R\u00e9cemment, on m'a demand\u00e9 si un CDN \u00e0 haute s\u00e9curit\u00e9 ne pouvait pas emp\u00eacher les attaques d'API. C'est une bonne question, qui montre que les gens commencent enfin \u00e0 se pr\u00e9occuper de la s\u00e9curit\u00e9 r\u00e9elle des entreprises - apr\u00e8s tout, de nos jours, il suffit d'un crawler ou d'appels malveillants pour que l'interface s'effondre, sans parler de ceux qui visent sp\u00e9cifiquement les attaques par CC de l'API et la p\u00e9n\u00e9tration par injection.<\/p>\n
J'en arrive directement \u00e0 la conclusion : oui, mais il ne faut surtout pas ouvrir un CDN pour tout. Il faut comprendre que le CDN haute d\u00e9fense est essentiellement un syst\u00e8me de \u201cnettoyage du trafic + planification intelligente\u201d, et que la protection de l'API appartient \u00e0 une cat\u00e9gorie plus raffin\u00e9e de WAF (Web Application Firewall). De nombreux fournisseurs annoncent \u201cune cl\u00e9 pour prot\u00e9ger l'API\u201d, en fait, derri\u00e8re une pile de configurations empil\u00e9es, si l'on en croit les mots publicitaires, il n'y a pas loin de la coupe aux l\u00e8vres.<\/p>\n
Je commencerai par un point : beaucoup de gens pensent qu'en achetant un CDN \u00e0 haute d\u00e9fense, l'API sera automatiquement en s\u00e9curit\u00e9. \u00c0 la suite de l'attaque, il s'est av\u00e9r\u00e9 que la r\u00e9ponse de l'interface \u00e9tait lente comme un escargot, un journal de v\u00e9rification, toutes les demandes malveillantes contournent les r\u00e8gles de mise en cache, directement \u00e0 la station source. Il ne s'agit pas vraiment d'un probl\u00e8me de CDN, mais vous n'avez pas dit au CDN \u201cquelle est l'API\u201d \u201ccomment l'emp\u00eacher\u201d.<\/p>\n
En quoi une attaque par API diff\u00e8re-t-elle d'une attaque par Internet classique ?<\/strong><\/p>\n Les API sont souvent au c\u0153ur de l'activit\u00e9, avec des interactions de donn\u00e9es fr\u00e9quentes, et de nombreuses requ\u00eates dynamiques qui ne peuvent pas compter sur la mise en cache pour acheminer le trafic. Les attaquants aiment se concentrer sur l'API, car une fois que vous avez contourn\u00e9 la protection, vous pouvez directement obtenir les donn\u00e9es et m\u00eame lever le droit. J'ai test\u00e9, sans limiter le taux de l'interface de connexion, une seule requ\u00eate IP des centaines de fois par seconde, l'unit\u00e9 centrale du serveur a directement explos\u00e9 - et il ne s'agit l\u00e0 que d'une attaque primaire.<\/p>\n Plus impitoyable est le type d'attaque lente \u00e0 faible fr\u00e9quence, simulant le comportement normal de l'utilisateur, toutes les quelques secondes pour ajuster la cl\u00e9 API. Cette demande semble inoffensive, mais un jour peut consommer des centaines de milliers de requ\u00eates de base de donn\u00e9es, et le WAF traditionnel est difficile \u00e0 trouver. Par cons\u00e9quent, la protection de l'API doit \u00eatre \u201craffin\u00e9e\u201d, se contenter des listes noires d'adresses IP et de la protection CC de base n'est absolument pas suffisant.<\/p>\n Comment prot\u00e9ger les API avec un CDN \u00e0 haute d\u00e9fense ? L'essentiel tient en trois points : l'identification, les r\u00e8gles et les liens.<\/strong><\/p>\n Tout d'abord, vous devez indiquer au CDN quels chemins sont des API. Par exemple, votre interface de connexion utilisateur est Par exemple, dans la console CDN5, vous pouvez configurer les r\u00e8gles de chemin d'acc\u00e8s \u00e0 l'API comme suit :<\/p>\n Cet ensemble de r\u00e8gles signifie que toutes les interfaces API doivent accepter un maximum de 100 requ\u00eates par minute, avec pas plus de 20 courtes rafales. Apr\u00e8s avoir d\u00e9pass\u00e9 cela, il ne s'agit pas d'un blocage direct d'IP, mais d'une fen\u00eatre CAPTCHA - apr\u00e8s tout, il est pire de blesser accidentellement un utilisateur r\u00e9el que de laisser un robot s'en sortir.<\/p>\n Mais il ne suffit pas de limiter le flux, il faut aussi se prot\u00e9ger contre les param\u00e8tres malveillants et les attaques par injection. C'est l\u00e0 que les r\u00e8gles WAF entrent en jeu. Par exemple, pour l'injection SQL, vous pouvez configurer des r\u00e8gles personnalis\u00e9es dans la console de CDN07 :<\/p>\n Attention, ne copiez pas mes r\u00e8gles directement ici ! Dans l'environnement r\u00e9el, il faut s'adapter \u00e0 l'activit\u00e9, sinon on risque de tuer par erreur la requ\u00eate normale. J'ai vu un projet de commerce \u00e9lectronique, l'interface de recherche de produits avec le mot cl\u00e9 \u201cunion\u201d (comme \u201calliance de marques\u201d), les r\u00e9sultats ont \u00e9t\u00e9 directement bloqu\u00e9s par le WAF, une grande blague.<\/p>\n Comparaison des capacit\u00e9s de protection de l'API de diff\u00e9rents fournisseurs de CDN<\/strong><\/p>\n J'ai utilis\u00e9 pas moins de dix CDN et, pour \u00eatre honn\u00eate, le niveau de chacun varie. Par exemple, la protection de l'API de CDN5 est plus d\u00e9taill\u00e9e, prend en charge la d\u00e9tection bas\u00e9e sur le corps JSON et peut m\u00eame analyser la structure des requ\u00eates GraphQL ; tandis que l'avantage de CDN07 r\u00e9side dans l'intelligence globale des menaces, qui peut relier les mod\u00e8les d'attaque d'autres clients et bloquer les IP malveillantes \u00e0 l'avance.<\/p>\n Toutefois, certains petits fournisseurs (je ne les nommerai pas) de \u201cprotection des API\u201d ne sont qu'un gadget, par essence, ou une protection CC sous un autre nom, m\u00eame POST Body ne peut pas \u00eatre d\u00e9tect\u00e9. Si vous utilisez ce type de protection, cela \u00e9quivaut \u00e0 creuser un trou pour la s\u00e9curit\u00e9 de l'API.<\/p>\n R\u00e9cemment, j'ai \u00e9galement test\u00e9 les n\u0153uds d'outre-mer de 08Host et j'ai d\u00e9couvert que leur strat\u00e9gie de protection pour les API est un peu int\u00e9ressante : non seulement elle prend en charge la limitation de flux et le WAF, mais elle peut \u00e9galement ajuster dynamiquement sa strat\u00e9gie en fonction du code d'\u00e9tat de retour de l'interface. Par exemple, si une interface renvoie soudainement un grand nombre d'erreurs 500, le syst\u00e8me d\u00e9clenchera automatiquement un meltdown pour \u00e9viter l'effet d'avalanche - cette fonctionnalit\u00e9 est particuli\u00e8rement utile pour l'architecture des microservices.<\/p>\n Configuration pratique : trois \u00e9tapes pour construire un syst\u00e8me de protection de l'API<\/strong><\/p>\n La premi\u00e8re \u00e9tape consiste sans aucun doute \u00e0 trier les actifs de l'API. C'est quelque chose qui semble \u00e9l\u00e9mentaire, mais 80 % des \u00e9quipes ne le font tout simplement pas. Vous devez lister toutes les interfaces qui sont ouvertes au public, y compris les chemins, les m\u00e9thodes (GET\/POST), les param\u00e8tres et les lignes de base du trafic normal. Je recommande d'exporter directement avec Swagger ou la sp\u00e9cification OpenAPI, sinon le tri manuel peut \u00eatre \u00e9puisant.<\/p>\n La deuxi\u00e8me \u00e9tape consiste \u00e0 d\u00e9finir des strat\u00e9gies de protection pour les diff\u00e9rentes interfaces. Les interfaces sensibles (telles que la connexion, le paiement) doivent limiter strictement le flux et la d\u00e9tection de param\u00e8tres complets, les interfaces publiques (telles que la liste des produits) peuvent \u00eatre assouplies pour limiter le flux, mais avec une fonction anti-crawler. Un exemple :<\/p>\n La troisi\u00e8me \u00e9tape est la surveillance des journaux et l'it\u00e9ration.CDN journaux de protection doivent \u00eatre docked syst\u00e8me SIEM ou plate-forme de surveillance auto-construit, en se concentrant sur les faux kills et les \u00e9v\u00e9nements de contournement. J'ai pr\u00e9c\u00e9demment compt\u00e9 sur la pile ELK pour faire un Kanban en temps r\u00e9el, a constat\u00e9 qu'un certain crawler sp\u00e9cifiquement le matin \u00e0 4:00 crawl API \u00e0 faible fr\u00e9quence, et a ensuite ajout\u00e9 les r\u00e8gles de dimension temporelle pour arr\u00eater compl\u00e8tement.<\/p>\n Ne marchez jamais dans ces nids de poule !<\/strong><\/p>\n Certaines personnes aiment fixer la valeur limite du flux \u00e0 un niveau extr\u00eamement bas d\u00e8s qu'elles se pr\u00e9sentent, ce qui a pour cons\u00e9quence que les utilisateurs r\u00e9els ont fait sauter le CAPTCHA en masse pendant la campagne, et que l'exp\u00e9rience s'est directement effondr\u00e9e. La bonne approche consiste \u00e0 commencer par observer pendant un certain temps, en fonction de la distribution r\u00e9elle du trafic, pour fixer le seuil - par exemple, prendre le volume moyen de requ\u00eates de 3 fois comme ligne de d\u00e9clenchement.<\/p>\n N'oubliez pas non plus que le CDN n'est qu'une couche de protection, et que les API cl\u00e9s doivent \u00eatre v\u00e9rifi\u00e9es deux fois au niveau de la couche m\u00e9tier. Par exemple, l'interface permettant de modifier les donn\u00e9es de l'utilisateur, vous devez v\u00e9rifier le jeton d'identit\u00e9 et les privil\u00e8ges d'exploitation. Lors d'un test de p\u00e9n\u00e9tration, j'ai trouv\u00e9 une faille : le niveau CDN a plac\u00e9 la requ\u00eate, mais le serveur n'a pas v\u00e9rifi\u00e9 si l'identifiant de l'utilisateur appartient \u00e0 la session en cours, ce qui a eu pour cons\u00e9quence d'outrepasser le droit d'acc\u00e8s.<\/p>\n Il y a aussi des probl\u00e8mes de certificat et de cryptage. L'API doit avoir un lien HTTPS complet et doit mettre \u00e0 jour le certificat r\u00e9guli\u00e8rement. J'ai vu trop de trag\u00e9dies o\u00f9 le CDN ne parvient pas \u00e0 retourner \u00e0 la source \u00e0 cause d'un certificat expir\u00e9, et l'API est toute 503. Maintenant que Let's Encrypt peut renouveler automatiquement le certificat, il n'y a plus aucune raison de faire cette erreur.<\/p>\n En r\u00e9sum\u00e9.<\/strong><\/p>\n Un CDN \u00e0 haute d\u00e9fense prot\u00e8ge contre les attaques d'API, mais n\u00e9cessite une configuration proactive et une optimisation continue. L'id\u00e9e de base est la suivante : identifier les actifs de l'API \u2192 \u00e9tablir des r\u00e8gles affin\u00e9es \u2192 surveiller les it\u00e9rations. Lors de la s\u00e9lection des fournisseurs, concentrez-vous sur la pr\u00e9cision de d\u00e9tection du WAF, les dimensions de limitation des flux et les capacit\u00e9s de journalisation, comme CDN5 et CDN07 sont dans le premier niveau, et 08Host est adapt\u00e9 \u00e0 des sc\u00e9narios sp\u00e9cifiques.<\/p>\n Enfin, une chose est s\u00fbre : la s\u00e9curit\u00e9 des API n'est pas une solution unique, les m\u00e9thodes d'attaque \u00e9voluent tous les jours. M\u00eame sur le meilleur CDN, vous devez effectuer r\u00e9guli\u00e8rement des tests de p\u00e9n\u00e9tration et des audits de r\u00e8gles. Sinon, lorsque la fuite de donn\u00e9es et ensuite la rem\u00e9diation, ce n'est pas un changement de configuration qui peut \u00eatre r\u00e9solu.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, on m'a demand\u00e9 si un CDN \u00e0 haute s\u00e9curit\u00e9 ne pouvait pas emp\u00eacher les attaques d'API ? C'est une bonne question, que nous commen\u00e7ons enfin \u00e0 se soucier de la s\u00e9curit\u00e9 r\u00e9elle de l'entreprise - apr\u00e8s tout, ces jours-ci, juste un crawler ou des appels malveillants peuvent \u00eatre faites \u00e0 l'interface de l'effondrement, sans parler de ceux sp\u00e9cifiquement pour l'API CC attaques et la p\u00e9n\u00e9tration de l'injection. Je dis directement la conclusion : peut, mais certainement pas ouvrir un CDN sur tout va bien. Il faut comprendre que le CDN haute d\u00e9fense est essentiellement un syst\u00e8me de \u201cnettoyage du trafic + planification intelligente\u201d, et que la protection de l'API appartient \u00e0 une cat\u00e9gorie plus sophistiqu\u00e9e de WAF (Web Application Firewall). De nombreux fournisseurs annoncent \u201cune API de protection des cl\u00e9s\u201d, en fait, derri\u00e8re un tas de configurations empil\u00e9es, si vous croyez \u00e0 la publicit\u00e9, il n'est pas loin d'\u00eatre bross\u00e9. Je crache d'abord un peu : beaucoup de gens pensent que l'achat d'un CDN de haute d\u00e9fense, AP<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-951","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/951","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=951"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/951\/revisions"}],"predecessor-version":[{"id":1174,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/951\/revisions\/1174"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=951"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=951"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=951"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=951"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/api\/v1\/login<\/code>La demande de commande est \/graphql<\/code>Il faut les indiquer explicitement au CDN : \u201cCe sont des interfaces, ne les traitez pas comme des ressources statiques\u201d. L'avantage est que les principaux fournisseurs prennent en charge la correspondance des chemins et peuvent m\u00eame remplacer le routage dynamique par des expressions r\u00e9guli\u00e8res.<\/p>\n