FireBase Firestoreで悪意の有るユーザーのddos攻撃からクエリ料金を守る方法

Question

FireBase Firestoreで悪意の有るユーザーのddos攻撃からクエリ料金を守る方法が知りたいです。
クエリ料金にリミット設けることができることは知っています。ですが、この場合サービスが止まると思います。
以下の方法を考えました。
1.create write read delete回数をcloud functionでincrementにより記録し、security rule時に閾値と比較して弾く方法。
この方法だと、read時はトリガーしてくれない問題がある。
また、security rule時にincrement回数を読み込むクエリや、cloud functionでのincrementにも料金が発生するので現実的ではないと思っています。そもそも、これほど心配する必要性があるのかどうか分かっていません。
実際にFireBase Firestoreで運営されておられるかたがいらっしゃれば、アドバイスをよろしくお願いします。

Answer 1

ユーザーが多いサービスを運営してないただの私見なので、私も他の人の意見聞いてみたいです。

DDoSに限らず、一般ユーザーが使用して問題がないパフォーマンスのものを作っていればあまり気にする必要がないと思います。
APIの呼び出しが多いものを作れば表示が遅くなるなどのユーザーに影響が出ますし、そんな状態で運用していれば、DDoSの攻撃以前にユーザーの増加に耐えられません。

質問文にも書かれていますが、アプリケーション側で独自に制限を作るようなことはかえって負荷になりそうなので避けたほうが無難だと思います。

悪意の有るユーザーのddos攻撃

何に対する攻撃でしょうか。

Webアプリケーションの場合はFirebase Hostingを使用する場合が多いと思うのですが、Firebase HostingはCDNなのでDDoS攻撃についての記載がありますね。
What can I do with Firebase Hosting?

Restrict access and counter a DDoS attack for your web apps

firestore.googleapis.com のAPIサーバーに対しては、制限が存在するかどうかはわからなかったですが、APIサーバーですし何らかの制限はありそうな気がします。

ユーザーの増加に耐えられるアプリケーションを意識していれば、自然と対応されていくし、細かい運用はFirebase側に任せて良いと思います。

Comments

[marugon]

返答ありがとうございます。
現在は、ローンチしていない状態で、アクセス過多の心配ではなく、ただ、いやがらせ的にリロードしまくるようなユーザーがもしいた場合、それに対してお金を払うのはいやだなぁぐらいなんですが、Googleからすると、料金がかさむほうがいいわけで、なんだかなという感じです。

[aaharu]

DDoSではなくユーザーのリロード程度のものであれば、クライアントで制限するロジックを書けばいいのかなと思います。
sessionstorageなりアプリの保存領域なりにカウントして数分のリクエスト上限をつけるとか。

ただ問題があるような実装をしてなければ料金掛かることもまれな気がするので、どうしても心配なら、という感じですが……

[marugon]

まさにそれしかないかなと考えていました。
ながながとお付き合いいただきありがとうございました。