서비스 거부(DoS) 공격은 최종 사용자가 사용할 수 없는 서비스 또는 애플리케이션 렌더링을 시도하는 것입니다. DDoS 공격의 경우, 공격자는 다수의 리소스(주로 보안 침해된 다수의 호스트/인스턴스)를 사용하여 대상에 대한 대규모 공격을 조정합니다.
Apigee 아키텍처는 Google 관리형 테넌트 프로젝트(Apigee VPC) 및 고객 관리형 프로젝트(고객 VPC)의 두 네트워크 간 피어링 연결을 생성합니다. 이러한 네트워크에서 DoS 공격을 완화하거나 방지하려면 Google Cloud Platform의 DDoS 보호 및 완화 권장사항(PDF)을 따르세요.
API를 외부에 노출할 경우 DoS 공격에 취약할 수 있습니다. 이 문제를 완화하기 위해 Cloud Load Balancing에는 다음과 같은 보호 기능이 내장되어 있습니다.
Google 프런트엔드 인프라로 보호: Cloud Load Balancing을 사용하면 Google 프런트엔드 인프라가 사용자 트래픽을 종료하고 특정 유형의 공격(예: SYN 급증)이 Computer Engine 인스턴스에 도달하기 전에 흡수하도록 자동으로 확장됩니다.
Anycast 기반 부하 분산: Cloud Load Balancing을 사용하면 모든 리전의 Apigee 프런트엔드 인스턴스에 단일 anycast IP를 사용 설정할 수 있습니다. 트래픽이 가장 가까운 백엔드로 전달됩니다. DDoS 공격이 발생하면 GCLB는 백엔드가 배포된 모든 리전에서 사용 가능한 용량이 있는 인스턴스로 트래픽을 이동하여 공격을 흡수할 수 있도록 노출 영역을 늘립니다.
Cloud Load Balancing 외에도 Google Cloud Armor를 추가하여 DoS 및 웹 공격으로부터 API 엔드포인트를 보호할 수 있습니다. Cloud Armor는 다음과 같은 이점을 제공합니다.
IP 기반 및 지역 기반 액세스 제어: IPv4 및 IPv6 주소 또는 주소 범위(CIDR)를 기준으로 수신 트래픽을 필터링합니다. Google의 geoIP 매핑을 사용하여 소스 지역을 기준으로 트래픽을 허용 또는 거부하도록 지역 기반 액세스 제어를 적용하세요.
하이브리드 및 멀티 클라우드 배포 지원: DDoS 또는 웹 공격으로부터 애플리케이션을 방어하고 Google Cloud에 배포된 애플리케이션과 하이브리드 또는 멀티 클라우드 아키텍처에 배포는 애플리케이션 모두에 레이어 7 보안 정책을 시행합니다.
공개 상태 및 모니터링: Cloud Monitoring 대시보드에서 보안 정책과 관련된 모든 측정항목을 쉽게 모니터링합니다. 또한 Security Command Center 대시보드에서 직접 Cloud Armor의 의심스러운 애플리케이션 트래픽 패턴을 볼 수 있습니다.
사전 구성된 WAF 규칙: 교차 사이트 스크립팅(XSS) 및 SQL 삽입과 같은 공격으로부터 보호하기 위한 ModSecurity Core Rule Set에서 즉시 사용 가능한 규칙. RFI, LFI, RCE 규칙도 베타에서 사용할 수 있습니다. WAF 규칙 가이드에서 자세히 알아보세요.
명명된 IP 목록: 선별된 이름이 지정된 IP 목록(베타)을 기반으로 Cloud Armor 보안 정책을 통해 트래픽을 허용하거나 거부합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-19(UTC)"],[[["\u003cp\u003eThis content discusses Denial of Service (DoS) and Distributed Denial of Service (DDoS) attacks within the context of Apigee, specifically excluding Apigee hybrid.\u003c/p\u003e\n"],["\u003cp\u003eApigee's architecture utilizes a peering connection between a Google-managed tenant project and a customer-managed Virtual Private Cloud (VPC).\u003c/p\u003e\n"],["\u003cp\u003eCloud Load Balancing offers built-in protections against certain attacks, including using Google's frontend infrastructure and anycast-based load balancing.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Cloud Armor can be added to protect API endpoints, offering features such as IP and geo-based access control, support for hybrid and multi-cloud deployments, and pre-configured WAF rules.\u003c/p\u003e\n"],["\u003cp\u003eFollowing the "Best Practices for DDoS Protection and Mitigation on Google Cloud Platform" is recommended to mitigate or prevent DoS attacks.\u003c/p\u003e\n"]]],[],null,["# Preventing DoS attacks\n\n*This page\napplies to **Apigee** , but not to **Apigee hybrid**.*\n\n\n*View [Apigee Edge](https://docs.apigee.com/api-platform/get-started/what-apigee-edge) documentation.*\n\nA Denial of Service (DoS) attack is an attempt to render your service or application\nunavailable to your end users. With Distributed Denial of Service (DDoS) attacks, the\nattackers use multiple resources (often a large number of compromised\nhosts/instances) to orchestrate large scale attacks against targets.\n\nThe Apigee architecture creates a peering connection between two networks: a Google-managed\ntenant project (the *Apigee* ) and a customer-managed project (the\n*Customer VPC* ). To mitigate or prevent DoS attacks on these networks, be sure to follow the\n[Best\nPractices for DDoS Protection and Mitigation on Google Cloud Platform](/static/files/GCPDDoSprotection-04122016.pdf) (PDF).\n\nIf you expose your APIs externally, you can be vulnerable to DoS attacks. To mitigate this,\nCloud Load Balancing includes some built-in protections, including:\n\n- **Protection by Google Frontend infrastructure:** With Cloud Load Balancing, the Google frontend infrastructure terminates user traffic and automatically scales to absorb certain types of attacks (such as SYN floods) before they reach your Compute Engine instances.\n- **Anycast-based Load Balancing:** Cloud Load Balancing enables a single anycast IP to front-end Apigee instances in all regions. Traffic is directed to the closest backend; in the event of a DDoS attack, GCLB increases the surface area to absorb the attack by moving traffic to instances with available capacity in any region where backends are deployed.\n\nIn addition to Cloud Load Balancing, you can add Google Cloud Armor to protect your API endpoints\nagainst DoS and web attacks. Cloud Armor provides benefits such as:\n\n- **IP-based and geo-based access control:** Filter your incoming traffic based on IPv4 and IPv6 addresses or address ranges (CIDRs). Enforce geography-based access controls to allow or deny traffic based on source geo using Google's geoIP mapping.\n- **Support for hybrid and multi-cloud deployments:** Help defend applications from DDoS or web attacks and enforce Layer 7 security policies whether your application is deployed on Google Cloud or in a hybrid or multi-cloud architecture.\n- **Visibility and monitoring:** Easily monitor all of the metrics associated with your security policies in the Cloud Monitoring dashboard. You can also view suspicious application traffic patterns from Cloud Armor directly in the Security Command Center dashboard.\n- **Pre-configured WAF rules:** Out-of-the-box rules from the ModSecurity Core Rule Set to help defend against attacks like cross-site scripting (XSS) and SQL injection. RFI, LFI, and RCE rules are also available in beta. Learn more in our WAF rules guide.\n- **Named IP Lists:** Allow or deny traffic through a Cloud Armor security policy based on a curated Named IP List (beta).\n\nFor more information, see [Google Cloud Armor](/armor).\n\n*[VPC]: Virtual Private Cloud"]]
