如何保护 AWS API 网关端点免受 DDos 攻击？答案

【问题标题】：How to protect AWS API gateway endpoint from DDos attack?如何保护 AWS API 网关端点免受 DDos 攻击？
【发布时间】：2018-12-27 04:54:37
【问题描述】：

最近我一直在使用 AWS API 网关，在那里我创建了一个 API 并使用 API 密钥和 Cognito (OAuth) 对其进行保护。

有一天我发现我的 API 被访问了 10K 次，但由于攻击者没有访问权限而失败。

我的问题是：亚马逊是否会对此类未经授权的 api 调用收费？如果他们收费，那么如何保护它。据我了解，即使我将 WAF 放在它前面，我的 API url 仍然会暴露出来......

感谢任何帮助...

【问题讨论】：

标签： amazon-web-services aws-api-gateway

【解决方案1】：

如果您使用以下授权类型保护您的终端节点：AWS_IAM、CUSTOM 和 COGNITO_USER_POOLS，则 API Gateway 不会因请求失败而收费。请参考Pricing Documentation。另请参考Secure AWS API Gateway with Lambda Integration

【讨论】：

Amazon takes responsibility for protecting endpoints with the following authorization types: AWS_IAM, CUSTOM, and COGNITO_USER_POOLS: 很多层面都错了。
对不起，我会改写。

【解决方案2】：

你所描述的是一种DDoS攻击。

这是您需要做的，以保护您的 API Gateway Endpoint 免受 DDoS 攻击。

1) Create your API
2) Setup CloudFront distribution to your API
3) Front your CloudFront distribution with AWS WAF.
4) Create ACL rule and set requester limit to what you deem appropriate.
5) Test.

您仍然需要使用AWS_IAM 或Cognito 来完成授权部分。

这里是详细说明步骤的文档：

https://aws.amazon.com/blogs/compute/protecting-your-api-using-amazon-api-gateway-and-aws-waf-part-i/

【讨论】：

非常感谢，但是在完成您提到的步骤后，我的 api 端点将无法访问吗？如果它仍然可以访问，那么有人仍然可以攻击吗？问候，
它会，但不是有人点击它 10k 次，您可以将速率限制设置为 1k，一旦达到该限制，WAF 将阻止它。
如果 1000 ips 以仅 100 的速率达到它，速率限制有什么帮助？这就是 DDOS 的样子，对吧？