網路是一個危險的地方，許多不良分子利用自動化工具全天候、每週七天地攻擊各種規模的組織。無論你的企業規模多大，駭客都會襲擊你的網路，以進行勒索、竊取資料，或將你的企業當作後續攻擊的發射平台。  

在這篇部落格中，我們將探討駭客是如何發動攻擊的，以及如何減輕這些攻擊，並保護雲端應用程式的安全性和可用性。保持應用程式的安全和高可用性需要分層安全措施。在這篇部落格中，我們將重點關注與雲端應用程式相關的分層安全，以及分層安全如何協助預防和減輕網路威脅。

 以下是本文討論主題的預覽：  

• 為什麼需要分層應用程式保護
• 如何為雲端應用程式部署分層安全性及最佳實踐
• 分層安全如何防範攻擊和新興的網路威脅

拒絕服務攻擊：它們是什麼，以及我如何保護我的網頁應用程式免受攻擊？ 

首先，讓我們來看看非常普遍的拒絕服務攻擊（Denial of Service Attacks）。拒絕服務攻擊通常是出於惡意或報復的目的。它們很少實際試圖入侵你的網路，而是透過大量流量淹沒你的網站，對正常服務造成影響。

拒絕服務攻擊可能會導致因為商業交易損失而產生嚴重的財務成本。此外，聲譽損失也會干擾正常服務，並影響日常業務運行。

攻擊可以圍繞網路層協定展開，並使用一些知名的攻擊技術，例如UDP反射攻擊和發送洪水攻擊。其他攻擊則專注於應用層 — 通常是HTTP協定，這時網頁伺服器會被大量請求淹沒。   

防範拒絕服務攻擊的首道防線就是你的雲端服務提供商。所有的雲端服務提供商都有設置保護機制，以減輕大型攻擊的影響，也就是所謂的分散式拒絕服務攻擊，或稱 DDoS.  

來自雲端服務提供商的DDoS防護層對於在網路層發生的攻擊效果良好。然而，如果攻擊較為針對性、流量較低並且發生在應用層，則服務提供商的DDoS防護可能無法偵測到該攻擊。  

應用層的DDoS攻擊旨在透過大量請求來使應用程式伺服器過載，這種請求可能不容易被網路和集中於帶寬的DDoS防護所檢測到，這些防護通常來自您的雲端服務供應商。建議插入負載平衡器，例如Progress Kemp LoadMaster負載平衡器，以提供額外的保護層，增強雲端原生的DDoS防護服務。  

為雲端應用程式添加 DDoS 防護與 LoadMaster

讓我們來看看如何使用 LoadMaster 增加 DDoS 防護。對抗 DDoS 攻擊的第一道防線是根據已知的惡意來源 IP 來封鎖流量。LoadMaster 定期更新一份惡意 IP 地址的清單，並會在這些 IP 地址的連線請求到達應用伺服器之前直接將其丟棄。  

隨著新的被攻陷端點不斷出現，這個列表無法涵蓋所有的流量，但管理員可以進一步修改以減少惡意流量。LoadMaster 同時可以封鎖來自特定國家的所有已知 IP 位址，進一步降低攻擊風險。IP 信譽控制，也就是我們所稱的 IP 封鎖，可以應用於 LoadMaster 的全球伺服器負載平衡功能（GSLB），在這裡，來自惡意或不良角色的 DNS 請求會被忽略。  

為了進一步降低拒絕服務攻擊的潛在影響，LoadMaster 可以對流量施加速率限制，防止惡意行為者淹沒應用伺服器。速率限制可以針對絕對帶寬、每秒連接數、同時開啟的連接數或每秒請求數進行設置。速率限制可以選擇性地應用到特定服務，或是對所有服務和所有來源根據預期的正常流量模式進行應用。除此之外，還可以根據 IP 或網絡地址針對特定來源進行客製化設置。  

流量限制和IP聲譽控制可以即時更新，提供快速關閉正在進行的攻擊的方法，幫助企業更快恢復正常的服務水準。因此，透過IP聲譽和流量限制，我們可以加強雲端平台的DDoS防護，進一步減少惡意流量進入應用伺服器的量。  

漏洞利用：防範 OWASP 十大弱點及新興攻擊 

讓我們來看看漏洞利用，黑客會利用常見的弱點和網頁應用程式來獲取系統的存取權。針對網頁應用程式的新漏洞不斷湧現，不論是針對構建應用程式所使用的工具集或函式庫，或是針對應用程式開發過程中的內在弱點或部署方式。根據業界研究顯示，不僅許多應用程式存在這些漏洞，偵測和修復這些問題也是一大挑戰。

這些攻擊中有許多是基於機器人（bot）的，主要針對一些知名的漏洞，這些漏洞由非營利組織 OWASP（Open Web Application Security Project）進行監控及分類。這個獨立的行業支持團體專注於 應用程式安全性，每年會發布十大漏洞的清單；這份清單被稱為 OWASP Top 10。  

隨著時間的推移，所利用的弱點會改變，但有些弱點在 OWASP Top 10 名單上卻持續存在多年。像是注入攻擊或數據組件以及伺服器端偽造等問題，都是這份名單上的常客。  

那麼，你可以做些什麼來保護你的應用程式免受常見的弱點和新型攻擊呢？負載平衡器網路應用程式防火牆，也就是 WAF，提供了對已知和新興網路攻擊的保護。LoadMaster WAF 應用了一組規則，不僅包括對 OWASP 前十名的防禦，還涵蓋了許多其他的漏洞。  

雖然基本規則集提供了全面的保護，但可能需要一些微調以去除誤報。管理員還可以建立自訂規則集，以滿足應用程式或業務的特定需求。LoadMaster WAF 完全整合在負載平衡設備上，並支援每個應用程式的 WAF 配置等功能。  

駭客認證：駭客如何利用機器人來利用弱點

現在，讓我們來探討駭客如何利用機器人來利用使用者認證的弱點。暴力破解攻擊是一種粗略的方法，試圖獲得存取權限。通常，機器人會使用像是「admin」這類常見的使用者名稱或帳號，透過一個常用密碼字典進行多次登入嘗試。這類攻擊一般不會成功，但如果發送大量的登入請求，仍會影響系統性能。  

憑證填充攻擊是一種攻擊方式，通常更具成功率。這種漏洞來自於人們經常在第三方網站上使用自己的常用電子郵件地址註冊，並重複使用他們的常用密碼。如果這個第三方網站遭到入侵，使用者名稱和密碼列表被竊取，黑客就會嘗試使用這些已遭竊的憑證進行登錄。這些登錄嘗試高度自動化，成功的登錄會被保留，然後在針對企業的專注攻擊中重新使用。  

LoadMaster 認證透過客戶端認證服務來保護憑證，並在後端與所有主要的身份提供者整合，如 Active Directory、RADIUS LDAP，還包括雲端服務如 Azure Active Directory。在授予任何負載平衡資源的存取權之前，客戶端必須成功地通過 LoadMaster 的認證，並可以選擇性地根據群組成員資格或 LoadMaster 零信任網路存取政策進行授權。  

如果負載平衡的應用程式與身份提供者整合，LoadMaster 可以執行 單一登入，減少使用者必須進行的登入次數。即使該應用程式對認證或使用者毫無概念，你仍然可以使用預認證來控制對該應用程式的訪問，儘管它對使用者或認證一無所知。  

阻止基於機器人的憑證攻擊最簡單的方法之一就是使用 CAPTCHA。LoadMaster 支援建立自訂登入畫面，並嵌入 CAPTCHA 挑戰，作為任何基於機器人的憑證攻擊的第一道防線。  

一些較進階的 CAPTCHA 服務，例如 Google 的 reCAPTCHA，擁有高效的機器人檢測率，並會利用之前的瀏覽歷史—甚至像是滑鼠移動的數據—來決定是顯示簡單的「我不是機器人」勾選框，還是更複雜的挑戰。

使用進階的 CAPTCHA 服務可以有效防範暴力破解和憑證填充攻擊。此外，許多組織有政策和規則，不建議在企業應用程式中使用電子郵件地址作為使用者名稱，特別是為了防止憑證填充攻擊的機會。  

雙重驗證及其在攻擊防範中的角色

實施一種雙重驗證的形式，無論是使用一次性密碼令牌或簡訊，對於防止攻擊都是有效的。你可以考慮使用雙步驟驗證服務，例如 Microsoft Authenticator，來增添這層額外的安全保護。  

使用兩步驟驗證對抗機器人非常有效，因為機器人無法滿足第二道挑戰。LoadMaster 原生支援所有主要的兩步驟驗證提供者，讓整合變得非常簡單。您也可以透過強制在客戶端設備上使用客戶端憑證來進一步加強存取安全性。

零信任：隱性地「不信任任何人」的應用程式存取

零信任網路存取（Zero Trust Network Access, ZTNA） 是一種應用程式和資源存取的方法，對任何客戶端實體都不予以信任，並且僅在符合明確政策的情況下授予存取權限。零信任採取「不信任任何人」的立場，只有在客戶端成功通過身份驗證後，才會授予存取權限。  

Zero Trust 首先會考量客戶的身份以及存取請求的背景，例如使用者是從什麼裝置或網路進入的。這個請求是來自企業管理的裝置嗎？他們是在家工作嗎？所有這些元素都會納入考量。

一旦完成身份驗證，客戶端就會根據政策被授權，讓他們獲得足夠的存取權限，以便能夠連接到資源。LoadMaster 可以充當 Zero Trust Network Access 的網關，透過 API 簡單定義政策，簡化與其他安全和政策工具集的整合。

案例與重點：負載平衡是重要的網路安全層

LoadMaster 能夠並且會顯著提升您的雲端安全性，作為整合的 負載平衡器安全 執行點。LoadMaster 會增強您的雲端平台安全服務，以提供多層次的應用程式安全性和可用性。

LoadMaster在所有主要的雲端平台上都有提供，也可以作為虛擬設備使用，適合需要本地部署的客戶。根據不同的雲端平台，您可以選擇提前的按需訂閱、年度訂閱或永久授權。  

採取第一步，並與技術專家洽談，了解如何利用市場上評價最高的負載平衡設備，以分層安全來保護您的應用程式。  

發佈於 2025年11月3日 文章來源: Adding Layered Security to Cloud ApplicationsTest