه‌سازی کاربردی مشتری دربرابر حمله محافظت می‌کنند استفاده کرد.
   • محدود کردن نرخ.
   • دستگیری‌های ناگهانی.
   • تشخیص حمله با بار XML.
   • خط‌مشی‌های دیگری را می‌توان برای دفاع دربرابر حملات خاص نوشت.
3. ‫Edge از مقیاس‌بندی خودکار به‌عنوان یکی از قابلیت‌های دفاعی خود استفاده می‌کند.
4. ‫Apigee و مشتری (و GCP یا AWS) باید درطول حمله DDoS با هم همکاری کنند. ارتباطات باز مهم است و Apigee همیشه منابع امنیتی دراختیار تیم پشتیبانی خود دارد.

اولین واکنش به حمله DDoS استفاده از Apigee Edge برای کمک به مقابله با حمله است: فعال کردن دستگیری ناگهانی، محدود کردن نرخ، و حتی فهرست سیاه کردن نشانی‌های IP منبع. ابزارهای زیادی در Edge برای دفاع دربرابر حمله منع سرویس توزیع‌شده دردسترس است.

اگر حجم حمله به‌اندازه کافی بزرگ باشد، Apigee می‌تواند با مشتری همکاری کند تا به ارائه‌دهنده ابر مناسب برای «کمک بالادستی» ارجاع دهد. ازآنجایی‌که هر حمله منع سرویس توزیع‌شده منحصربه‌فرد است، پاسخ درطول حمله تعیین خواهد شد. بااین‌حال، روال‌های مطلوب و جزئیات موردنیاز برای کمک به در فرایند ارجاع در کاهش حمله منع سرویس در AWS مستند شده است.

به‌یاد داشته باشید که کلید این است:

طرحی برای حملات ایجاد کنید. فراموش نکنید که ما با هم در این مسیر هستیم. مشتریانی که مشکوک هستند تحت حمله قرار گرفته‌اند باید درخواست پشتیبانی باز کنند و از Apigee کمک بخواهند.

GCP

‫Apigee از دفاعیه‌های ارائه‌شده توسط GCP که در روال‌های مطلوب برای محافظت و کاهش منع سرویس توزیع‌شده ذکر شده است استفاده می‌کند، ازجمله:

• شبکه‌های مجازی
• قوانین دیوار آتش
• تراز بار

AWS

‫AWS روال‌های مطلوب برای انعطاف‌پذیری دربرابر منع سرویس توزیع‌شده و نحوه آماده شدن برای حمله‌های منع سرویس توزیع‌شده با کاهش سطح حمله را منتشر می‌کند. ‫Apigee از چندین مورد از این موارد که برای محیط ما قابل‌اجرا است استفاده می‌کند:

• VPC
• گروه‌های امنیتی
• فهرست‌های کنترل دسترسی
• Route53
• تراز بار