הדף הזה מתייחס ל-Apigee, אבל לא ל-Apigee Hybrid.
לעיון במסמכי התיעוד של
Apigee Edge
התקפת מניעת שירות (DoS) היא ניסיון להפוך את השירות או האפליקציה שלכם ללא זמינים למשתמשי הקצה. במתקפות מניעת שירות מבוזרות (DDoS), התוקפים משתמשים בכמה מקורות (לרוב מספר גדול של מארחים או מופעים שנפרצו) כדי לתזמן מתקפות בקנה מידה גדול נגד יעדים.
ארכיטקטורת Apigee יוצרת קישור בין שתי רשתות: פרויקט דייר שמנוהל על ידי Google (VPC של Apigee) ופרויקט שמנוהל על ידי הלקוח (VPC של הלקוח). כדי לצמצם או למנוע מתקפות DoS ברשתות האלה, חשוב לפעול לפי השיטות המומלצות להגנה מפני מתקפות DDoS ב-Google Cloud Platform (PDF).
אם חושפים את ממשקי ה-API שלכם באופן חיצוני, אתם עלולים להיות פגיעים להתקפות מניעת שירות (DoS). כדי לצמצם את הסיכון הזה, Cloud Load Balancing כולל כמה אמצעי הגנה מובנים, כולל:
- הגנה באמצעות תשתית ממשק הקצה של Google: עם Cloud Load Balancing, תשתית ממשק הקצה של Google מפסיקה את תעבורת הנתונים של המשתמשים ומתאימה את עצמה באופן אוטומטי כדי לספוג סוגים מסוימים של מתקפות (כמו הצפת SYN) לפני שהן מגיעות למכונות של Compute Engine.
- איזון עומסים מבוסס-Anycast: Cloud Load Balancing מאפשר להשתמש בכתובת IP אחת מסוג Anycast כדי להפנות בקשות למכונות קצה של Apigee בכל האזורים. התנועה מופנית לחלק האחורי הקרוב ביותר. במקרה של מתקפת DDoS, GCLB מגדיל את שטח הפנים כדי לספוג את המתקפה על ידי העברת התנועה למופעים עם קיבולת זמינה בכל אזור שבו נפרסים חלקי קצה עורפיים.
בנוסף ל-Cloud Load Balancing, אפשר להוסיף את Google Cloud Armor כדי להגן על נקודות הקצה של ה-API מפני מתקפות DoS ומתקפות אינטרנט. היתרונות של Cloud Armor כוללים:
- בקרת גישה שמבוססת על כתובת IP ומיקום גיאוגרפי: סינון התנועה הנכנסת לפי כתובות IPv4 ו-IPv6 או טווחי כתובות (CIDR). אפשר לאכוף בקרות גישה מבוססות-מיקום גיאוגרפי כדי לאשר או לדחות תעבורה על סמך המיקום הגיאוגרפי של המקור באמצעות מיפוי geoIP של Google.
- תמיכה בפריסות היברידיות ובפריסות מרובות עננים: הגנה על אפליקציות מפני מתקפות DDoS או מתקפות באינטרנט, ואכיפה של מדיניות אבטחה בשכבה 7, בין אם האפליקציה שלכם נפרסת ב-Google Cloud או בארכיטקטורה היברידית או מרובת עננים.
- ניראות ומעקב: אפשר לעקוב בקלות אחרי כל המדדים שמשויכים למדיניות האבטחה בלוח הבקרה של Cloud Monitoring. אפשר גם לראות דפוסים חשודים של תעבורת נתונים באפליקציות מ-Cloud Armor ישירות במרכז הבקרה של Security Command Center.
- כללי WAF מוגדרים מראש: כללים מוכנים לשימוש מתוך ModSecurity Core Rule Set כדי לעזור להתגונן מפני מתקפות כמו פרצות אבטחה XSS (cross-site scripting) והזרקות SQL. כללי RFI, LFI ו-RCE זמינים גם בגרסת בטא. מידע נוסף זמין במדריך לכללי WAF.
- רשימות NamedIP: מאפשרות או דוחות תעבורה באמצעות מדיניות אבטחה של Cloud Armor, על סמך רשימת NamedIP שנבחרה (בטא).
מידע נוסף זמין במאמר Google Cloud Armor.