DoS/DDoS攻撃とは？レート制限で守るWebセキュリティ入門

const express = require('express');
const rateLimit = require('express-rate-limit');

const app = express();

// レート制限の設定
const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15分間
  max: 100, // 最大100リクエスト
  message: 'リクエストが多すぎます。しばらく待ってから再度お試しください。',
  standardHeaders: true, // RateLimit-* ヘッダーを返す
  legacyHeaders: false, // X-RateLimit-* ヘッダーは使用しない
});

// すべてのリクエストに適用
app.use(limiter);

// 特定のエンドポイントにのみ適用する例
const apiLimiter = rateLimit({
  windowMs: 1 * 60 * 1000, // 1分間
  max: 5, // 最大5リクエスト
});

app.use('/api/', apiLimiter);

app.get('/api/data', (req, res) => {
  res.json({ message: 'データを取得しました' });
});

app.listen(3000, () => {
  console.log('サーバーが起動しました');
});

# リクエスト数を記録するゾーンを定義
limit_req_zone $binary_remote_addr zone=general:10m rate=10r/s;

server {
    listen 80;
    server_name example.com;

    # レート制限の適用
    location / {
        limit_req zone=general burst=20 nodelay;
        proxy_pass http://backend;
    }

    # APIエンドポイントにはより厳しい制限
    location /api/ {
        limit_req_zone $binary_remote_addr zone=api:10m rate=2r/s;
        limit_req zone=api burst=5;
        proxy_pass http://backend;
    }
}

const redis = require('redis');
const { RateLimiterRedis } = require('rate-limiter-flexible');

const redisClient = redis.createClient({
  host: 'localhost',
  port: 6379,
});

const rateLimiter = new RateLimiterRedis({
  storeClient: redisClient,
  keyPrefix: 'rate_limit',
  points: 10, // 10ポイント
  duration: 1, // 1秒あたり
});

// ミドルウェアとして使用
app.use(async (req, res, next) => {
  try {
    await rateLimiter.consume(req.ip);
    next();
  } catch (error) {
    res.status(429).send('リクエストが多すぎます');
  }
});

const axios = require('axios');

async function verifyCaptcha(token) {
  const secretKey = 'YOUR_SECRET_KEY';
  const response = await axios.post(
    `https://www.google.com/recaptcha/api/siteverify`,
    null,
    {
      params: {
        secret: secretKey,
        response: token,
      },
    }
  );
  
  return response.data.success;
}

app.post('/api/submit', async (req, res) => {
  const { captchaToken, data } = req.body;
  
  // CAPTCHAの検証
  const isHuman = await verifyCaptcha(captchaToken);
  
  if (!isHuman) {
    return res.status(400).json({ error: 'CAPTCHA検証に失敗しました' });
  }
  
  // 正常な処理を続行
  res.json({ success: true });
});

const blocklist = new Set([
  '192.168.1.100',
  '10.0.0.50',
  // 攻撃元IPアドレスを追加
]);

app.use((req, res, next) => {
  const clientIP = req.ip;
  
  if (blocklist.has(clientIP)) {
    return res.status(403).send('アクセスが拒否されました');
  }
  
  next();
});

const prometheus = require('prom-client');

// リクエスト数のカウンター
const requestCounter = new prometheus.Counter({
  name: 'http_requests_total',
  help: 'Total number of HTTP requests',
  labelNames: ['method', 'path', 'status'],
});

app.use((req, res, next) => {
  res.on('finish', () => {
    requestCounter.inc({
      method: req.method,
      path: req.path,
      status: res.statusCode,
    });
  });
  next();
});

// 異常なトラフィックを検出
setInterval(() => {
  const metrics = prometheus.register.metrics();
  // メトリクスを解析して異常を検出
  // 必要に応じてアラートを送信
}, 60000); // 1分ごとにチェック