保护Web服务免受针对所有数据进行爬网的恶意请求？

Question

我们有一个网络服务，我们希望防止恶意攻击，以提出大量请求，以有效地从中获取所有数据。

我们对签名和交换的令牌提供了一定程度的保护，但是一个坚定的攻击者可以获取这些令牌并在我们的网络服务请求时重播它们。

所以我认为唯一的保护是在服务器级别。一种想法是在特定时间间隔内实现请求阈值，它们阻塞持续时间，如果在中断期间进行后续请求，则增长。经过多次尝试，完全黑名单。

然而，我讨厌自定义滚动我们自己的解决方案甚至使用IP的想法，因为代理背后的一个坏用户会阻止该代理后面的所有其他人。

保护网络服务的最佳做法是什么？

更新：为了澄清这一点，这是一个关于保护网络服务免受大规模数据采集的一般性问题。

Answer 1

有几个解决方案，但这个很好，很安全，IMO。在SOAP标头中使用X.509证书进行消息级别的身份验证。以下是有关该主题的一些链接：

http://msdn.microsoft.com/en-us/library/ff648643.aspx

http://msdn.microsoft.com/en-us/library/ff648129.aspx

http://www.aspfree.com/c/a/VB.NET/Securing-Web-Services-with-X509-Certificates/

How can I configure WCF to use x509 certificates over the internet?

Answer 2

您没有告诉我们有关数据/服务的更多信息，但我曾经设计过一个通过查看查询模式来检测攻击的系统。