You shall not pass: как мы внедрили строгую валидацию API в нашем SBC

Когда вы открываете REST API своего сервиса во внешний мир, вы приглашаете не только легитимных клиентов, но и потенциальных злоумышленников. API по сути становится линией боевого соприкосновения. Сегодня уже недостаточно просто проверять права доступа или надеяться, что фронтенд не отправит «плохой» запрос, да и WAF перестает быть панацеей.
Для защиты от потенциальных злоумышленников мы в IVA Technologies реализовали механизм строгой валидации API прямо на уровне сетевого периметра — в нашем продукте IVA SBC (Session Border Controller). Механизм позволяет не только фильтровать трафик, но и полноценно проверять каждый запрос на соответствие актуальной модели API, автоматически синхронизируемой с основным приложением.
Рассказываем, как устроена эта функция, какие задачи решает — и почему на рынке почти нет аналогов.