ด้วยวิวัฒนาการของเทคโนโลยีในทุกสาขา โอกาสในการสูญเสียข้อมูลและการโจมตีทางไซเบอร์ก็ดีขึ้นเช่นกัน เทคโนโลยีใหม่มีบทบาทสำคัญในด้านการพัฒนาด้านจริยธรรม และในลักษณะเดียวกัน เทคโนโลยีเหล่านี้ยังสามารถนำไปใช้ในการดำเนินการที่ผิดจรรยาบรรณได้อย่างแม่นยำและง่ายดายยิ่งขึ้น การโจมตีอย่างหนึ่งที่แฮกเกอร์สามารถทำได้คือ “ การปฏิเสธการให้บริการ (CWE-400) '.
คู่มือนี้จะอธิบายขั้นตอนในการป้องกันการปฏิเสธบริการ CWE-400 ในเซิร์ฟเวอร์ Nodejs HTTP
การปฏิเสธการบริการของเซิร์ฟเวอร์ HTTP (CWE-400) คืออะไร
การปฏิเสธการให้บริการ (CWE-400) เป็นความพยายามของผู้โจมตีในการทำให้แอปพลิเคชันไม่พร้อมใช้งานสำหรับผู้ใช้ดั้งเดิม โดยการล้นแอปพลิเคชันด้วยการรับส่งข้อมูลของบอท การโจมตีนี้ยังทำได้โดยการใช้ประโยชน์จากช่องโหว่ที่มีอยู่ของแอปพลิเคชันเพื่อทำให้แอปพลิเคชันทำงานช้าลงมาก
แอปพลิเคชัน Node Js เสี่ยงต่อการโจมตีที่เป็นอันตรายหรือไม่
ใช่ แอปพลิเคชัน Node.js อาจเสี่ยงต่อการโจมตีที่เป็นอันตรายได้เช่นเดียวกับซอฟต์แวร์หรือแอปพลิเคชันอื่นๆ การโจมตีที่เป็นอันตรายประเภทที่พบบ่อยที่สุดและได้รับความนิยมมีดังนี้:
-
- การปฏิเสธการโจมตีบริการ
- การโจมตีด้วยการฉีด
- การโจมตีด้วยสคริปต์ข้ามไซต์ (XSS)
- การโจมตีการแย่งชิงเซสชัน
จะป้องกันการปฏิเสธการบริการ (CWE-400) ในเซิร์ฟเวอร์ HTTP ของ Node.js ได้อย่างไร
เพื่อป้องกันการปฏิเสธการบริการในเซิร์ฟเวอร์ HTTP ของ Node.js จึงจำเป็นต้องจำกัดจำนวนคำขอที่ได้รับจากที่อยู่ IP เดียวภายในกรอบเวลาที่ระบุ ด้วยวิธีนี้ ปริมาณการใช้งานที่ได้รับผ่านแอปพลิเคชันของคุณจะได้รับการจัดการ และมีวิธีการอื่นๆ อีกมากมายเช่นกันในการลดการปฏิเสธการบริการ (CWE-400) ใน Node.js
วิธีที่ 1: การใช้ตัวจำกัดอัตรา
ตัวจำกัดอัตราเป็นแนวทางที่ดีที่สุดในการป้องกันการโจมตีแบบปฏิเสธการให้บริการโดยเฉพาะ เนื่องจากสามารถจำกัดจำนวนคำขอที่อาจมาจากแต่ละคำขอต่อกรอบหน้าต่าง:
const expObj = ต้องการ ( 'ด่วน' ) ;const การจำกัด = ต้องการ ( 'จำกัดอัตราด่วน' ) ;
const demoApp = expObj ( ) ;
const cusLim = การจำกัด ( {
หน้าต่างคุณ: 2 * 60 * 1,000 , // สิบห้า นาที
สูงสุด: 100 ,
} ) ;
demoApp.ใช้ ( คัสลิม ) ;
คำอธิบายของโค้ดข้างต้นเป็นดังนี้:
-
- ขั้นแรก ให้ติดตั้งและนำเข้าไฟล์ “ ด่วน ' และ ' อัตราด่วนจำกัด ” ในโปรเจ็กต์ Node Js ของคุณโดยใช้คำสั่ง “ npm ฉัน <ชื่อแพ็คเกจ> ” คำสั่ง และ “ จำเป็นต้อง() ” วิธีการตามลำดับ
-
- จากนั้นสร้างแอปพลิเคชันด่วนชื่อ “ แอพสาธิต ” และสร้างตัวจำกัดอัตราโดยการกำหนดค่าที่ต้องการสำหรับ “ windowsMs ' และ ' สูงสุด ” คุณสมบัติของ “ อัตราด่วนจำกัด ' วัตถุ.
- “ windowsMs ” กำหนดระยะเวลาของหน้าต่างและ “ สูงสุด ” ตั้งค่าคำขอสูงสุดที่สามารถรับได้จากที่อยู่ IP เดียวต่อหน้าต่าง
- ตอนนี้ใช้ ' ใช้() ” วิธีการที่มีตัวจำกัดอัตราด้วย “ แอพสาธิต ” แอปพลิเคชันเพื่อจำกัดคำขอที่ได้รับจากแอปพลิเคชัน “demoApp”
วิธีที่ 2: การใช้วิธีหมดเวลา
“ หมดเวลา ” วิธีการเช่น “ ตั้งค่าหมดเวลา() , ' ส่วนหัวหมดเวลา , ' หมดเวลาการร้องขอ , ' หมดเวลา ', และ ' KeepAliveTimeout() ” ใช้เพื่อออกหรือสิ้นสุด “ http-เซิร์ฟเวอร์ ” เซิร์ฟเวอร์ วิธีนี้จะป้องกันการปฏิเสธการให้บริการ (CWE-400) โดยการกำหนดกรอบเวลาเปิดหน้าต่างขั้นต่ำ ตัวอย่างเช่น คำขอถูกลบหรือหน้าต่างจะถูกปิดหลังจาก “ 3 ” วินาที:
เซิร์ฟเวอร์ const = http.createServer ( ( ร้องขอ, ตอบกลับ ) = > {req.setTimeout ( 3000 ) ;
// จัดการคำขอ
} ) ;
เคล็ดลับเพิ่มเติมสำหรับการบรรเทาการปฏิเสธการบริการในโหนด Js
มีเคล็ดลับเพิ่มเติมบางอย่างที่ช่วยในการบรรเทาการปฏิเสธการให้บริการ (CWE-400) ในเซิร์ฟเวอร์ Nodejs HTTP ซึ่งมีดังต่อไปนี้:
-
- “ ผู้รับมอบฉันทะย้อนกลับ ” ควรใช้เพื่อส่งหรือรับคำขอไปยังแอปพลิเคชัน Node Js พร็อกซีเหล่านี้นำเสนอการแคช การทำโหลดบาลานซ์ และการขึ้นบัญชีดำ IP ซึ่งช่วยได้มากในการบรรเทา DoS (CWE-400)
- การใช้งานเครือข่ายการจัดส่งเนื้อหา” ซีดีเอ็น ” ช่วยป้องกันการโจมตี DoS (CWE-400) โดยการแบ่งโค้ดออกเป็นหลายส่วนและอัปโหลดแยกกันบนเซิร์ฟเวอร์หลายเครื่อง
- การใช้งาน Web Application Firewall” วัฟ ” ปกป้องแอปพลิเคชันของคุณโดยการบล็อกคำขอจากแหล่งที่เป็นอันตรายที่รู้จัก
- การใช้ประโยชน์จาก “ โหลดบาลานเซอร์ ” แบ่งโหลดคำขอบนเซิร์ฟเวอร์ทั้งหมดเท่าๆ กัน เพื่อป้องกันไม่ให้เซิร์ฟเวอร์เดียวโอเวอร์โหลด
บันทึก: คุณยังสามารถตรวจสอบเอกสารของแท้ของ Node.js เพื่อรับข้อมูลเพิ่มเติมได้ การปฏิเสธการให้บริการ (CWE-400) .
นั่นคือทั้งหมดที่เกี่ยวกับการป้องกันการปฏิเสธการบริการ (CWE-400) ในเซิร์ฟเวอร์ HTTP ของ Node.js
บทสรุป
เพื่อป้องกันการปฏิเสธการบริการ (CWE-400) ในเซิร์ฟเวอร์ HTTP ของ Node.js ให้ใช้คำสั่ง “ ตัวจำกัดอัตรา , ' วิธีการหมดเวลา , ' ผู้รับมอบฉันทะย้อนกลับ , ' ซีดีเอ็น , ' วัฟ ' และ ' โหลดบาลานเซอร์ ” เทคนิค โดยจะจำกัดจำนวนคำขอ ปิดหน้าต่างคำขอ เปลี่ยนเส้นทางคำขอไปยังเว็บไซต์อื่น แบ่งและอัปโหลดโค้ดต้นฉบับไปยังเซิร์ฟเวอร์หลายเครื่อง และสร้างสมดุลการโหลดบนเซิร์ฟเวอร์แต่ละเครื่องตามลำดับ คู่มือฉบับย่อนี้ได้อธิบายกระบวนการลดหรือป้องกันการปฏิเสธการให้บริการ (CWE-400) ในเซิร์ฟเวอร์ HTTP ของ Node.js