La aplicación Duolingo es la mejor aplicación de aprendizaje gratuita del mundo y enseña 35 idiomas. Es la forma más popular de aprender un idioma en línea y la aplicación para aprender idiomas más descargada del mundo, ¡y sigue creciendo! En septiembre de 2024, Duolingo registró 113.1 millones de usuarios activos al mes y 37.2 millones de usuarios activos al día, lo que representa un aumento interanual del 36% y del 54%, respectivamente.
Una aplicación líder de educación en línea construye la resiliencia del sitio y simplifica la seguridad con Fastly
El desafío
Los 113 millones de estudiantes activos al mes de Duolingo cuentan con la aplicación para hacer que estudiar un idioma sea fácil y divertido, sin un tiempo de inactividad que interrumpa el aprendizaje o rompa una racha de estudio. Los ataques de DDoS eran frecuentes y costosos, como descubrió Matt Brandman, gerente sénior de ingeniería y seguridad de la plataforma en Duolingo. “Mis primeras dos semanas las pasé apagando incendios constantemente. Además del impacto en los clientes, el costo de las horas de ingeniería se acumulaba —un ataque de DDoS podía generar cinco problemas diferentes y consumir docenas de horas de tiempo de ingeniería—”, señala.
El enfoque de seguridad de Brandman en Duolingo se centra en soluciones a nivel sistémico y en la educación del equipo, por lo que quería implementar una solución de seguridad en el edge que les facilitara la vida a los desarrolladores y lograra la resiliencia del sitio. “Como líder de ingeniería, me importa profundamente la interacción entre la experiencia del desarrollador y la experiencia de seguridad. Generar confianza con los desarrolladores es más fácil con Fastly”.
Tras experiencias negativas con otros proveedores, incluidos algunos que discontinuaron servicios de forma imprevista, Duolingo buscaba un socio de seguridad con un historial de apoyo a sus clientes a largo plazo, canales de comunicación prácticos y rápidos, y expertos en seguridad en los que su equipo pudiera confiar cuando había mucho en juego.
La solución
Fastly ofrece la productividad para desarrolladores, la fiabilidad y la resiliencia que Duolingo necesita. “El Next-Gen WAF estaba activo en producción y bloqueando suficiente tráfico como para reducir significativamente los ataques de DDoS en menos de una semana”, dice Brandman.
Con la resiliencia de la plataforma llega la flexibilidad para innovar
Los desarrolladores de Duolingo despliegan servicios más rápido sabiendo que están protegidos detrás del Next-Gen WAF en el edge de Fastly. “Pueden poner en marcha un servidor antes, sabiendo que pueden limitar su velocidad si es necesario”, dice Brandman. “Y, como Fastly hace su trabajo y protege los servicios, no los despiertan por la noche los incidentes".
Con una cultura de DevOps que realiza cientos de experimentos cada trimestre, Duolingo incluso ha descubierto que el Next-Gen WAF ofrece resiliencia contra los experimentos de desarrolladores que salen mal. “Algunos desarrolladores pensaron que les habíamos aplicado un límite de velocidad. Resultó que su experimento nos estaba enviando decenas de miles de solicitudes, por lo que en realidad evitamos que un error interno colapsara el sitio”.
La visibilidad ahorra horas de tiempo de ingeniería
Otro problema clave que Fastly resuelve para Duolingo es la visibilidad, lo que le permite a Duolingo reaccionar rápidamente ante incidentes de seguridad. “Los tableros de Fastly nos dan la visibilidad para ver que un servicio acaba de recibir 5 millones de solicitudes a la vez y sabemos de inmediato que por eso se cayó”, dice Brandman. “El mayor costo para las empresas de ingeniería es el tiempo de desarrollo: el costo de las herramientas es casi insignificante en comparación con 30 ingenieros intentando solucionar un problema durante tres horas. Con Fastly, dedicamos dos o tres horas de ingeniería como máximo para resolver un problema: uno o dos ingenieros se ocupan de él, realizan un cambio y lo envían a producción. El ahorro de costos es tangible y uno de los mayores beneficios de Fastly”, comenta.
Los controles granulares ajustan la seguridad con una herencia conveniente
Diferentes rutas requieren diferentes enfoques de seguridad, por lo que el equipo de Brandman aprecia la capacidad de personalizar las reglas con precisión. Una ruta de inicio de sesión requiere mayor protección, señala. “No quieres permitir 2000 inicios de sesión fallidos por segundo, porque vas a terminar con intentos de enumeración. Con el Next-Gen WAF, podemos ser muy específicos con el comportamiento que prevenimos. Por ejemplo, probablemente no se trate de un usuario real si no ha podido iniciar sesión 30 veces en el último segundo, así que lo enviamos a una zona de penalización durante unos minutos. Dada la frecuencia con la que rotan las IP y la cantidad de proxies que existen, una caja de penalización es un enfoque mucho mejor que un bloqueo”.
Brandman añade que también es muy útil poder poner el Next-Gen WAF en monitoreo, ver si coincide con el tráfico y asegurarse de que no bloquee todo el tráfico antes de activarlo en modo de bloqueo. “Incluso podemos hacerlo ruta por ruta, en función de un agente de usuario basado en encabezados. Bloquear un agente de usuario específico en una ruta puede darnos tiempo para implementar una solución más amplia”. Aún más potente, las señales se pueden combinar para crear reglas más grandes. “Una de mis características favoritas del Next-Gen WAF es lo composable que es”, dice Brandman. “Con el tiempo, hemos construido señales fundamentales, como los agentes de usuario antiguos. Por sí solo, eso podría no ser una señal de advertencia, pero si vemos un agente de usuario antiguo con diez fallos de inicio de sesión provenientes de una versión antigua de una aplicación, podemos aplicar un tiempo de espera más largo que en un usuario-agente de una versión más reciente de la aplicación. Fastly facilita explorar, comprender y realizar cambios revisados en este tipo de reglas”.
Los beneficios de la automatización de la seguridad más la flexibilidad de la gestión práctica
Duolingo disfruta de los beneficios de las herramientas de seguridad automatizadas, así como del conocimiento de los expertos en seguridad de Fastly, desarrollado al proteger a clientes que enfrentan una variedad de ataques: lo que otros clientes han experimentado, lo que han observado en sectores específicos y qué vectores de ataque están en aumento. Fastly revisa periódicamente los logs de Duolingo para identificar tendencias que la automatización no detecta, antes de que alcancen niveles de emergencia. Como resultado, Duolingo previene incidentes. Y cuando los equipos internos necesitan ayuda, Response Security Service interviene para ayudar. “Al principio, al implementar el Next-Gen WAF, involucramos al centro de operaciones de ciberseguridad (CSOC) y al equipo de implementación al mismo tiempo. “Trabajaron en estrecha colaboración mientras lo resolvíamos”, dice Brandman.
Brandman dice que cada interacción es una gran experiencia, porque Fastly se toma el tiempo para entender al cliente. “Fastly cuenta con un equipo técnico que realmente sabe de lo que habla y comprende muy bien nuestra pila tecnológica. Cuando abrimos un ticket con el CSOC, el tiempo de respuesta normalmente es de unos pocos minutos. Y no solo miran un tablero, escriben scripts y analizan el tráfico. Hacen buenas preguntas y dan consejos valiosos sobre qué probar, específicos para nuestra pila. Y brindan la ayuda extra que necesitas en un incidente cuando todos los demás están ocupados”.
Conclusión clave
Duolingo encontró un socio de seguridad a largo plazo que respalda tanto la resiliencia como la innovación. Una alianza sólida y un enfoque experto conducen a una mayor protección, tranquilidad, enfoque operacional e innovación para desarrolladores. “Al considerar un socio de seguridad y CDN, realmente fíjate en la calidad del equipo con el que trabajas y asegúrate de que sea capaz de seguir el ritmo de tu organización a lo largo del tiempo. Son la red troncal y tu primera línea de defensa. Una relación sólida pagará dividendos durante años. Eso fue lo que nos llevó a Fastly”, concluye Brandman.