SaaS и B2B
API, основа продукта. SLA обязывает к доступности. Бот-злоупотребления съедают вычислительные ресурсы и подрывают доверие до того, как реальный пользователь это замечает.
Конкретные угрозы.
Злоупотребление API-эндпоинтами
Частые запросы съедают лимиты запросов, подключения к базе и вычислительные ресурсы. Лимит запросов с одного IP не даёт одному адресу выжать API досуха. Лимитов по маршруту и по пользователю сейчас нет.
Захват аккаунтов
Подбор паролей на эндпоинтах входа. Лимит запросов с одного IP отсекает быстрый массовый перебор. Медленный перебор с многих адресов под лимит не попадает.
Злоупотребление триалами
Боты массово создают бесплатные аккаунты. Защита процесса регистрации ловит автоматизированные паттерны до завершения signup.
Сбор данных
Перебор object ID, массовые запросы экспорта, парсинг структуры из ответов API. Валидация схемы и поведенческий анализ выявляют паттерны.
Что важно для SaaS.
- ✓ Проверка браузера по умолчанию ничего не показывает: уровень sensor только пишет в журнал, кого проверили бы
- ✓ API-key потребители распознаются и исключаются из throttling
- ✓ Вебхуки от Stripe, GitHub, Slack и др. в белом списке, проверяются по подписи
Цель, которую не найти.
Защита в темноте. Без карты. Без следа.