keenauth_attack_protection

keenauth_attack_protection kaynağı ortamın saldırı koruması ayarlarını yönetir: kaba kuvvet, şüpheli IP kısma, kimlik bilgisi doldurma ve saldırı modu, bot koruması, sızmış parolalar, kayıt koruması, SMS dolandırıcılığı koruması ve risk politikası.

Ortam başına tek nesne

Saldırı koruması nesnesi her ortamda bir kez vardır ve her zaman vardır. Kaynağı bir sağlayıcı yapılandırmasında en çok bir kez tanımlayın. Kaynağı oluşturmak mevcut nesneyi okur ve yalnız yapılandırmanızın değiştirdiklerini yazar. Kaynağı yok etmek onu yalnız durumdan (state) çıkarır; ortam koruma ayarlarını korur, yani destroy güvenliği sessizce gevşetmez.

Yalnız yazdığınız yönetilir

Yazmadığınız bir alan ya da grup mevcut değerini korur. Yapılandırmadan çıkardığınız bir alan son değerini korur. Durum etkin değerleri taşır; bunlar API'nin uyguladığı varsayılanlar, güvenlik tabanları ve plan kapılarıdır. Bu yüzden planın düşürülmesi sonraki plan çıktısında değişiklik olarak görünür. suspicious_ip_throttling.allowlist ve sms_protection.allowed_countries gibi listeler kümedir; sıraları önemli değildir.

resource "keenauth_attack_protection" "this" {
  brute_force = {
    max_failures = 10
    lock_minutes = 30
  }

  suspicious_ip_throttling = {
    allowlist = ["203.0.113.0/24"]
  }

  sms_protection = {
    allowed_countries = ["DE", "TR"]
    daily_cap         = 500
  }

  risk_policy = {
    mode                = "enforce"
    challenge_threshold = 5
    block_threshold     = 8
  }
}

Gruplar

Alan	Neyi denetler
`brute_force`	Başarısız girişlerden sonra kullanıcı başına kilit: mod, kilitten önceki başarısız deneme sayısı, sayım penceresi, kilit süresi, kullanıcıya e-posta.
`suspicious_ip_throttling`	Başarısız giriş ve kayıtlar için IP başına sınırlar ve muaf tutulan CIDR izin listesi.
`credential_stuffing`	Kimlik bilgisi doldurma algılama modu ve saldırı modu (otomatik başlama, süre).
`bot_protection`	Bot doğrulama modu (`off`, `risk_based`, `always`) ve sağlayıcı.
`breached_password`	Sızmış bir parola kayıtta, parola değişiminde ve girişte kullanılırsa ne olacağı.
`signup_protection`	Tek kullanımlık e-posta, `+` alt adresleri ve cihaz başına 30 günlük kayıt sayısı.
`sms_protection`	SMS gönderilebilecek ülkeler, günlük tavan ve dönüşüm kesicisi.
`risk_policy`	Risk modu, ek doğrulama ve engelleme eşikleri, yeni cihaz bildirimi.

Güvenlik tabanları ve plan kapıları

Güvenlik tabanının altındaki değerler (kilitten önce 100'den fazla başarısız deneme, 5 dakikadan kısa kilit, saatte IP başına 20'den fazla kayıt) plan zamanında reddedilir. breached_password.on_signup ve on_password_change için engelleme seçeneği de tabandır.
risk_policy.block_threshold, risk_policy.challenge_threshold değerinden büyük olmalıdır.
risk_policy.mode = "enforce" Startup planı ve üstünü ister; aksi halde API 403 plan_feature_unavailable döner.
block_threshold ve daily_cap kapalıyken durumda null olur. Bir kez ayarladıktan sonra yapılandırmayla yeniden kapatılamaz; bunun için pano ya da yönetim API'sini kullanın.
İzin listesi girdileri 203.0.113.0/24 gibi kanonik ağ adresleridir. /8'den geniş IPv4 ve /32'den geniş IPv6 önekleri reddedilir.

Güvenli değişiklik

Güncelleme yalnız değişen alanları If-Match ile JSON merge patch olarak gönderir. Plan yapıldıktan sonra nesneyi başka biri değiştirdiyse API 412 döner ve hiçbir şey değişmez. plan komutunu yeniden çalıştırın.
Panoda yapılan bir değişiklik sonraki plan çıktısında sapma (drift) olarak görünür ve apply, yönettiğiniz alanlar için onu geri alır.
Etkin hesap kilitleri ve saldırı modu yapılandırma değil işlemdir: bunlar için pano ya da yönetim API'sini (/v1/attack-protection/lockouts ve /v1/attack-protection/attack-mode) kullanın.

İçe aktarma

tofu import keenauth_attack_protection.this attack-protection