Qual è il modo migliore per implementare un algoritmo di limitazione della velocità per le richieste Web?

Question

Possibili/duplicati parziali:

• What’s a good rate limiting algorithm?
• Throttling method calls to M requests in N seconds
• Best way to implement request throttling in ASP.NET MVC?

sto cercando il modo migliore per attuare un momento commovente tasso finestra limitante algoritmo per un'applicazione web per ridurre spam o attacchi di forza bruta.

Esempi di utilizzo sarebbe "Numero massimo di tentativi di accesso non riusciti da un dato IP negli ultimi 5 minuti", "Numero massimo di (messaggi/voti/ecc.) Negli ultimi N minuti".

Preferirei utilizzare un algoritmo di finestra temporale mobile, piuttosto che un hard reset delle statistiche ogni X minuti (come twitter api).

Questo sarebbe per un'app C#/ASP.Net.

Answer 1

Utilizzare un hash basato su memoria veloce come memcached. Le chiavi saranno l'obiettivo che stai limitando (ad esempio un IP) e la scadenza di ciascun valore memorizzato dovrebbe essere il tempo massimo di limitazione.

I valori memorizzati per ogni chiave conterranno un elenco serializzato degli ultimi N tentativi fatti durante l'esecuzione dell'azione, insieme al tempo per ogni tentativo.

Answer 2

Abbiamo scoperto che Token Bucket è un algoritmo migliore per questo tipo di limitazione della velocità. È ampiamente utilizzato nei router/interruttori in modo tale che i nostri utenti abbiano familiarità con il concetto.

Answer 3

Trovate questa pagina per essere una lettura interessante:

http://www.codeproject.com/KB/aspnet/10ASPNetPerformance.aspx

La sezione di guardare fuori per partenze come segue:

Prevenire Denial of Service (DoS)

I servizi Web sono l'obiettivo più attraente per gli hacker perché anche un hacker prescolare può abbattere un servizio r chiamando ripetutamente un servizio Web che fa un lavoro costoso.

EDIT: domanda simile qui:

Best way to implement request throttling in ASP.NET MVC?

Answer 4

solo per aggiungere una risposta piu 'moderna' a questo problema: Per .NET WebAPI, WebApiThrottle è eccellente e, probabilmente, fa tutto quello che volete fuori la scatola.

È anche available on NuGet.

implementazione richiede solo un minuto o giù di lì ed è altamente personalizzabile:

config.MessageHandlers.Add(new ThrottlingHandler() 
{ 
    Policy = new ThrottlePolicy(perSecond: 1, perMinute: 30, perHour: 500, perDay:2000) 
    { 
     IpThrottling = true, 
     ClientThrottling = true, 
     EndpointThrottling = true 
    }, 
    Repository = new CacheRepository() 
}); 

Answer 5

Ho appena aggiunto la risposta alla domanda Block API requests for 5 mins if API rate limit exceeds.
ho usato HttpRuntime.Cache per consentire solo 60 richieste al minuto. Il superamento del limite bloccherà l'API per i prossimi 5 minuti.