A Buser é um site e aplicativo que oferece passagens de ônibus com valores até 60% menores em relação ao preço médio das passagens na rodoviária e sem pagar taxas de serviços adicionais.
Desde o inicio de sua operação em 2017, a Buser tem se destacado no mercado brasileiro por facilitar a vida de seus usuários, mudando completamente a relação que temos com viagens intermunicipais. Sem rodoviária, sem burocracia e sem filas, esse é o grande diferencial da Buser.
Com milhares de requisições diárias em suas APIs (Application Programming Interface) a equipe da Buser tem o desafio de sustentar uma operação complexa com rapidez, qualidade e segurança.
Atualmente a Buser está presente em 18 estados do país (e segue crescendo), o que naturalmente faz com que a aplicação seja alvo de bots maliciosos que buscam extrair informações de disponibilidade de assentos, destinos e preços de passagens.
Buser: Área para seleção de destino e data
Para aprimorar a segurança e garantir que suas APIs estejam sempre disponíveis, a equipe da Buser optou em criar regras de Rate Limit com diferentes critérios. Um exemplo foi passar a tomar ações de Rate Limit com base em volume de requisições. Para isso, foi necessário primeiro entender a quantidade de requisições naturais e compatíveis com a operação, passando a desafiar (via CAPTCHA) ou bloquear apenas comportamentos que possam ser considerados como maliciosos.
HTTP/2 403 – Bloqueio de CAPTCHA após um determinado volume de requisições
Como no exemplo acima, se uma determinada API recebe mais de X requisições por segundo, minuto ou hora, o sistema de Rate Limit da GoCache faz com que esse acesso seja desafiado com CAPTCHA.
Além da questão estreitamente relacionada com o mal uso da API de destinos, a equipe da Buser também buscou otimizar sua segurança contra testes massivos de acesso, considerando o grande volume de informações sensíveis que foram vazados por negligencia de outras empresas nos últimos anos.
Com isso a Buser tem conseguido aprimorar a segurança de sua aplicação, interceptando milhares de requisições por dia, evitando que informações sensíveis sejam extraídas e economizando recursos de sistema.
Analytics GoCache – Exemplo da contabilização de ações do Rate Limit
Segundo Tony Lampada, CTO da Buser, após a aplicação do Rate Limit da GoCache o volume de requisições feitas por bots maliciosos caiu instantaneamente.
Agentes maliciosos podem precisar de muitas tentativas para atingir seus objetivos. Por isso, ataques DDoS, exploração de vulnerabilidades, tentativas de login por força bruta, entre outras ameaças, normalmente exibem um comportamento em que IPs requisitam uma aplicação a uma taxa fora do padrão e consistentemente por determinado período de tempo.
Com o Rate-limit da GoCache você pode contabilizar a taxa de requisições com que cada IP acessa sua aplicação e impedir que esses acessos maliciosos continuem caso a taxa ultrapasse certo limite. Caso tenha interesse em conhecer em detalhes o Rate Limit da GoCache, leia nossa documentação
Experimente a solução em nosso trial gratuito de 7 dias!
A gestão de custos é um dos maiores desafios enfrentados pelas empresas, especialmente quando esses…
As startups, impulsionadas por inovação e agilidade, navegam em um cenário digital vibrante, mas também…
A segurança cibernética é crucial para startups, independentemente do seu tamanho ou setor de atuação.…
O gerenciamento de vulnerabilidades é o processo de identificar, avaliar, tratar e relatar vulnerabilidades de…
O DNS Cache Poisoning, ou envenenamento de cache DNS, é uma forma de ataque cibernético…
O DNS hijacking é um ataque malicioso que envolve a alteração das configurações de DNS…