Protezione da attacchi

[jeck]

Ciao,
voi come proteggete delle pagine da attacchi di hacker? so che ce ne sono molti, ma nello specifico proteggere pagine di login da attacchi brute force. La mia esigenza è quella di proteggere pagine di API, i quali software esterni richiedono l'autenticazione. Non posso autorizzare singoli ip perché non è pratico per il progetto.
Fino a che era un form a fare il login mettevo un captcha, controllo su cookie ed ip. In questo caso l'unica cosa che mi viene in mente è quella di memorizzare l'ip e controllare le richieste fatte.
voi come vi proteggete?
grazie

[M4V1]

Per mitigare gli attacchi di tipo bruteforce una cosa da implementare è sicuramente un meccanismo di throttling (i maggiori framework hanno già qualcosa di pronto). Come hai detto tu puoi bloccare il traffico basandoti sull'ip o su altri parametri.

Ovviamente ci sono molti altri problemi di cui tenere conto, qui trovi una pagina con un po' di spunti: https://cheatsheetseries.owasp.org/c...eat_Sheet.html

Una cosa che è molto utile per gestire in blocco più api (anche a livello di accessi e sicurezza) è avere un api gateway, è un approccio diverso che magari non è molto adatto se hai 1 o 2 servizi, ma comunque puoi dare un'occhiata e vedere se può fare al caso tuo.

Kong https://konghq.com/kong è un api gateway opensource che puoi provare a costo zero.

[jeck]

Per mitigare gli attacchi di tipo bruteforce una cosa da implementare è sicuramente un meccanismo di throttling (i maggiori framework hanno già qualcosa di pronto). Come hai detto tu puoi bloccare il traffico basandoti sull'ip o su altri parametri.

Ovviamente ci sono molti altri problemi di cui tenere conto, qui trovi una pagina con un po' di spunti: https://cheatsheetseries.owasp.org/c...eat_Sheet.html

Una cosa che è molto utile per gestire in blocco più api (anche a livello di accessi e sicurezza) è avere un api gateway, è un approccio diverso che magari non è molto adatto se hai 1 o 2 servizi, ma comunque puoi dare un'occhiata e vedere se può fare al caso tuo.

Kong https://konghq.com/kong è un api gateway opensource che puoi provare a costo zero.

ok grazie, leggo un po.