Nodejs (Fastify)

このガイドでは、アプリケーションへのZen Firewall by Aikidoのインストールと設定方法を説明します。以下の手順に従ってアプリケーションを保護してください。

問題や不具合が発生した場合は、サポートチャットまたはGithub issuesまでお気軽にご連絡ください。

https://github.com/AikidoSec/firewall-node

要件

Node.js 16以上。
Fastify 4.x または 5.x。
Aikidoアカウントと Zen Firewallトークン

インストールと設定

1. Zen Firewall by Aikido をインストールする

プロジェクトにZenをインストールします。

npm

npm install --save-exact @aikidosec/firewall

Yarn

yarn add --exact @aikidosec/firewall

pnpm

pnpm add --save-exact @aikidosec/firewall

require構文

他のどのimportよりも前にZenを読み込みます。

+require("@aikidosec/firewall");

const Fastify = require("fastify");
const fastify = Fastify();

import構文

他のどのライブラリよりも前にZenをインポートします。

+import "@aikidosec/firewall";

import { fastify } from "fastify";
const app = fastify();

2. リクエストのブロックとユーザー識別を有効にする

このミドルウェアを使うと、レート制限・ユーザー識別・ブロック機能を有効にできます。

Zen Firewallが攻撃をブロックするのにこのミドルウェアは必須ではありません。コアの攻撃防御はミドルウェアなしでも動作します。このミドルウェアは、ルートへのレート制限の設定、Zen Firewallでのユーザー追跡、Zen Firewallによるボットトラフィックのブロック、Zen Firewallによる国別トラフィックのブロック、Zen Firewallによる既知の脅威アクターのブロックのブロックといった保護機能でZenが利用する追加のリクエストコンテキストを提供します。

アプリケーションがユーザーを識別し、リクエストを処理する方法に合わせてこの例を調整してください。

+const Zen = require("@aikidosec/firewall");
+
+// Optional, if you want to use user based rate limiting or block specific users
+fastify.addHook("onRequest", (request, reply, done) => {
+ Zen.setUser({ id: "123", name: "John Doe" });
+ done();
+});
+
+// Call this after auth middleware, as early as possible in the middleware stack
+Zen.addFastifyHook(fastify);

3. IDOR保護を任意で有効にする

ユーザーが自分のものではないレコードにアクセスすることを防ぎます。IDOR保護は、最小限の設定で請求書・チケット・ユーザープロファイルなどのリソースへの不正アクセスを検出するのに役立ちます。

Zen FirewallによるIDOR保護

4. Zen Firewallをドライ / 検知専用モードで起動する

AIKIDO_BLOCK=false AIKIDO_TOKEN=AIK_RUNTIME_ node app.js

Aikido Zenエージェントが認識できるよう、トークンを環境変数として設定します。まだトークンをお持ちでない場合は、こちらの手順に従ってください。

AIKIDO_TOKEN=AIK_RUNTIME_

アプリがリクエストをブロックせずに期待通り動作することを確認するため、まずドライモードで起動することを推奨します。誤検知を避けるため、ステージング環境で2週間程度Zen Firewallを稼働させることをおすすめします。

AIKIDO_BLOCK=false

5. アプリをテストする

アプリケーションにアクセスして、いくつかの操作を行うか、いくつかのページを開いてください。Zenはアプリケーション内のルートを自動的に検出します。

Zenアプリケーションの以下のページを確認することで、エージェントが正常に動作しているか検証できます。

Events: 「Application started」イベントが表示されるはずです。
Routes: しばらくすると、アプリケーションのルートがメソッド・ルート・リクエスト数とともにここに表示され始めます。
Instances: Zenがインストールされているアプリケーションのアクティブなインスタンス数が表示されるはずです。

6. ダッシュボードでレート制限を設定する

Zen Firewallミドルウェアを追加したら、Aikidoダッシュボードでレート制限を設定することで、ブルートフォース攻撃からルートを保護するテストができます。

作成したアプリをクリックします。
Routes タブに移動します。
制限したいルートを見つけて Setup rate limiting をクリックします。
手順に従ってレート制限を設定します（例: 1分あたり5リクエスト）。

認証ルートに保護とレート制限オプションが表示されているAPIルート管理インターフェース。

POST /auth/login のレート制限を1分あたり5リクエストに設定する。

レート制限を検証する

アプリを起動し、レート制限を設定したルートに1分以内に5回アクセスを試みてください。5回目の試行後、レート制限エラーが返されるはずです。

You are rate limited by Aikido firewall. (Your IP: 1.2.3.4)

7. 次のステップ

おめでとうございます。Zen Firewallのインストールが完了しました。問題や懸念点、機能要望があれば、お気軽にサポートまでご連絡ください。

Zen Firewallが提供する多くの機能を、ぜひ引き続き探索してみてください。

補足情報: