L'app Duolingo è la migliore app gratuita per l'apprendimento al mondo e insegna 35 lingue. È il modo più popolare per imparare una lingua online, nonché l'app per l'apprendimento delle lingue con più download a livello globale—e in continua crescita! A settembre 2024, Duolingo ha registrato 113,1 milioni di utenti attivi mensili e 37,2 milioni di utenti attivi giornalieri, segnando un aumento anno su anno rispettivamente del 36% e del 54%.
Un'app leader nell'istruzione online costruisce la resilienza del sito e semplifica la sicurezza con Fastly
La sfida
I 113 milioni di studenti attivi ogni mese di Duolingo contano sull'app per rendere lo studio di una lingua facile e divertente, senza tempo di inattività che interrompa l'apprendimento o spezzi una serie di studio. Gli attacchi DDoS erano frequenti e costosi, come ha scoperto Matt Brandman, Senior Engineering Manager, Sicurezza piattaforma di Duolingo. “Ho trascorso le prime due settimane in un continuo intervento d'emergenza. Oltre all'impatto sui clienti, il costo delle ore di ingegneria aumentava: un attacco DDoS poteva generare cinque problemi diversi e consumare decine di ore di ingegneria”, afferma.
L’approccio di Brandman alla sicurezza in Duolingo si concentra su soluzioni a livello sistemico e sulla formazione del team, quindi voleva implementare una soluzione per la sicurezza edge che semplificasse la vita agli sviluppatori e garantisse la resilienza del sito. “In qualità di responsabile tecnico, ho molto a cuore l'interazione tra l'esperienza degli sviluppatori e quella della sicurezza. Con Fastly è più facile instaurare un rapporto di fiducia con gli sviluppatori”.
Dopo esperienze negative con altri fornitori, tra cui alcuni che avevano deprecato i servizi in modo imprevisto, Duolingo desiderava un partner di sicurezza con una storia di supporto a lungo termine ai propri clienti, canali di comunicazione pratici e reattivi ed esperti di sicurezza di cui il suo team potesse fidarsi quando la posta in gioco era alta.
La soluzione
Fastly offre la produttività per gli sviluppatori, l'affidabilità e la resilienza di cui Duolingo ha bisogno. "Il Next-Gen WAF era attivo in produzione e bloccava abbastanza traffico da incidere concretamente sugli attacchi DDoS in meno di una settimana", afferma Brandman.
Con la resilienza della piattaforma arriva la flessibilità per innovare
Gli sviluppatori di Duolingo distribuiscono i servizi più rapidamente, sapendo di essere protetti dal Next-Gen WAF sull’edge di Fastly. “Possono attivare un server prima, sapendo di potervi applicare il rate limit, se necessario”, dice Brandman. “E, poiché Fastly fa il suo lavoro e protegge i servizi, non vengono svegliati di notte dagli incidenti.
Con una cultura DevOps che esegue centinaia di esperimenti ogni trimestre, Duolingo ha persino riscontrato che il Next-Gen WAF offre resilienza contro gli esperimenti degli sviluppatori andati fuori controllo. Alcuni sviluppatori pensavano che li avessimo sottoposti alla limitazione della velocità. Si è scoperto che il loro esperimento ci stava inviando decine di migliaia di richieste, quindi abbiamo effettivamente evitato che un errore interno mandasse offline il sito”.
La visibilità fa risparmiare ore di lavoro ai tecnici
Un altro problema chiave che Fastly risolve per Duolingo è la visibilità, che consente a Duolingo di reagire rapidamente agli incidenti di sicurezza. “Le dashboard di Fastly ci offrono la visibilità per capire che un servizio ha appena ricevuto 5 milioni di richieste contemporaneamente e sappiamo immediatamente che è per questo che è andato giù”, afferma Brandman. “Il costo maggiore per le aziende di ingegneria è il tempo di sviluppo: il costo degli strumenti è quasi trascurabile rispetto a 30 ingegneri che cercano di risolvere un problema per tre ore. Con Fastly, dedichiamo al massimo da due a tre ore di lavoro degli ingegneri per risolvere un problema: uno o due ingegneri se ne occupano, apportano una modifica e la rilasciano in produzione. I risparmi sui costi sono tangibili e rappresentano uno dei principali benefici di Fastly”, afferma.
I controlli granulari affinano la sicurezza con una fruibile ereditarietà
Percorsi diversi richiedono approcci alla sicurezza diversi, quindi il team di Brandman apprezza la possibilità di personalizzare le regole con precisione. Un percorso di accesso richiede una maggiore protezione, afferma. «Non vuoi consentire 2000 accessi non validi al secondo, perché finirai per avere tentativi di enumerazione. Con il Next-Gen WAF, possiamo essere estremamente specifici su quale comportamento prevenire. Per esempio, probabilmente non si tratta di un vero utente se non è riuscito ad accedere 30 volte nell’ultimo secondo, quindi lo mettiamo in una penalty box per alcuni minuti. Considerata la frequenza con cui gli IP ruotano e quanti proxy esistono, una penalty box è un approccio di gran lunga migliore rispetto a un ban”.
Brandman prosegue dicendo che è anche davvero utile poter impostare il Next-Gen WAF in modalità di monitoraggio, verificare se corrisponde al traffico e assicurarsi che non blocchi tutto il traffico prima di attivarlo in modalità di blocco. “Possiamo persino farlo percorso per percorso, in base a un User-Agent basato sull’intestazione. Bloccare uno specifico user-agent su un percorso può darci il tempo di implementare una soluzione più ampia.”Ancora più potente, i segnali possono essere combinati per creare regole più estese. “Una delle mie funzionalità preferite del Next-Gen WAF è la sua componibilità”, afferma Brandman. “Nel tempo, abbiamo creato segnali fondamentali, come i vecchi user-agent. Di per sé, questo potrebbe non essere un segnale di allarme, ma se vediamo un vecchio user-agent con dieci tentativi di accesso falliti provenienti da una vecchia versione di un'app, potremmo applicare un timeout più lungo rispetto a quello su un user-agent su una versione più recente dell'app. Fastly rende facile esplorare, facile comprendere e facile apportare modifiche verificate a questo tipo di regole”.
I benefici dell’automazione della sicurezza più la flessibilità della gestione manuale
Duolingo beneficia dei vantaggi degli strumenti di sicurezza automatizzati, oltre che delle conoscenze degli esperti di sicurezza di Fastly, maturate proteggendo i clienti che affrontano un'ampia varietà di attacchi: quello che altri clienti hanno riscontrato, quello che hanno osservato in specifici settori verticali e quali vettori di attacco sono in aumento. Fastly esamina regolarmente i log di Duolingo per identificare i trend che l'automazione non rileva — prima che raggiungano livelli di emergenza. Di conseguenza, Duolingo previene gli incidenti. E quando i team interni hanno bisogno di una mano, il Response Security Service interviene in aiuto. “All'inizio, durante l'implementazione del Next-Gen WAF, abbiamo coinvolto contemporaneamente il centro per le operazioni di cybersecurity (CSOC) e il team di implementazione. Hanno lavorato in perfetta sintonia mentre capivamo come fare”, afferma Brandman.
Brandman afferma che ogni interazione è un'ottima esperienza, perché Fastly si prende il tempo di comprendere il cliente. “Fastly ha un team tecnico che sa davvero il fatto suo e che comprende perfettamente il nostro stack tecnologico. Quando apriamo un ticket con il CSOC, il tempo di risposta è normalmente di pochi minuti. E non si limitano a guardare una dashboard, scrivono script e analizzano il traffico. Fanno domande pertinenti e forniscono consigli preziosi su cosa provare, specifici per il nostro stack. E forniscono l'aiuto in più di cui hai bisogno durante un incidente quando tutti gli altri sono occupati”.
Punti chiave
Duolingo ha trovato un partner di sicurezza a lungo termine che supporta sia la resilienza che l'innovazione. Una solida partnership e un approccio esperto portano a una protezione più forte, alla tranquillità, al focus operativo e all'innovazione degli sviluppatori. “Quando consideri un partner per la sicurezza e la Rete di distribuzione dei contenuti, guarda attentamente la qualità del team con cui lavori e assicurati che sia in grado di stare al passo con la tua organizzazione nel tempo. Sono l'infrastruttura principale e la tua prima linea di difesa. Un solido rapporto pagherà dividendi per anni. È questo che ci ha portato a Fastly”, conclude Brandman.