用户体验永远排在第一位。如果消费者和客户不使用应用和网站，那么应用和网站就没有存在的意义。因此，确保积极、稳定的用户体验意义重大，尤其现在用户对延迟、停机和错误的容忍度越来越低。
如果您的应用或网站体验不佳，用户可能会直接转身离去。在 Salesforce 的一项调查中，61% 的消费者表示，在经历过一次糟糕的体验后，他们便转投了竞争对手。多次糟糕的用户体验势必会造成客户流失。今天网上广泛的选择已让品牌忠诚度变得微乎其微。
停机是导致消费者不满的主要原因之一，而拒绝服务（DoS）攻击则是造成持续停机的罪魁祸首。随着应用设计的变化，新威胁向量层出不穷，攻击者针对现代架构对使用了二十多年的 DoS 攻击手段进行了调整。从 2020 年 1 月到 2021 年 3 月，应用层（七层） DoS 攻击急剧增加，占所有 DDoS 事件的 16%。事实上，在向 F5 安全事件响应团队提出的请求中，有一半是要求帮助解决应用层 DoS 攻击问题。
集中式安全缓解措施可能对网络层（四层）的容量耗尽型 DoS 攻击有效，但应用层 DoS 攻击更具针对性，因此需要采用专门的防御措施来保护日趋分散化的现代应用 — 这些应用由 API 和微服务组成，部署在更灵活的基础设施上，比如云端。
超越传统保护
尽管 DoS 攻击源呈分布式（使其成为 DDoS 攻击），但网络层的基础容量耗尽型攻击通常是针对单一设备或服务，传统保护工具也同样是单体式和集中式。虽然这些工具在应用安全领域仍有其一席之地，但仅靠它们已不够了。如今，基于云的 DDoS 防护服务已成为行业标准。然而，它们仍然没有解决一个问题，即应用不再是单体服务，而是有许多集成点需要保护。
在数字化转型以及向 API、微服务和基于云的集成大规模迁移之前，基本 Web 应用防火墙（WAF）可以在很大程度上缓解漏洞利用和 DoS 攻击。例如，在客户端的容量耗尽型洪水攻击中，基本 WAF 和传统 DoS 工具很有效，因为流量是集中的 — 云清洗服务可在流量进入 Ingress 管道之前缓解攻击，或者在应用堆栈的前面实施防护。基本 WAF 仍能通过速率限制、阻断列表和 Bot 特征库等来抵御传统攻击，但如今的威胁形势业已改变。
简而言之，游戏规则发生了变化，基本 WAF 和传统 DoS 防护不再适用于现代应用架构。
现代 DoS 攻击发生在七层，由于它们隐藏在加密通道中并瞄准应用逻辑，因此更难被发现。鉴于此，您需要增加一个额外的保护层来评估客户端行为和服务器压力 — DoS 攻击的两大指标。
为了帮助解决这一问题，我们最近发布了 NGINX App Protect Denial of Service 模块。您可能会问，如果已经有 WAF 和传统 DoS 防护，还需要 DoS 模块吗？当然需要 —— 请继续阅读本文，了解原因。
现代架构需要现代保护
加密无处不在，而传统 DoS 防护并非专为大规模解密而设计。在单体应用时代，集中式 DoS 缓解措施行之有效，因为当时加密技术尚未普及，大多只需查看客户端就能检测到攻击。如今，几乎所有流量都已加密，因此只关注入向流量的无状态 DoS 缓解措施基本无效，尤其是当攻击使用单个针对性请求造成应用压力时。
随着对用户隐私的日益重视（以及随之而来的立法）和加密技术的进步，应用现已针对微服务等分布式架构进行了设计和优化，端到端加密也变得越来越普遍。现代架构在很大程度上依赖于 API，而 API 之间的通信（也称为东西向流量）可能根本不会流经集中式安全控制点。
有效的应用级 DoS 防护需要端到端可见性和上下文，包括可检测客户端异常和服务器端压力。高级七层 DoS 攻击通常伪装成合法流量，因此速率限制、阻断列表、特征库及协议一致性等基本缓解措施已无法提供足够的保护。
复杂的七层攻击从表面上看好似合法流量，基本 WAF 缺乏检测这些攻击所需的行为分析。NGINX App Protect DoS 专为检测客户端异常和服务器压力而设计，可动态识别和缓解攻击，并评估缓解效果，无需早已不堪重负的安全团队特别关注。
如果仅依靠基本 WAF 防御和传统 DDoS 缓解措施，您将无法获得对七层攻击的可见性和上下文信息，潜在后果可能很严重，包括延迟、停机、收入损失和品牌声誉受损。借助行为分析，客户端异常和服务健康状况可得到持续分析，从而快速检测零日 DoS 攻击。通过密切关注网站行为，我们可以回答以下问题：与基线流量模式相比，是否有任何异常？看似来自浏览器的请求是否缺少浏览器应包含的信息？请求是否包含复杂的数据库查询，导致 CPU 使用率过高？
通过对正常性能和行为进行建模，NGINX App Protect DoS 可重点防范会躲避传统防御并造成应用压力的七层攻击。
多模块防御方法
DoS 攻击的危害一如从前：性能缓慢、用户不满及收入损失。但 DoS 攻击的实施方式已大不相同，黑客正利用加密和安全工具将其威胁伪装成合法流量。
您的用户可能无法分辨架构差异，但可以察觉网站性能的优劣。大量攻击流量会导致延迟，造成用户体验缓慢。如果速度太慢，即使是最有耐心的用户（寥寥无几！）也会放弃交易，转而访问其他网站。单个针对性请求可能会造成延迟和服务器压力，因此专门的应用 DoS 防护必不可少。
Web 应用安全防护解决方案不断演进，以有效应对新型攻击，如《OWASP Web 应用自动化威胁》中列出的攻击。但您还需要可原生集成到应用运行时中的动态自适应安全防护。其他 DoS 解决方案可能为 SYN flood 等网络 DDoS 攻击而设计，而 NGINX App Protect DoS 解决方案则专门用于防范会对应用资源造成压力的七层攻击。结合使用 WAF 与七层 DoS 解决方案可确保应用免受漏洞利用和业务逻辑滥用的影响，防止遭受入侵和出现延迟、性能下降和停机等问题。
现在，商业活动主要在线开展，人们大多数时间都在网上。因此，您需要确保用户体验的安全可靠。通过结合使用 NGINX App Protect WAF 和 NGINX App Protect DoS 模块，您能够为您的环境、应用和业务提供强有力的保护。
如欲试用 NGINX App Protect，请立即下载 30 天免费试用版，或与我们联系以讨论您的用例。
