Nodejs (Restify)

このガイドでは、アプリケーションへの Zen Firewall by Aikido のインストールとセットアップの手順を説明します。以下の手順に従ってアプリケーションを保護してください。

問題や不具合が発生した場合は、遠慮なくサポートチャットまたは Github issues でご連絡ください。

https://github.com/AikidoSec/firewall-node

要件

Node.js 16+。
Restify 8.x〜11.x。
Aikidoアカウントと Zen Firewallトークン

インストールと設定

1. Zen Firewall by Aikido をインストールする

プロジェクトに Zen をインストールします。

npm

npm install --save-exact @aikidosec/firewall

Yarn

yarn add --exact @aikidosec/firewall

pnpm

pnpm add --save-exact @aikidosec/firewall

require構文

他のどのインポートよりも前に Zen を読み込みます。

+require("@aikidosec/firewall");

const restify = require("restify");
const server = restify.createServer();

import構文

他のどのライブラリよりも前に Zen をインポートします。

+import "@aikidosec/firewall";

import restify from "restify";
const server = restify.createServer();

2. リクエストブロックとユーザー識別を有効化する

このミドルウェアを使用して、レート制限、ユーザー識別、ブロック機能を有効化します。

Zen Firewall は攻撃をブロックするためにこのミドルウェアを必要としません。コアの攻撃防御はこれがなくても機能します。このミドルウェアは、レート制限、ユーザーブロック、ボットブロック、国別ブロック、脅威アクターブロックといった保護機能のために Zen が利用する追加のリクエストコンテキストを提供します。

アプリケーションがユーザーを識別しリクエストを処理する方法に合わせて、この例を調整してください。

+const Zen = require("@aikidosec/firewall");
+
+// Optional middleware to set user for rate limiting or blocking specific users
+server.use((req, res, next) => {
+ Zen.setUser({ id: "123", name: "John Doe" });
+ return next();
+});
+
+// Call this after auth middleware, as early as possible in the middleware stack
+Zen.addRestifyMiddleware(server);

3. IDOR保護を任意で有効化する

ユーザーが自分のものではないレコードにアクセスできないようにします。IDOR保護は、最小限のセットアップで請求書、チケット、ユーザープロファイルなどのリソースへの不正アクセスを検出するのに役立ちます。

Zen FirewallによるIDOR保護

4. Zen Firewall をドライ / 検知専用モードで起動する

AIKIDO_BLOCK=false AIKIDO_TOKEN=AIK_RUNTIME_ node app.js

Aikido Zen エージェントがトークンを認識できるよう、環境変数として設定します。まだトークンをお持ちでない場合は、こちらの手順に従ってください。

AIKIDO_TOKEN=AIK_RUNTIME_

期待通りに動作し、リクエストをブロックしないことを確認するため、アプリをドライモードで起動することを推奨します。誤検知を避けるため、ステージング環境で2週間、Zen Firewall を運用することを推奨します。

AIKIDO_BLOCK=false

5. アプリをテストする

アプリケーションにアクセスし、いくつかの操作を行うか、いくつかのページを開いてください。Zen はアプリケーション内のルートを自動的に検出します。

Zen アプリケーションの以下のページを確認することで、エージェントが正常に動作していることを確認できます。

Events: 「Application started」イベントが表示されるはずです。
Routes: しばらくすると、アプリケーションのルートがメソッド、ルート、リクエスト数とともにここに表示され始めます。
Instances: Zen がインストールされているアプリケーションのアクティブなインスタンス数が表示されるはずです。

6. ダッシュボードでレート制限を設定する

Zen Firewall ミドルウェアを追加したら、Aikido Dashboard でレート制限を設定することで、ブルートフォース攻撃からルートを保護するテストができます。

作成したアプリをクリックします。
Routes タブに移動します。
制限したいルートを見つけて Setup rate limiting をクリックします。
手順に従ってレート制限を設定します（例: 1分あたり5リクエスト）。

保護とレート制限のオプションを備えた認証ルートを表示するAPIルート管理インターフェース。

POST /auth/login のレート制限を1分あたり5リクエストに設定する。

レート制限の確認

アプリを起動し、レート制限を設定したルートに1分以内に5回アクセスしてみてください。5回目の試行後、レート制限エラーが返されるはずです。

You are rate limited by Aikido firewall. (Your IP: 1.2.3.4)

7. 次のステップ

おめでとうございます。Zen Firewall のインストールに成功しました。問題が発生した場合、ご不明点やご要望がある場合は、遠慮なくサポートまでご連絡ください。

Zen Firewall が提供する多くの機能を、これから探索していきましょう。

追加情報: