Google App EngineでDoSingを防ぐことはできますか？
https://stackoverflow.com/questions/822247
-
03-07-2019 - |
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
Russian質問
Google App Engine用のアプリを開発することを検討していますが、これはあまりトラフィックを増やすべきではありません。私は本当に無料の割り当てを超えてお金を払いたくない。ただし、アプリをオーバーロードしてクォータを超過することにより、サービス拒否攻撃を引き起こすことは非常に簡単だと思われます。無料の割り当てを超えることを防止または困難にする方法はありますか？たとえば、IPからのリクエストの数を制限することはできます（CPUクォータを超えるのを難しくする）が、リクエストまたは帯域幅のクォータを超えるのを困難にする方法はありますか？
解決
DoSを防ぐ組み込みツールはありません。 Javaを使用してGoogle Appsを作成している場合は、 service.FloodFilter フィルターを使用できます。次のコードは、サーブレットが実行される前に実行されます。
package service;
import java.io.IOException;
import java.util.HashMap;
import java.util.Map;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletContext;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
/**
*
* This filter can protect web server from simple DoS attacks
* via request flooding.
*
* It can limit a number of simultaneously processing requests
* from one ip and requests to one page.
*
* To use filter add this lines to your web.xml file in a <web-app> section.
*
<filter>
<filter-name>FloodFilter</filter-name>
<filter-class>service.FloodFilter</filter-class>
<init-param>
<param-name>maxPageRequests</param-name>
<param-value>50</param-value>
</init-param>
<init-param>
<param-name>maxClientRequests</param-name>
<param-value>5</param-value>
</init-param>
<init-param>
<param-name>busyPage</param-name>
<param-value>/busy.html</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>JSP flood filter</filter-name>
<url-pattern>*.jsp</url-pattern>
</filter-mapping>
*
* PARAMETERS
*
* maxPageRequests: limits simultaneous requests to every page
* maxClientRequests: limits simultaneous requests from one client (ip)
* busyPage: busy page to send to client if the limit is exceeded
* this page MUST NOT be intercepted by this filter
*
*/
public class FloodFilter implements Filter
{
private Map <String, Integer> pageRequests;
private Map <String, Integer> clientRequests;
private ServletContext context;
private int maxPageRequests = 50;
private int maxClientRequests = 10;
private String busyPage = "/busy.html";
public void doFilter( ServletRequest request, ServletResponse response, FilterChain chain ) throws IOException, ServletException
{
String page = null;
String ip = null;
try {
if ( request instanceof HttpServletRequest ) {
// obtaining client ip and page URI without parameters & jsessionid
HttpServletRequest req = (HttpServletRequest) request;
page = req.getRequestURI();
if ( page.indexOf( ';' ) >= 0 )
page = page.substring( 0, page.indexOf( ';' ) );
ip = req.getRemoteAddr();
// trying & registering request
if ( !tryRequest( page, ip ) ) {
// too many requests in process (from one client or for this page)
context.log( "Flood denied from "+ip+" on page "+page );
page = null;
// forwarding to busy page
context.getRequestDispatcher( busyPage ).forward( request, response );
return;
}
}
// requesting next filter or servlet
chain.doFilter( request, response );
} finally {
if ( page != null )
// unregistering the request
releaseRequest( page, ip );
}
}
private synchronized boolean tryRequest( String page, String ip )
{
// checking page requests
Integer pNum = pageRequests.get( page );
if ( pNum == null )
pNum = 1;
else {
if ( pNum > maxPageRequests )
return false;
pNum = pNum + 1;
}
// checking client requests
Integer cNum = clientRequests.get( ip );
if ( cNum == null )
cNum = 1;
else {
if ( cNum > maxClientRequests )
return false;
cNum = cNum + 1;
}
pageRequests.put( page, pNum );
clientRequests.put( ip, cNum );
return true;
}
private synchronized void releaseRequest( String page, String ip )
{
// removing page request
Integer pNum = pageRequests.get( page );
if ( pNum == null ) return;
if ( pNum <= 1 )
pageRequests.remove( page );
else
pageRequests.put( page, pNum-1 );
// removing client request
Integer cNum = clientRequests.get( ip );
if ( cNum == null ) return;
if ( cNum <= 1 )
clientRequests.remove( ip );
else
clientRequests.put( ip, cNum-1 );
}
public synchronized void init( FilterConfig config ) throws ServletException
{
// configuring filter
this.context = config.getServletContext();
pageRequests = new HashMap <String,Integer> ();
clientRequests = new HashMap <String,Integer> ();
String s = config.getInitParameter( "maxPageRequests" );
if ( s != null )
maxPageRequests = Integer.parseInt( s );
s = config.getInitParameter( "maxClientRequests" );
if ( s != null )
maxClientRequests = Integer.parseInt( s );
s = config.getInitParameter( "busyPage" );
if ( s != null )
busyPage = s;
}
public synchronized void destroy()
{
pageRequests.clear();
clientRequests.clear();
}
}
Pythonを使用している場合、独自のフィルターをロールする必要があります。
他のヒント
それが可能かどうかはわかりませんが、 App Engineのよくある質問 DOS攻撃であることを示すことができれば、攻撃に関連する料金を払い戻します。
現在、PythonとJavaの両方で使用可能なIPアドレスベースのフィルターがあるようです（これは古いスレッドであることは知っていますが、それでもGoogle検索で高く表示されます）。
https://developers.google.com/appengine/docs/python/ config / dos
App Engineアプリケーションの前でサービス拒否保護機能を提供するサービスを使用することは常に可能です。たとえば、Cloudflareは、尊敬されるサービス https://www.cloudflare.com/waf/ を提供しています。他にもあります。これらの機能が無料プランで利用できることは私の理解です（免責事項：サービスを個人的に使用したことはありません）。
また、アプリケーション自体にmemcacheベースのレート制限実装を構築するのはかなり簡単です。このメソッドのGoogle検索で得た最初のヒットは次のとおりです。 http://blog.simonwillison.net / post / 57956846132 / ratelimitcache 。このメカニズムは適切であり、共有memcacheの使用で十分であり、無料であるため、費用対効果が高くなります。さらに、このルートに進むと、ノブを制御できます。欠点は、アプリケーション自体がHTTPリクエストを処理し、それを許可または拒否することを決定する必要があるため、対処するコスト（または[無料]のクォータの枯渇）が発生する可能性があることです。
完全開示：私はApp EngineでGoogleに勤務しており、CloudflareやSimon Willisonとは関係ありません。
GAEファイアウォールが最近リリースされましたが、以前のかなり限定された DoS保護サービスを置き換えることを目的としています。
（REST）Admin APIを介したファイアウォールルールのプログラムによる更新をサポートします： apps.firewall.ingressRules は、他の回答で説明されているように、DoS検出用のアプリ内ロジックと組み合わせることができます。違いは、ルールがデプロイされると、問題のあるリクエストがアプリに到達しなくなるため、料金が発生しなくなり、アプリ内フィルタリング自体が不要になることです。
