NGINX App Protect contra negação de serviço bloqueia ataques de DoS na camada de aplicação

Yaniv SazmanGerente Sênior de Gestão de Produtos

Embora a transformação digital esteja ampliando o potencial dos negócios, infelizmente ela também está expandindo o cenário de ameaças. Enquanto as equipes de segurança se ocupam em se adaptar ao aumento do escopo e das responsabilidades, os invasores tiram proveito da situação, tornando-se mais sofisticados do que nunca na forma como exploram aplicações para obter ganhos financeiros. Em comparação com os ataques tradicionais de negação de serviço (DoS) no nível da rede, os ataques DoS no nível da aplicação (Camada 7) estão aumentando rapidamente, em grande parte porque conseguem contornar as defesas tradicionais, que não foram projetadas para arquiteturas de aplicações modernas.

Do ponto de vista dos invasores, os ataques de DoS de camada 7 têm duas características valiosas: exigem pouquíssimos recursos para causar interrupções significativas e são difíceis de detectar. Gerados com ferramentas sofisticadas e solicitações direcionadas com precisão, esses ataques comprometem servidores de aplicações e APIs, impedindo-os de processar solicitações legítimas. Quando um servidor é sobrecarregado com mais solicitações do que consegue processar, ele descarta solicitações legítimas, deixa de responder ou até mesmo trava.

As soluções tradicionais de mitigação de DoS não são eficazes para aplicativos modernos. Elas oferecem segurança estática baseada em regras e exigem manutenção contínua para acompanhar o ritmo das mudanças e atualizações no cenário dos aplicativos modernos.

Apresentamos o NGINX App Protect DoS

NGINX App Protect contra negação de serviço (DoS) é um novo módulo dinâmico e leve para o NGINX Plus, desenvolvido para proteger aplicações modernas contra os ataques de DoS à aplicação mais sofisticados. O NGINX App Protect DoS mitiga ataques que visam interromper e prejudicar aplicações, garantindo desempenho contínuo e geração de receita, além de preservar a fidelidade dos clientes e a marca em um mundo digital altamente competitivo.

O NGINX App Protect DoS pode ser implantado próximo a aplicações e microsserviços em qualquer plataforma, arquitetura ou ambiente, incluindo clusters do Kubernetes. Ele é dimensionado horizontalmente junto com a aplicação e mantém sempre uma alta eficácia de segurança.

NGINX App Protect DoS em ação

Casos de uso de implantação

O NGINX App Protect DoS pode ser implantado em diversos locais para proteger os serviços de aplicações:

• Borda – Balanceadores de carga externos e proxies
• Controlador de Ingress – Ponto de entrada no Kubernetes
• Proxy por serviço – Camada interna de proxy de serviço
• Proxy por pod – Proxy incorporado ao pod
• Gateway de API – Ponto de entrada para os microsserviços

Tipos de ataques mitigados

O NGINX App Protect DoS oferece proteção contra diversos tipos de ataques sofisticados:

• GET e POST ataques de inundação – (tanto HTTP quanto HTTPS) O invasor tenta sobrecarregar o servidor ou a API com um grande número de solicitações, impedindo que responda aos usuários reais.
• Ataques “lentos” – (HTTP e HTTPS) Os ataques “lentos e discretos” ocupam os recursos do servidor, não deixando nenhum disponível para atender às solicitações de usuários reais. Dois fatores dificultam a defesa contra eles: há três tipos principais de ataques lentos:
  • Ao contrário dos ataques DDoS de rede, eles não consomem muita largura de banda, o que dificulta distingui-los do tráfego normal.
  • Eles não exigem muitos recursos para serem lançados, portanto, milhares de solicitações podem ser enviadas de um único computador usando ferramentas sofisticadas de automação.
  • Slowloris – O invasor se conecta ao servidor e envia lentamente cabeçalhos de solicitação parciais. O servidor mantém a conexão aberta enquanto aguarda o restante dos cabeçalhos, esgotando o conjunto de conexões disponíveis para usuários legítimos.
  • Leitura lenta – O invasor envia uma solicitação HTTP bem-formada, mas lê a resposta muito lentamente, quando chega a lê-la. Isso tem o efeito cumulativo de consumir recursos do servidor, impedindo o processamento de solicitações legítimas.
  • Ataque lento de POST – O invasor envia cabeçalhos HTTP POST legítimos ao servidor, especificando corretamente o tamanho do corpo da mensagem que será enviado em seguida. Depois, envia o corpo da mensagem muito lentamente. Como a mensagem parece válida, o servidor mantém a conexão aberta enquanto aguarda a chegada do corpo completo. Um grande número de ataques lentos de POST esgota o conjunto de conexões disponíveis para usuários reais.
• Variações distribuídas dos ataques anteriores – Obviamente, o uso de vários computadores facilita o envio de um número maior de ataques simultâneos. Além disso, o volume de tráfego de cada computador pode ser relativamente baixo, fazendo com que pareça um usuário comum. Os computadores também podem sair do grupo de ataque e depois retornar, mantendo o conjunto de endereços IP de origem em constante mudança. Essas características do tráfego tornam menos eficazes as técnicas tradicionais de mitigação, como limitação de taxa e bloqueio geográfico.
• Ataque Challenge Collapsar/URIs aleatórios – Em um ataque Challenge Collapsar (CC), o invasor envia solicitações frequentes que são normais, exceto pelo fato de que os URIs solicitados exigem a execução de algoritmos complexos e, portanto, demorados, ou de operações de banco de dados, o que pode esgotar os recursos do servidor alvo. O invasor também pode tornar aleatórios os URIs e outros parâmetros HTTP de modo a contornar ferramentas de mitigação legadas, como regras estáticas. Em vez disso, o NGINX App Protect DoS utiliza algoritmos avançados de aprendizado de máquina que aumentam drasticamente a eficácia e reduzem os falsos positivos.

​

• Ocultação por trás de NAT – O invasor usa criptografia ou tradução de endereços de rede (NAT) para evitar a detecção. Tentar detectar ataques rastreando apenas o endereço IP de origem é ineficaz, pois isso considera todos os usuários da NAT como invasores, mesmo que apenas um deles esteja realizando o ataque. O NGINX App Protect DoS usa impressão digital para IPv4 a fim de detectar com precisão agentes mal-intencionados por trás da NAT. Como a maior parte do tráfego é criptografada com SSL/TLS, é possível ampliar a chave que identifica um agente, passando de apenas um endereço IP para a combinação de endereço IP e impressão digital TLS (baseada na mensagem TLS hello).
• Ataques direcionados a SSL/TLS – O invasor explora o protocolo de handshake SSL/TLS. Uma abordagem comum é enviar dados sem sentido ao servidor SSL/TLS de destino. Processar uma mensagem inválida exige tanto poder computacional quanto processar uma mensagem legítima, mas sem produzir um resultado útil. A maioria dos firewalls não ajuda nesse caso, pois não consegue distinguir entre pacotes de handshake SSL/TLS válidos e inválidos, e implementar a descriptografia em um firewall tem um custo proibitivo. O NGINX App Protect DoS usa um mecanismo de assinaturas SSL/TLS para fornecer detecção e mitigação baseadas em anomalias a partir da mensagem CLIENT HELLO, que não é criptografada e é transmitida no início do processo de handshake SSL/TLS, eliminando o alto custo da descriptografia. Além disso, o uso de assinaturas SSL/TLS em conjunto com um mecanismo de monitoramento da integridade do servidor permite a proteção e a mitigação contra DoS sem encerrar a conexão SSL/TLS.

Resumo

Está se tornando cada vez mais comum que ataques de DoS tenham como alvo as aplicações, em vez da rede. Como muitos desses ataques de DoS de camada 7 se parecem com tráfego legítimo, as defesas tradicionais de WAF não conseguem detectá-los com eficácia.

Além disso, os invasores continuam aproveitando novas tecnologias, como aprendizado de máquina e IA, para lançar ataques de DoS na Camada 7, tornando regras simples e assinaturas estáticas menos eficazes. A mitigação de DoS na Camada 7 também precisa evoluir, e o NGINX App Protect DoS oferece a tecnologia adequada, com defesas adaptativas e dinâmicas.

Se quiser saber mais sobre como garantir a proteção contra DoS, confira nosso resumo da solução. Confira também estes artigos relacionados:

• Protegendo aplicações contra ataques complexos e modernos
• Como o NGINX App Protect Denial of Service se adapta ao cenário de ataques em constante evolução

Experimente o NGINX App Protect DoS – comece uma avaliação gratuita de 30 dias hoje mesmo ou entre em contato conosco para conversar sobre seus casos de uso.

Sobre o autor

Yaniv SazmanGerente Sênior de Gestão de Produtos

Mais publicações de Yaniv Sazman