使用NGINX App Protect Denial of Service保护应用免受第7层DoS攻击

用户体验至关重要。如果消费者和客户不使用应用和网站，它们就失去了存在的意义。因此，确保积极且一致的用户体验非常重要，尤其是在用户对延迟、停机和错误的容忍度越来越低的情况下。

如果用户在使用您的应用或网站时体验不佳，您可能会永远失去这些客户。根据一项Salesforce调查，61%的消费者表示，一次糟糕的体验就会让他们转向竞争对手。如果糟糕的体验再次发生，客户流失将不可避免。面对众多在线选择，品牌忠诚度的作用也很有限。

停机是导致消费者不满的主要原因之一，而拒绝服务（DoS）攻击则是造成持续停机的主要因素。随着应用设计不断变化，新的威胁途径随之出现。攻击者也调整了已有20多年历史的DoS攻击手段，以利用现代架构中的弱点。2020年1月至2021年3月，应用层（第7层）DoS攻击数量大幅增加，占所有DDoS事件的16%。事实上，F5安全事件响应团队收到的求助请求中，有一半与应用层DoS攻击有关。

集中式安全缓解措施可有效应对网络层（第4层）的大流量DoS攻击，但应用层DoS攻击的目标更明确，因此需要采用专门的防御措施，以保护日益分布式、由API和微服务组成且部署在云等更灵活基础设施上的现代应用。

突破传统防护

即使DoS攻击的来源是分布式的（因而构成DDoS攻击），网络层的基本流量型攻击通常也以单个设备或服务为目标，而传统防护工具同样采用单体式集中架构。尽管这些工具在应用安全领域仍有其用武之地，但仅靠它们还不够。如今，基于云的DDoS防护服务已成为行业标准。然而，这些服务仍未解决一个事实：应用已不再是单体式的单一服务，而是包含许多需要保护的集成点。

在数字化转型以及随之而来的大规模架构转型（转向API、微服务和基于云的集成）之前，基本的Web应用防火墙（WAF）基本可以缓解漏洞利用和DoS攻击。例如，在客户端表现为流量洪泛的容量型攻击中，由于流量集中，基本WAF和传统DoS防护工具能够有效发挥作用。云清洗服务可以在流量进入入口链路之前缓解攻击，也可以在应用堆栈前部署防护。基本WAF仍可抵御传统攻击，主要采用速率限制、拒绝列表和机器人签名等方式，但如今的威胁形势已远不止于此。

简而言之，形势已经发生变化，基础WAF和传统DoS防护已无法有效应对现代应用架构。

现代DoS攻击发生在第7层，并且隐藏在加密通道中，以应用逻辑为目标，因此更难检测。为此，需要增加一层防护，用于衡量客户端行为和服务器压力，这两项是DoS攻击的主要指标。

为帮助解决这一问题，我们最近发布了NGINX App Protect拒绝服务模块。如果已有WAF和传统DoS防护，您可能会疑惑是否还需要DoS模块。答案是肯定的，继续阅读以了解原因。

现代架构需要现代化防护

加密已无处不在，而传统DoS防护并非为大规模解密而设计。在单体应用时代，由于加密尚未如此普及，仅查看客户端流量基本就能检测到攻击，因此集中式DoS缓解是合理的。如今，几乎所有流量都已加密，因此仅关注入站流量的无状态DoS缓解基本无效，尤其是攻击者通过单个定向请求对应用造成压力时。

如今，应用的设计和优化面向微服务等分布式架构。随着用户隐私日益受到重视（并推动相关立法），加之密码学不断发展，端到端加密正日趋普及。现代架构高度依赖API，而API之间的通信（也称为“东西向流量”）甚至可能不会经过集中式安全控制。

有效的应用层DoS防护需要端到端的可见性和上下文，包括检测客户端异常和服务器端压力的能力。高级7层DoS攻击通常会伪装成合法流量，因此，速率限制、拒绝列表、签名和协议合规性等基本缓解措施已不足以应对。

复杂的第7层攻击表面上看似合法流量，而基础WAF缺乏检测此类攻击所需的行为分析能力。NGINX App Protect DoS专门用于同时分析客户端异常和服务器压力，可动态识别并缓解攻击并衡量缓解效果，无需已不堪重负的安全团队投入精力。

如果仅依赖基础WAF防御和传统DDoS缓解措施，就无法充分了解Layer 7攻击的情况及相关背景，可能造成严重后果，包括延迟、停机、收入损失和品牌受损。通过行为分析，可以持续分析客户端异常和服务运行状况，以检测零日DoS攻击。深入分析站点行为，有助于回答以下问题：与基准流量模式相比，是否存在异常？即使请求看似来自浏览器，是否缺少浏览器通常应包含的信息？请求是否包含复杂的数据库查询，导致CPU利用率过高？

通过建立正常性能和行为基线，NGINX App Protect DoS可以重点应对绕过传统防御并给应用带来压力的第7层攻击。

使用多个模块进行缓解

DoS攻击造成的后果并未改变：性能下降、用户受挫和收入流失。但DoS攻击的实施方式可能大不相同，黑客会利用加密和安全工具，将威胁伪装成合法流量。

用户或许无法分辨不同架构，但能明显感受到网站性能的好坏。大量攻击流量会造成延迟，让用户感觉网站响应缓慢。如果速度慢到一定程度，即使是最有耐心的用户（这样的人并不多！）也会放弃交易，转向其他网站。即使是单个有针对性的请求，也可能造成延迟并增加服务器压力，因此，专门的应用DoS防护至关重要。

Web应用安全解决方案不断演进，以应对新的攻击，例如《OWASP Web应用自动化威胁》中所述的攻击。但您需要与应用运行时原生集成的防护，既能动态响应，又能灵活适应。其他DoS解决方案可能针对SYN洪泛等网络DDoS攻击而设计，而NGINX App Protect DoS解决方案则专门应对会给应用资源造成压力的第7层攻击。结合使用WAF和第7层DoS解决方案，可确保应用同时免受漏洞利用和业务逻辑滥用，防止应用遭到入侵，并避免延迟、性能下降和停机。

如今，商业活动大多在线上开展，人们也大多活跃于线上。您需要打造安全可靠的线上环境。通过结合NGINX App Protect WAF与NGINX App Protect DoS模块，可以获得适合自身环境、应用和业务的强大防护。

亲自体验NGINX App Protect，立即开始30天免费试用，或联系我们，讨论您的用例。