Programmierer erobern Sicherheit OWASP Top 10 API-Serie — Mangel an Ressourcen und Ratenbegrenzung
리소스와 속도 제한이 부족하면 API 취약점이 제목에 의해 설명되는 방식과 거의 정확히 일치합니다. 모든 API에는 환경에 따라 리소스와 컴퓨팅 전력이 제한되어 있습니다. 대부분은 원하는 기능을 수행하도록 요청하는 사용자 또는 기타 프로그램의 요청을 필드로 수행해야 합니다. 이 취약점은 너무 많은 요청이 동시에 들어올 때 발생하며 API에는 이러한 요청을 처리할 수 있는 컴퓨팅 리소스가 충분하지 않습니다. 그런 다음 API를 사용할 수 없거나 새 요청에 응답하지 못할 수 있습니다.
API는 속도 또는 리소스 제한이 올바르게 설정되지 않았거나 코드에 제한이 정의되지 않은 상태로 남아 있는 경우 이 문제에 취약해집니다. 예를 들어 비즈니스에서 특히 바쁜 기간을 경험하는 경우 API를 오버로드할 수 있습니다. 그러나 위협 행위자는 DDoS(서비스 거부) 공격을 수행하기 위해 요청으로 보호되지 않은 API를 의도적으로 과부하시킬 수 있기 때문에 보안 취약점이기도 합니다.
그런데 지금까지 API 게임화 챌린지로 어떻게 하고 있습니까? 지금 당장 취약점을 제한하는 속도 처리 기술을 시도하려면 경기장에 들어갑니다.
이제 좀 더 깊이 살펴보겠습니다.
리소스가 부족하고 API 취약점을 제한하는 속도의 예로는 어떤 예가 있습니까?
이 취약점이 API에 몰래 들어갈 수 있는 방법에는 두 가지가 있습니다. 첫 번째는 코더가 API에 대한 스로틀 속도를 정의하지 않는 경우입니다. 인프라 어딘가에 스로틀 속도에 대한 기본 설정이 있을 수 있지만 이에 의존하는 것은 좋은 정책이 아닙니다. 대신 각 API의 요금은 개별적으로 설정되어야 합니다. API는 사용 가능한 리소스뿐만 아니라 매우 다른 기능을 가질 수 있기 때문에 특히 그렇습니다.
예를 들어 소수의 사용자에게만 제공하도록 설계된 내부 API는 매우 낮은 스로틀 속도를 가질 수 있으며 잘 작동할 수 있습니다. 그러나 실시간 전자 상거래 사이트의 일부인 공용 API는 동시 사용자의 급증 가능성을 보상하기 위해 매우 높은 비율이 정의될 가능성이 큽습니다. 두 경우 모두 제한 속도는 예상 요구 사항, 잠재적 사용자 수 및 사용 가능한 컴퓨팅 성능에 따라 정의되어야 합니다.
특히 매우 바쁠 가능성이 높은 API를 사용하면 성능을 극대화하기 위해 요금을 무제한으로 설정하는 것이 유혹적일 수 있습니다. 이것은 코드의 간단한 비트로 수행 할 수 있습니다 (예를 들어, 우리는 파이썬 장고 REST 프레임 워크를사용합니다):
"DEFAULT_THROTTLE_RATES: {
"anon: None,
"user: None
이 예제에서는 익명 사용자와 시스템에 알려진 사용자 모두 시간이 지남에 따라 요청 수와 관계없이 무제한 으로 API에 연락할 수 있습니다. API가 사용할 수 있는 컴퓨팅 리소스의 양에 관계없이 공격자는 봇넷과 같은 리소스를 배포하여 결국 크롤링 속도를 늦추거나 오프라인으로 완전히 노크할 수 있기 때문에 이는 잘못된 생각입니다. 이 경우 유효한 사용자가 액세스가 거부되고 공격이 성공합니다.
자원 부족 및 속도 제한 문제 제거
조직에서 배포하는 모든 API에는 스로틀 요금이 코드에 정의되어야 합니다. 여기에는 실행 시간 시간, 최대 허용 메모리, 사용자에게 반환할 수 있는 페이지당 레코드 수 또는 정의된 기간 내에 허용되는 프로세스 수 등이 포함될 수 있습니다.
위의 예에서 제한 요금을 크게 열어 두는 대신 익명 및 알려진 사용자에 대해 서로 다른 비율로 엄격하게 정의할 수 있습니다.
"DEFAULT_THROTTLE_RATES: {
"anon: config("THROTTLE_ANON, default=200/hour),
"user: config("THROTTLE_USER, default=5000/hour)
새 예제에서 API는 익명 사용자가 시간당 200개의 요청을 하는 것으로 제한합니다. 이미 시스템에 의해 심사를 받은 알려진 사용자는 시간당 5,000건의 요청으로 더 많은 여유를 받습니다. 그러나 피크 타임에 우발적 인 과부하를 방지하거나 사용자 계정이 손상되어 서비스 거부 공격에 사용되는 경우 보상하도록 제한됩니다.
고려해야 할 마지막 좋은 연습으로, 해당 제한이 재설정될 시기에 대한 설명과 함께 제한 제한에 도달했을 때 사용자에게 알림을 표시하는 것이 좋습니다. 이렇게 하면 유효한 사용자가 응용 프로그램이 요청을 거부하는 이유를 알 수 있습니다. 또한 승인된 작업을 수행하는 유효한 사용자가 제한을 늘려야 한다는 것을 작업 담당자에게 신호를 볼 수 있으므로 API에 대한 액세스가 거부되는 경우에도 도움이 될 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 데모를 시도할 수도 있습니다. Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
Diese Sicherheitsanfälligkeit tritt auf, wenn zu viele Anfragen gleichzeitig eingehen und die API nicht über genügend Rechenressourcen verfügt, um diese Anfragen zu bearbeiten. Die API kann dann nicht mehr verfügbar sein oder nicht mehr auf neue Anfragen reagieren.
Matias Madou, Ph.D. ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent in Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen. Später kam er zu Fortify in den USA, wo er feststellte, dass es nicht ausreichte, ausschließlich Codeprobleme zu erkennen, ohne Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, die Sicherheitslast verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht als Teil von Team Awesome an seinem Schreibtisch sitzt, steht er gerne auf der Bühne und präsentiert auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior 소프트웨어 개발 주기 전반에 걸쳐 코드를 보호하고 사이버 보안을 최우선으로 하는 문화를 조성하도록 귀사를 Secure Code Warrior . 앱 보안 관리자, 개발자, 최고정보보안책임자(CISO) 또는 보안 관련 업무를 담당하는 분이라면 누구든, 저희는 귀사가 안전하지 않은 코드로 인한 위험을 줄일 수 있도록 돕습니다.
데모 예약하기
Matias Madou, Ph.D. ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent in Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen. Später kam er zu Fortify in den USA, wo er feststellte, dass es nicht ausreichte, ausschließlich Codeprobleme zu erkennen, ohne Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, die Sicherheitslast verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht als Teil von Team Awesome an seinem Schreibtisch sitzt, steht er gerne auf der Bühne und präsentiert auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung in der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und verfügt über mehr als 10 Patente. Wenn er nicht an seinem Schreibtisch ist, war Matias als Ausbilder für fortgeschrittene Schulungen zur Anwendungssicherheit tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat an der Universität Gent in Computertechnik promoviert, wo er Anwendungssicherheit durch Programmverschleierung studierte, um das Innenleben einer Anwendung zu verbergen.
리소스와 속도 제한이 부족하면 API 취약점이 제목에 의해 설명되는 방식과 거의 정확히 일치합니다. 모든 API에는 환경에 따라 리소스와 컴퓨팅 전력이 제한되어 있습니다. 대부분은 원하는 기능을 수행하도록 요청하는 사용자 또는 기타 프로그램의 요청을 필드로 수행해야 합니다. 이 취약점은 너무 많은 요청이 동시에 들어올 때 발생하며 API에는 이러한 요청을 처리할 수 있는 컴퓨팅 리소스가 충분하지 않습니다. 그런 다음 API를 사용할 수 없거나 새 요청에 응답하지 못할 수 있습니다.
API는 속도 또는 리소스 제한이 올바르게 설정되지 않았거나 코드에 제한이 정의되지 않은 상태로 남아 있는 경우 이 문제에 취약해집니다. 예를 들어 비즈니스에서 특히 바쁜 기간을 경험하는 경우 API를 오버로드할 수 있습니다. 그러나 위협 행위자는 DDoS(서비스 거부) 공격을 수행하기 위해 요청으로 보호되지 않은 API를 의도적으로 과부하시킬 수 있기 때문에 보안 취약점이기도 합니다.
그런데 지금까지 API 게임화 챌린지로 어떻게 하고 있습니까? 지금 당장 취약점을 제한하는 속도 처리 기술을 시도하려면 경기장에 들어갑니다.
이제 좀 더 깊이 살펴보겠습니다.
리소스가 부족하고 API 취약점을 제한하는 속도의 예로는 어떤 예가 있습니까?
이 취약점이 API에 몰래 들어갈 수 있는 방법에는 두 가지가 있습니다. 첫 번째는 코더가 API에 대한 스로틀 속도를 정의하지 않는 경우입니다. 인프라 어딘가에 스로틀 속도에 대한 기본 설정이 있을 수 있지만 이에 의존하는 것은 좋은 정책이 아닙니다. 대신 각 API의 요금은 개별적으로 설정되어야 합니다. API는 사용 가능한 리소스뿐만 아니라 매우 다른 기능을 가질 수 있기 때문에 특히 그렇습니다.
예를 들어 소수의 사용자에게만 제공하도록 설계된 내부 API는 매우 낮은 스로틀 속도를 가질 수 있으며 잘 작동할 수 있습니다. 그러나 실시간 전자 상거래 사이트의 일부인 공용 API는 동시 사용자의 급증 가능성을 보상하기 위해 매우 높은 비율이 정의될 가능성이 큽습니다. 두 경우 모두 제한 속도는 예상 요구 사항, 잠재적 사용자 수 및 사용 가능한 컴퓨팅 성능에 따라 정의되어야 합니다.
특히 매우 바쁠 가능성이 높은 API를 사용하면 성능을 극대화하기 위해 요금을 무제한으로 설정하는 것이 유혹적일 수 있습니다. 이것은 코드의 간단한 비트로 수행 할 수 있습니다 (예를 들어, 우리는 파이썬 장고 REST 프레임 워크를사용합니다):
"DEFAULT_THROTTLE_RATES: {
"anon: None,
"user: None
이 예제에서는 익명 사용자와 시스템에 알려진 사용자 모두 시간이 지남에 따라 요청 수와 관계없이 무제한 으로 API에 연락할 수 있습니다. API가 사용할 수 있는 컴퓨팅 리소스의 양에 관계없이 공격자는 봇넷과 같은 리소스를 배포하여 결국 크롤링 속도를 늦추거나 오프라인으로 완전히 노크할 수 있기 때문에 이는 잘못된 생각입니다. 이 경우 유효한 사용자가 액세스가 거부되고 공격이 성공합니다.
자원 부족 및 속도 제한 문제 제거
조직에서 배포하는 모든 API에는 스로틀 요금이 코드에 정의되어야 합니다. 여기에는 실행 시간 시간, 최대 허용 메모리, 사용자에게 반환할 수 있는 페이지당 레코드 수 또는 정의된 기간 내에 허용되는 프로세스 수 등이 포함될 수 있습니다.
위의 예에서 제한 요금을 크게 열어 두는 대신 익명 및 알려진 사용자에 대해 서로 다른 비율로 엄격하게 정의할 수 있습니다.
"DEFAULT_THROTTLE_RATES: {
"anon: config("THROTTLE_ANON, default=200/hour),
"user: config("THROTTLE_USER, default=5000/hour)
새 예제에서 API는 익명 사용자가 시간당 200개의 요청을 하는 것으로 제한합니다. 이미 시스템에 의해 심사를 받은 알려진 사용자는 시간당 5,000건의 요청으로 더 많은 여유를 받습니다. 그러나 피크 타임에 우발적 인 과부하를 방지하거나 사용자 계정이 손상되어 서비스 거부 공격에 사용되는 경우 보상하도록 제한됩니다.
고려해야 할 마지막 좋은 연습으로, 해당 제한이 재설정될 시기에 대한 설명과 함께 제한 제한에 도달했을 때 사용자에게 알림을 표시하는 것이 좋습니다. 이렇게 하면 유효한 사용자가 응용 프로그램이 요청을 거부하는 이유를 알 수 있습니다. 또한 승인된 작업을 수행하는 유효한 사용자가 제한을 늘려야 한다는 것을 작업 담당자에게 신호를 볼 수 있으므로 API에 대한 액세스가 거부되는 경우에도 도움이 될 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 데모를 시도할 수도 있습니다. Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
리소스와 속도 제한이 부족하면 API 취약점이 제목에 의해 설명되는 방식과 거의 정확히 일치합니다. 모든 API에는 환경에 따라 리소스와 컴퓨팅 전력이 제한되어 있습니다. 대부분은 원하는 기능을 수행하도록 요청하는 사용자 또는 기타 프로그램의 요청을 필드로 수행해야 합니다. 이 취약점은 너무 많은 요청이 동시에 들어올 때 발생하며 API에는 이러한 요청을 처리할 수 있는 컴퓨팅 리소스가 충분하지 않습니다. 그런 다음 API를 사용할 수 없거나 새 요청에 응답하지 못할 수 있습니다.
API는 속도 또는 리소스 제한이 올바르게 설정되지 않았거나 코드에 제한이 정의되지 않은 상태로 남아 있는 경우 이 문제에 취약해집니다. 예를 들어 비즈니스에서 특히 바쁜 기간을 경험하는 경우 API를 오버로드할 수 있습니다. 그러나 위협 행위자는 DDoS(서비스 거부) 공격을 수행하기 위해 요청으로 보호되지 않은 API를 의도적으로 과부하시킬 수 있기 때문에 보안 취약점이기도 합니다.
그런데 지금까지 API 게임화 챌린지로 어떻게 하고 있습니까? 지금 당장 취약점을 제한하는 속도 처리 기술을 시도하려면 경기장에 들어갑니다.
이제 좀 더 깊이 살펴보겠습니다.
리소스가 부족하고 API 취약점을 제한하는 속도의 예로는 어떤 예가 있습니까?
이 취약점이 API에 몰래 들어갈 수 있는 방법에는 두 가지가 있습니다. 첫 번째는 코더가 API에 대한 스로틀 속도를 정의하지 않는 경우입니다. 인프라 어딘가에 스로틀 속도에 대한 기본 설정이 있을 수 있지만 이에 의존하는 것은 좋은 정책이 아닙니다. 대신 각 API의 요금은 개별적으로 설정되어야 합니다. API는 사용 가능한 리소스뿐만 아니라 매우 다른 기능을 가질 수 있기 때문에 특히 그렇습니다.
예를 들어 소수의 사용자에게만 제공하도록 설계된 내부 API는 매우 낮은 스로틀 속도를 가질 수 있으며 잘 작동할 수 있습니다. 그러나 실시간 전자 상거래 사이트의 일부인 공용 API는 동시 사용자의 급증 가능성을 보상하기 위해 매우 높은 비율이 정의될 가능성이 큽습니다. 두 경우 모두 제한 속도는 예상 요구 사항, 잠재적 사용자 수 및 사용 가능한 컴퓨팅 성능에 따라 정의되어야 합니다.
특히 매우 바쁠 가능성이 높은 API를 사용하면 성능을 극대화하기 위해 요금을 무제한으로 설정하는 것이 유혹적일 수 있습니다. 이것은 코드의 간단한 비트로 수행 할 수 있습니다 (예를 들어, 우리는 파이썬 장고 REST 프레임 워크를사용합니다):
"DEFAULT_THROTTLE_RATES: {
"anon: None,
"user: None
이 예제에서는 익명 사용자와 시스템에 알려진 사용자 모두 시간이 지남에 따라 요청 수와 관계없이 무제한 으로 API에 연락할 수 있습니다. API가 사용할 수 있는 컴퓨팅 리소스의 양에 관계없이 공격자는 봇넷과 같은 리소스를 배포하여 결국 크롤링 속도를 늦추거나 오프라인으로 완전히 노크할 수 있기 때문에 이는 잘못된 생각입니다. 이 경우 유효한 사용자가 액세스가 거부되고 공격이 성공합니다.
자원 부족 및 속도 제한 문제 제거
조직에서 배포하는 모든 API에는 스로틀 요금이 코드에 정의되어야 합니다. 여기에는 실행 시간 시간, 최대 허용 메모리, 사용자에게 반환할 수 있는 페이지당 레코드 수 또는 정의된 기간 내에 허용되는 프로세스 수 등이 포함될 수 있습니다.
위의 예에서 제한 요금을 크게 열어 두는 대신 익명 및 알려진 사용자에 대해 서로 다른 비율로 엄격하게 정의할 수 있습니다.
"DEFAULT_THROTTLE_RATES: {
"anon: config("THROTTLE_ANON, default=200/hour),
"user: config("THROTTLE_USER, default=5000/hour)
새 예제에서 API는 익명 사용자가 시간당 200개의 요청을 하는 것으로 제한합니다. 이미 시스템에 의해 심사를 받은 알려진 사용자는 시간당 5,000건의 요청으로 더 많은 여유를 받습니다. 그러나 피크 타임에 우발적 인 과부하를 방지하거나 사용자 계정이 손상되어 서비스 거부 공격에 사용되는 경우 보상하도록 제한됩니다.
고려해야 할 마지막 좋은 연습으로, 해당 제한이 재설정될 시기에 대한 설명과 함께 제한 제한에 도달했을 때 사용자에게 알림을 표시하는 것이 좋습니다. 이렇게 하면 유효한 사용자가 응용 프로그램이 요청을 거부하는 이유를 알 수 있습니다. 또한 승인된 작업을 수행하는 유효한 사용자가 제한을 늘려야 한다는 것을 작업 담당자에게 신호를 볼 수 있으므로 API에 대한 액세스가 거부되는 경우에도 도움이 될 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 데모를 시도할 수도 있습니다. Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
아래 링크를 클릭하여 이 자료의 PDF를 다운로드하십시오.
Secure Code Warrior 소프트웨어 개발 주기 전반에 걸쳐 코드를 보호하고 사이버 보안을 최우선으로 하는 문화를 조성하도록 귀사를 Secure Code Warrior . 앱 보안 관리자, 개발자, 최고정보보안책임자(CISO) 또는 보안 관련 업무를 담당하는 분이라면 누구든, 저희는 귀사가 안전하지 않은 코드로 인한 위험을 줄일 수 있도록 돕습니다.
보고서 보기데모 예약하기
Matias Madou, Ph.D. ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent in Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen. Später kam er zu Fortify in den USA, wo er feststellte, dass es nicht ausreichte, ausschließlich Codeprobleme zu erkennen, ohne Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, die Sicherheitslast verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht als Teil von Team Awesome an seinem Schreibtisch sitzt, steht er gerne auf der Bühne und präsentiert auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung in der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und verfügt über mehr als 10 Patente. Wenn er nicht an seinem Schreibtisch ist, war Matias als Ausbilder für fortgeschrittene Schulungen zur Anwendungssicherheit tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat an der Universität Gent in Computertechnik promoviert, wo er Anwendungssicherheit durch Programmverschleierung studierte, um das Innenleben einer Anwendung zu verbergen.
리소스와 속도 제한이 부족하면 API 취약점이 제목에 의해 설명되는 방식과 거의 정확히 일치합니다. 모든 API에는 환경에 따라 리소스와 컴퓨팅 전력이 제한되어 있습니다. 대부분은 원하는 기능을 수행하도록 요청하는 사용자 또는 기타 프로그램의 요청을 필드로 수행해야 합니다. 이 취약점은 너무 많은 요청이 동시에 들어올 때 발생하며 API에는 이러한 요청을 처리할 수 있는 컴퓨팅 리소스가 충분하지 않습니다. 그런 다음 API를 사용할 수 없거나 새 요청에 응답하지 못할 수 있습니다.
API는 속도 또는 리소스 제한이 올바르게 설정되지 않았거나 코드에 제한이 정의되지 않은 상태로 남아 있는 경우 이 문제에 취약해집니다. 예를 들어 비즈니스에서 특히 바쁜 기간을 경험하는 경우 API를 오버로드할 수 있습니다. 그러나 위협 행위자는 DDoS(서비스 거부) 공격을 수행하기 위해 요청으로 보호되지 않은 API를 의도적으로 과부하시킬 수 있기 때문에 보안 취약점이기도 합니다.
그런데 지금까지 API 게임화 챌린지로 어떻게 하고 있습니까? 지금 당장 취약점을 제한하는 속도 처리 기술을 시도하려면 경기장에 들어갑니다.
이제 좀 더 깊이 살펴보겠습니다.
리소스가 부족하고 API 취약점을 제한하는 속도의 예로는 어떤 예가 있습니까?
이 취약점이 API에 몰래 들어갈 수 있는 방법에는 두 가지가 있습니다. 첫 번째는 코더가 API에 대한 스로틀 속도를 정의하지 않는 경우입니다. 인프라 어딘가에 스로틀 속도에 대한 기본 설정이 있을 수 있지만 이에 의존하는 것은 좋은 정책이 아닙니다. 대신 각 API의 요금은 개별적으로 설정되어야 합니다. API는 사용 가능한 리소스뿐만 아니라 매우 다른 기능을 가질 수 있기 때문에 특히 그렇습니다.
예를 들어 소수의 사용자에게만 제공하도록 설계된 내부 API는 매우 낮은 스로틀 속도를 가질 수 있으며 잘 작동할 수 있습니다. 그러나 실시간 전자 상거래 사이트의 일부인 공용 API는 동시 사용자의 급증 가능성을 보상하기 위해 매우 높은 비율이 정의될 가능성이 큽습니다. 두 경우 모두 제한 속도는 예상 요구 사항, 잠재적 사용자 수 및 사용 가능한 컴퓨팅 성능에 따라 정의되어야 합니다.
특히 매우 바쁠 가능성이 높은 API를 사용하면 성능을 극대화하기 위해 요금을 무제한으로 설정하는 것이 유혹적일 수 있습니다. 이것은 코드의 간단한 비트로 수행 할 수 있습니다 (예를 들어, 우리는 파이썬 장고 REST 프레임 워크를사용합니다):
"DEFAULT_THROTTLE_RATES: {
"anon: None,
"user: None
이 예제에서는 익명 사용자와 시스템에 알려진 사용자 모두 시간이 지남에 따라 요청 수와 관계없이 무제한 으로 API에 연락할 수 있습니다. API가 사용할 수 있는 컴퓨팅 리소스의 양에 관계없이 공격자는 봇넷과 같은 리소스를 배포하여 결국 크롤링 속도를 늦추거나 오프라인으로 완전히 노크할 수 있기 때문에 이는 잘못된 생각입니다. 이 경우 유효한 사용자가 액세스가 거부되고 공격이 성공합니다.
자원 부족 및 속도 제한 문제 제거
조직에서 배포하는 모든 API에는 스로틀 요금이 코드에 정의되어야 합니다. 여기에는 실행 시간 시간, 최대 허용 메모리, 사용자에게 반환할 수 있는 페이지당 레코드 수 또는 정의된 기간 내에 허용되는 프로세스 수 등이 포함될 수 있습니다.
위의 예에서 제한 요금을 크게 열어 두는 대신 익명 및 알려진 사용자에 대해 서로 다른 비율로 엄격하게 정의할 수 있습니다.
"DEFAULT_THROTTLE_RATES: {
"anon: config("THROTTLE_ANON, default=200/hour),
"user: config("THROTTLE_USER, default=5000/hour)
새 예제에서 API는 익명 사용자가 시간당 200개의 요청을 하는 것으로 제한합니다. 이미 시스템에 의해 심사를 받은 알려진 사용자는 시간당 5,000건의 요청으로 더 많은 여유를 받습니다. 그러나 피크 타임에 우발적 인 과부하를 방지하거나 사용자 계정이 손상되어 서비스 거부 공격에 사용되는 경우 보상하도록 제한됩니다.
고려해야 할 마지막 좋은 연습으로, 해당 제한이 재설정될 시기에 대한 설명과 함께 제한 제한에 도달했을 때 사용자에게 알림을 표시하는 것이 좋습니다. 이렇게 하면 유효한 사용자가 응용 프로그램이 요청을 거부하는 이유를 알 수 있습니다. 또한 승인된 작업을 수행하는 유효한 사용자가 제한을 늘려야 한다는 것을 작업 담당자에게 신호를 볼 수 있으므로 API에 대한 액세스가 거부되는 경우에도 도움이 될 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 데모를 시도할 수도 있습니다. Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
목차
Matias Madou, Ph.D. ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent in Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen. Später kam er zu Fortify in den USA, wo er feststellte, dass es nicht ausreichte, ausschließlich Codeprobleme zu erkennen, ohne Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, die Sicherheitslast verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht als Teil von Team Awesome an seinem Schreibtisch sitzt, steht er gerne auf der Bühne und präsentiert auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior 소프트웨어 개발 주기 전반에 걸쳐 코드를 보호하고 사이버 보안을 최우선으로 하는 문화를 조성하도록 귀사를 Secure Code Warrior . 앱 보안 관리자, 개발자, 최고정보보안책임자(CISO) 또는 보안 관련 업무를 담당하는 분이라면 누구든, 저희는 귀사가 안전하지 않은 코드로 인한 위험을 줄일 수 있도록 돕습니다.
데모 예약하기다운로드시작을 위한 자료
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 애플리케이션 보안의 힘 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
