¿Cuál es la mejor manera de implementar un algoritmo de limitación de velocidad para las solicitudes web?

Question

posibles duplicados/parciales:

• What’s a good rate limiting algorithm?
• Throttling method calls to M requests in N seconds
• Best way to implement request throttling in ASP.NET MVC?

Estoy buscando la mejor manera de aplicar una tasa ventana de tiempo en movimiento que limita algoritmo para una aplicación web para reducir spam o ataques de fuerza bruta.

Ejemplos de uso serían "Número máximo de intentos de inicio de sesión fallidos desde una IP determinada en los últimos 5 minutos", "Número máximo de (publicaciones/votos/etc ...) en los últimos N minutos".

Preferiría usar un algoritmo de ventana de tiempo móvil, en lugar de un restablecimiento completo de las estadísticas cada X minutos (como la API de Twitter).

Esto sería para una aplicación C#/ASP.Net.

Answer 1

Utilice una tabla hash rápida basada en memoria como memcached. Las claves serán el objetivo que está limitando (por ejemplo, una IP) y la caducidad de cada valor almacenado debería ser el tiempo máximo de limitación.

Los valores almacenados para cada clave contendrán una lista serializada de los últimos N intentos que realizaron al realizar la acción, junto con el tiempo de cada intento.

Answer 2

Nos enteramos Token Bucket es mejor algoritmo para este tipo de limitación de velocidad. Se usa ampliamente en enrutadores/conmutadores para que nuestros operadores estén más familiarizados con el concepto.

Answer 3

obtendrán esta página a ser una lectura interesante:

http://www.codeproject.com/KB/aspnet/10ASPNetPerformance.aspx

La sección a tener en cuenta se inicia de la siguiente manera:

Prevenir la denegación de servicio (DoS)

Los servicios web son el objetivo más atractivo para los piratas informáticos porque incluso un pirata informático de preescolar puede derribar un servidor r llamando repetidamente a un servicio web que hace un trabajo costoso.

EDIT: Pregunta similar aquí:

Best way to implement request throttling in ASP.NET MVC?

Answer 4

sólo para añadir una respuesta más 'moderna' a este problema: Para .NET WebAPI, WebApiThrottle es excelente y, probablemente, hace todo lo que quiere de la caja.

También es available on NuGet.

Implementación toma sólo un minuto más o menos y que es altamente personalizable:

config.MessageHandlers.Add(new ThrottlingHandler() 
{ 
    Policy = new ThrottlePolicy(perSecond: 1, perMinute: 30, perHour: 500, perDay:2000) 
    { 
     IpThrottling = true, 
     ClientThrottling = true, 
     EndpointThrottling = true 
    }, 
    Repository = new CacheRepository() 
}); 

Answer 5

acabo añade la respuesta a la pregunta Block API requests for 5 mins if API rate limit exceeds.
Solía ​​HttpRuntime.Cache para permitir sólo 60 solicitudes por minuto. Superar el límite bloqueará la API durante los próximos 5 minutos.