Blocco degli attacchi DoS e DDoS tramite le regole del filtro del traffico

Scopri come bloccare gli attacchi Denial of Service (DoS) e Distributed Denial of Service (DDoS) utilizzando le regole del filtro del traffico con il limite di frequenza e altre strategie nella rete CDN gestita da AEM as a Cloud Service (AEMCS). Questi attacchi causano picchi di traffico sulla rete CDN e potenzialmente sul servizio AEM Publish (ovvero l’origine) e possono influire sulla reattività e sulla disponibilità del sito.

Questa esercitazione funge da guida su come analizzare i modelli di traffico e configurare le regole del filtro del traffico per mitigare tali attacchi. Il tutorial descrive anche come configurare gli avvisi in modo da ricevere una notifica quando si sospetta un attacco.

Informazioni sui meccanismi di protezione

Ecco le informazioni sulle protezioni DDoS predefinite per il tuo sito web AEM:

Queste protezioni integrate devono essere considerate una linea di base per la capacità di un’organizzazione di ridurre al minimo l’impatto sulle prestazioni di un attacco DDoS. Poiché ogni sito web ha caratteristiche di prestazioni diverse ed è possibile notare un peggioramento delle prestazioni prima che venga raggiunto il limite di frequenza definito da Adobe, si consiglia di estendere le protezioni predefinite tramite la configurazione della clientela.

Esaminiamo alcune misure aggiuntive consigliate che la clientela può adottare per proteggere i propri siti web dagli attacchi DDoS:

Variazioni delle regole del traffico con limite di frequenza rate-limit-variations

Esistono due varianti delle regole del traffico con limite di frequenza:

Customer Journey

I passaggi seguenti riflettono il probabile processo con il quale ciascun cliente dovrebbe proteggere i propri siti web.

Il resto di questo tutorial ti guida attraverso questo processo.

Riconoscere la necessità di configurare le regole recognize-the-need

Come accennato in precedenza, per impostazione predefinita Adobe blocca il traffico sulla CDN che supera una determinata frequenza. Tuttavia, alcuni siti web potrebbero riscontrare un calo delle prestazioni al di sotto di tale soglia. Pertanto, è necessario configurare le regole del filtro del traffico con limite di frequenza.

Idealmente, puoi configurare le regole prima della pubblicazione in produzione. In concreto, molte organizzazioni dichiarano le regole in modo reattivo solo una volta avvisate di un picco di traffico che indica un probabile attacco.

Adobe invia un avviso di picco di traffico all’origine come Notifica Centro azioni quando viene superata una soglia predefinita di traffico da un singolo indirizzo IP per un determinato PoP. Se hai ricevuto un avviso di questo tipo, ti consigliamo di configurare una regola del filtro del traffico con limite di frequenza. Questo avviso predefinito è diverso dagli avvisi che devono esplicitamente essere abilitati dalla clientela durante la definizione delle regole del filtro del traffico, che saranno trattate in una sezione successiva.

Analisi dei modelli di traffico analyze-traffic

Se il sito è già attivo, puoi analizzare i modelli di traffico utilizzando i registri CDN e le dashboard fornite da Adobe.

Configura gli strumenti della dashboard utilizzando una delle opzioni seguenti:

ELK - Configurazione degli strumenti della dashboard

Gli strumenti della dashboard Elasticsearch, Logstash e Kibana (ELK) forniti da Adobe possono essere utilizzati per analizzare i registri CDN. Questi strumenti includono una dashboard che visualizza i modelli di traffico e semplifica la determinazione delle soglie ottimali per le regole di filtro del traffico con limite di frequenza.

Splunk - Configurazione degli strumenti della dashboard

La clientela che dispone dell’inoltro del registro Splunk abilitato può creare nuove dashboard per analizzare i modelli di traffico.

Per creare dashboard in Splunk, segui i passaggi in Dashboard Splunk per l’analisi del registro CDN di AEMCS.

Visualizzazione dei dati

Nelle dashboard ELK e Splunk sono disponibili le seguenti visualizzazioni:

Scelta dei valori di soglia

I valori di soglia per le regole di filtro del traffico con limite di frequenza devono essere basati sull’analisi precedente e assicurarsi che il traffico legittimo non venga bloccato. Per istruzioni su come scegliere i valori di soglia, consulta la tabella seguente:

Il multiplo da utilizzare dipende dalle aspettative di picchi normali di traffico dovuti a traffico organico, campagne e altri eventi. Può essere ragionevole utilizzare un multiplo tra 5 e 10.

Se il sito non è ancora attivo, non ci sono dati da analizzare e devi effettuare un’ipotesi plausibile dei valori appropriati da impostare come le regole del filtro del traffico con limite di frequenza. Ad esempio:

Configurazione delle regole configure-rules

Configura le regole di filtro del traffico con limite di frequenza nel file /config/cdn.yaml del progetto AEM, con valori basati sulla discussione precedente. Se necessario, rivolgiti al team di sicurezza web per assicurarti che i valori del limite di frequenza siano appropriati e non blocchino il traffico legittimo.

Per ulteriori informazioni, consulta Creare regole nel progetto AEM.

kind: CDN
version: '1'
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  trafficFilters:
    rules:
    ...
    #  Prevent attack at edge by blocking client for 5 minutes if they make more than 500 requests per second on average
      - name: prevent-dos-attacks-edge
        when:
          reqProperty: tier
          in: ["author","publish"]
        rateLimit:
          limit: 500 # replace with the appropriate value
          window: 10 # compute the average over 10s
          penalty: 300 # block IP for 5 minutes
          count: all # count all requests
          groupBy:
            - reqProperty: clientIp
        action:
          type: log
          alert: true
    #  Prevent attack at origin by blocking client for 5 minutes if they make more than 100 requests per second on average
      - name: prevent-dos-attacks-origin
        when:
          reqProperty: tier
          in: ["author","publish"]
        rateLimit:
          limit: 100 # replace with the appropriate value
          window: 10 # compute the average over 10s
          penalty: 300 # block IP for 5 minutes
          count: fetches # count only fetches
          groupBy:
            - reqProperty: clientIp
        action:
          type: log
          alert: true

Tieni presente che vengono dichiarate sia le regole di origine che le regole Edge e che la proprietà dell’avviso è impostata su true in modo da poter ricevere gli avvisi ogni volta che viene raggiunta la soglia, che probabilmente indica un attacco.

Si consiglia di impostare inizialmente il tipo di azione su registro, in modo da poter monitorare il traffico per alcune ore o giorni e assicurarsi che il traffico legittimo non superi queste frequenze. Dopo alcuni giorni, modifica in modalità blocco.

Per distribuire le modifiche all’ambiente AEMCS, segui i passaggi seguenti:

Configurazione delle regole di trasformazione delle richieste configure-request-transform-rules

Oltre alle regole del filtro del traffico con limite di frequenza, si consiglia di utilizzare trasformazioni della richiesta per annullare l’impostazione dei parametri di query non necessari all’applicazione, al fine di ridurre al minimo i modi per ignorare la cache tramite tecniche di busting della cache. Ad esempio, se desideri consentire solo i parametri di query search e campaignId, puoi dichiarare la seguente regola:

kind: "CDN"
version: "1"
metadata:
  envTypes:
    - dev
    - stage
    - prod
data:
  requestTransformations:
    rules:
      - name: unset-all-query-params-except-those-needed
        when:
          reqProperty: tier
          in: ["publish"]
        actions:
          - type: unset
            queryParamMatch: ^(?!search$|campaignId$).*$

Ricevere avvisi delle regole del filtro del traffico receiving-alerts

Come accennato in precedenza, se la regola del filtro del traffico include alert: true, viene ricevuto un avviso quando la regola corrisponde.

Intervenire sugli avvisi acting-on-alerts

A volte, l’avviso è informativo e dà un’idea della frequenza degli attacchi. Vale la pena analizzare i dati CDN utilizzando la dashboard descritta in precedenza, per verificare se il picco di traffico è dovuto a un attacco e non solo a un aumento del volume di traffico legittimo. In quest’ultimo caso, prendi in considerazione di aumentare la soglia.

Simulazione di un attacco attack-simulation

Questa sezione descrive i metodi per simulare un attacco DoS, che può essere utilizzato per generare dati per le dashboard utilizzate in questo tutorial e per convalidare che ogni regola configurata blocchi correttamente gli attacchi.

Per simulare un attacco, è possibile utilizzare strumenti come Apache Benchmark, Apache JMeter, Vegeta e altri.

Richieste Edge

Utilizzando il seguente comando Vegeta puoi effettuare molte richieste al tuo sito web:

$ echo "GET https://<YOUR-WEBSITE-DOMAIN>" | vegeta attack -rate=120 -duration=60s | vegeta report

Il comando precedente effettua 120 richieste in 5 secondi e genera un rapporto. Supponendo che il sito web non abbia limitazioni di frequenza, questo può causare un picco nel traffico.

Richieste di origine

Per ignorare la cache CDN ed effettuare richieste all’origine (servizio AEM Publish), puoi aggiungere all’URL un parametro di query univoco. Consulta lo script Apache JMeter di esempio in Simulare un attacco DoS utilizzando lo script JMeter