Recientemente, me han preguntado, de alta seguridad CDN en el final no puede prevenir los ataques de API? Esta es una buena pregunta, lo que demuestra que la gente est\u00e1 finalmente empezando a preocuparse por la seguridad empresarial real - despu\u00e9s de todo, en estos d\u00edas, s\u00f3lo un rastreador o llamadas maliciosas se pueden hacer a la interfaz de colapso, por no hablar de los espec\u00edficos para la API de CC ataques y la penetraci\u00f3n de inyecci\u00f3n.<\/p>\n
Yo digo directamente la conclusi\u00f3n: s\u00ed, pero definitivamente no abrir un CDN en todo. Tienes que entender, CDN de alta defensa es esencialmente un sistema de \u201climpieza de tr\u00e1fico + programaci\u00f3n inteligente\u201d, y la protecci\u00f3n de la API pertenece a una categor\u00eda m\u00e1s refinada WAF (Web Application Firewall). Muchos vendedores anuncian \u201cuna llave para proteger la API\u201d, de hecho, detr\u00e1s de un mont\u00f3n de configuraciones apiladas, si usted cree en los adwords, no est\u00e1 lejos de ser cepillado.<\/p>\n
Voy a escupir un punto primero: muchas personas piensan que si compran un CDN de alta defensa, la API ser\u00e1 autom\u00e1ticamente seguro. Como resultado del ataque, se encontr\u00f3 que la respuesta de la interfaz lenta como un caracol, un registro de verificaci\u00f3n, todas las solicitudes maliciosas eludir las reglas de almacenamiento en cach\u00e9, directamente a la estaci\u00f3n de origen. Esto no es realmente CDN no puede, pero no le dijo a la CDN \u201cque es la API\u201d \u201cc\u00f3mo prevenir\u201d.<\/p>\n
\u00bfEn qu\u00e9 se diferencia un ataque a la API de un ataque web normal?<\/strong><\/p>\n Las API suelen ser el n\u00facleo del negocio, con frecuentes interacciones de datos, y muchas son peticiones din\u00e1micas que no pueden confiar en el almacenamiento en cach\u00e9 para transportar el tr\u00e1fico. A los atacantes les gusta centrarse en la API, porque una vez que se salta la protecci\u00f3n, puede obtener directamente los datos e incluso levantar el derecho. He probado, un no hizo limitaci\u00f3n de la tasa de la interfaz de inicio de sesi\u00f3n, una sola solicitud de IP cientos de veces por segundo, la CPU del servidor directamente se dispar\u00f3 completo - y esto es s\u00f3lo un ataque primario.<\/p>\n M\u00e1s despiadado es el tipo de ataque lento de baja frecuencia, simulando el comportamiento normal del usuario, cada pocos segundos para ajustar la clave API. esta solicitud parece inofensiva, pero un d\u00eda de inactividad puede consumir cientos de miles de consultas a la base de datos, y el WAF tradicional es dif\u00edcil de encontrar. Por lo tanto, la protecci\u00f3n de la API debe ser \u201crefinado\u201d, s\u00f3lo se basan en listas negras de IP y la protecci\u00f3n b\u00e1sica de CC no es en absoluto suficiente.<\/p>\n \u00bfC\u00f3mo proteger las API con CDN de alta defensa? El n\u00facleo es s\u00f3lo tres puntos: identificaci\u00f3n, reglas, vinculaci\u00f3n.<\/strong><\/p>\n Por ejemplo, su interfaz de inicio de sesi\u00f3n de usuario es Por ejemplo, en la consola CDN5, puede configurar las reglas de ruta de la API del siguiente modo:<\/p>\n Lo que este conjunto de reglas significa es: todas las interfaces API coinciden en aceptar un m\u00e1ximo de 100 peticiones por minuto, con no m\u00e1s de 20 r\u00e1fagas cortas. Despu\u00e9s de superar que no es un bloqueo de IP directa, pero un CAPTCHA emergente - despu\u00e9s de todo, es peor perjudicar accidentalmente a un usuario real que dejar que un bot fuera del gancho.<\/p>\n Pero no basta con limitar el flujo, hay que protegerse contra los par\u00e1metros maliciosos y los ataques de inyecci\u00f3n. Aqu\u00ed es donde entran en juego las reglas WAF. Por ejemplo, para la inyecci\u00f3n SQL, puede configurar reglas personalizadas en la consola de CDN07:<\/p>\n Cuidado, \u00a1no copies directamente mis reglas aqu\u00ed! En el entorno real, usted tiene que ajustar de acuerdo con el negocio, de lo contrario puede matar por error la solicitud normal. He visto un proyecto de comercio electr\u00f3nico, interfaz de b\u00fasqueda de productos con palabras clave \u201cuni\u00f3n\u201d (como \u201calianza de marcas\u201d), los resultados fueron bloqueados directamente por el WAF, una gran broma.<\/p>\n Comparaci\u00f3n de las capacidades de protecci\u00f3n de API de distintos proveedores de CDN<\/strong><\/p>\n He utilizado no menos de diez CDN y, para ser sincero, el nivel de cada una var\u00eda. Por ejemplo, la protecci\u00f3n de la API de CDN5 es m\u00e1s detallada, admite la detecci\u00f3n basada en JSON Body e incluso puede analizar la estructura de consulta GraphQL; mientras que la ventaja de CDN07 reside en la inteligencia global de amenazas, que puede relacionar los patrones de ataque de otros clientes y bloquear las IP maliciosas con antelaci\u00f3n.<\/p>\n Sin embargo, hay algunos peque\u00f1os vendedores (no voy a nombrarlos) de \u201cprotecci\u00f3n de la API\u201d es un truco, en esencia, o la protecci\u00f3n de CC en otro nombre, incluso POST Cuerpo no puede ser detectado. Si utiliza este tipo, es equivalente a cavar un agujero para la seguridad de la API.<\/p>\n Recientemente tambi\u00e9n prob\u00e9 los nodos de ultramar de 08Host y descubr\u00ed que su estrategia de protecci\u00f3n para APIs es un poco interesante: no s\u00f3lo soporta la limitaci\u00f3n de flujo y WAF, sino que tambi\u00e9n puede ajustar din\u00e1micamente su estrategia seg\u00fan el c\u00f3digo de estado de retorno de la interfaz. Por ejemplo, si una interfaz devuelve de repente un gran n\u00famero de errores 500, el sistema activar\u00e1 autom\u00e1ticamente un meltdown para evitar el efecto avalancha - esta caracter\u00edstica es particularmente \u00fatil para la arquitectura de microservicios.<\/p>\n Configuraci\u00f3n pr\u00e1ctica: tres pasos para crear un sistema de protecci\u00f3n API<\/strong><\/p>\n El primer paso es, sin duda, ordenar los activos de la API. Es algo que parece b\u00e1sico, pero el 80% de los equipos simplemente no lo hacen todo. Tienes que listar todas las interfaces que est\u00e1n abiertas al p\u00fablico, incluyendo rutas, m\u00e9todos (GET\/POST), par\u00e1metros y l\u00edneas de base de tr\u00e1fico normal. Recomiendo exportar directamente con Swagger o la especificaci\u00f3n OpenAPI, de lo contrario la clasificaci\u00f3n manual puede ser agotadora.<\/p>\n El segundo paso consiste en establecer estrategias de protecci\u00f3n para las distintas interfaces. Las interfaces sensibles (como el inicio de sesi\u00f3n, el pago) para limitar estrictamente el flujo y la detecci\u00f3n de par\u00e1metro completo, las interfaces p\u00fablicas (como la lista de productos) puede ser relajado para limitar el flujo, pero anti-creeper. Un ejemplo:<\/p>\n El tercer paso es el monitoreo de registro y la iteraci\u00f3n.registros de protecci\u00f3n CDN deben ser acoplados sistema SIEM o plataforma de monitoreo de construcci\u00f3n propia, centr\u00e1ndose en falsos mata y eventos de derivaci\u00f3n. Anteriormente he confiado en la pila ELK para hacer un Kanban en tiempo real, se encontr\u00f3 que un determinado rastreador espec\u00edficamente en la ma\u00f1ana a las 4:00 API de rastreo de baja frecuencia, y luego a\u00f1adi\u00f3 las reglas de dimensi\u00f3n temporal para detener por completo.<\/p>\n \u00a1Nunca pises estos baches!<\/strong><\/p>\n Algunas personas les gusta establecer el valor l\u00edmite de flujo extremadamente bajo tan pronto como aparecen, y como resultado, los usuarios reales saltaron el CAPTCHA en masa durante la campa\u00f1a, y la experiencia se derrumb\u00f3 directamente. El enfoque correcto es poner primero la observaci\u00f3n durante un per\u00edodo de tiempo, de acuerdo con la distribuci\u00f3n real del tr\u00e1fico para establecer el umbral - por ejemplo, tomar el volumen medio de solicitudes de 3 veces como la l\u00ednea de disparo.<\/p>\n Adem\u00e1s, no olvide que la CDN es s\u00f3lo una capa de protecci\u00f3n, y las API clave deben verificarse dos veces en la capa empresarial. Por ejemplo, la interfaz para modificar los datos del usuario, debe verificar el token de identidad y privilegios de operaci\u00f3n. Una vez que la prueba de penetraci\u00f3n encontr\u00f3 una laguna: nivel CDN poner la solicitud, pero el servidor no comprueba si el ID de usuario pertenece a la sesi\u00f3n actual, lo que resulta en sobrepasar el derecho de acceso.<\/p>\n Tambi\u00e9n hay cuestiones de certificado y cifrado.API debe ser de enlace completo HTTPS, y tienen que actualizar el certificado con regularidad. He visto demasiadas tragedias donde el CDN no puede volver a la fuente debido a un certificado caducado, y la API es todo 503. Ahora Let's Encrypt puede renovar autom\u00e1ticamente el certificado, no hay realmente ninguna raz\u00f3n para cometer este error.<\/p>\n Resumiendo.<\/strong><\/p>\n Una CDN de alta defensa protege frente a los ataques a la API, pero requiere una configuraci\u00f3n proactiva y una optimizaci\u00f3n continua. La idea central es: identificar los activos de la API \u2192 establecer reglas refinadas \u2192 supervisar las iteraciones. Cuando seleccione proveedores, c\u00e9ntrese en la precisi\u00f3n de la detecci\u00f3n WAF, las dimensiones de limitaci\u00f3n de flujo y las capacidades de registro, como CDN5 y CDN07 est\u00e1n en el primer nivel, y 08Host es adecuado para escenarios espec\u00edficos.<\/p>\n Por \u00faltimo, una afirmaci\u00f3n s\u00f3lida: la seguridad de las API no es una soluci\u00f3n de una vez por todas, los m\u00e9todos de ataque evolucionan cada d\u00eda. Incluso en el mejor CDN, usted tiene que hacer pruebas de penetraci\u00f3n regulares y auditor\u00edas de reglas. De lo contrario, cuando la fuga de datos y luego remediaci\u00f3n, no es un cambio de configuraci\u00f3n puede ser resuelto.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, me han preguntado, de alta seguridad CDN en el final no puede prevenir los ataques de API? Esta es una buena pregunta, que por fin estamos empezando a preocuparse por la seguridad empresarial real - despu\u00e9s de todo, en estos d\u00edas, s\u00f3lo un rastreador o llamadas maliciosas se pueden hacer a la interfaz de colapso, por no hablar de aquellos espec\u00edficamente para la API de ataques CC y la penetraci\u00f3n de inyecci\u00f3n. Yo digo directamente la conclusi\u00f3n: se puede, pero definitivamente no abrir una CDN en todo est\u00e1 bien. Usted tiene que entender, CDN de alta defensa es esencialmente un sistema de \u201climpieza de tr\u00e1fico + programaci\u00f3n inteligente\u201d, y la protecci\u00f3n de la API pertenece a una categor\u00eda m\u00e1s sofisticada WAF (Web Application Firewall). Muchos vendedores anuncian \u201cuna API de protecci\u00f3n clave\u201d, de hecho, detr\u00e1s de un mont\u00f3n de configuraciones apiladas, si usted cree en el anuncio, no est\u00e1 lejos de ser cepillado. Escupo un poco primero: muchas personas piensan que la compra de un CDN de alta defensa, AP<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-951","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/951","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=951"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/951\/revisions"}],"predecessor-version":[{"id":1174,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/951\/revisions\/1174"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=951"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=951"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=951"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=951"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/api\/v1\/login<\/code>La solicitud de pedido es \/graphql<\/code>Hay que dec\u00edrselo expl\u00edcitamente a la CDN: \u201c\u00c9stas son interfaces, no las trates como recursos est\u00e1ticos\u201d. Lo bueno es que los principales proveedores admiten la correspondencia de rutas, e incluso pueden anular el enrutamiento din\u00e1mico con expresiones regulares.<\/p>\n