عندما توليت لأول مرة مشروعًا ماليًا، ربت الرئيس على صدره وقال: “لدينا هذا الحجم، من سيأتي للقتال آه”، نتائج اليوم الثالث على الخط، ضرب مباشرة إلى مغلق ذاتيًا. في الساعة الثالثة صباحًا تلقيت رسالة نصية منبهة، مجموعة الأعمال بأكملها مشلولة تمامًا، وارتفعت ذروة حركة المرور إلى 200 ضعف المعتاد - هذه المرة لفهم أن CDN الدفاعية العالية ليست اختيارية، ولكنها قشة منقذة للحياة.
في هذه الأيام تم تطوير هجمات DDoS صناعيًا منذ فترة طويلة، فقط ابحث عن سوق تحت الأرض، يمكن لـ 500 دولار شراء هجمات مرور غير متوقفة لمدة 24 ساعة بدون توقف من فئة G. هل تعتقد أن مجموعة من الإصدار المجاني من Cloudflare ستكون قادرة على الراحة بسهولة؟ لست متأكداً من أنني سأكون قادراً على فعل ذلك، لكنني سأكون قادراً على فعل ذلك. في العام الماضي، استخدمت إحدى البورصات العام الماضي شبكة CDN رخيصة، وكان اختراق TCP الفيضان، حتى أن المهاجم كان متغطرسًا على الموقع الرسمي لتعليق رسالة ابتزاز. لا تصدق أبدًا تلك الدعاية الكاذبة “الدفاع غير المحدود”، فقد واجهت حقًا تأثيرًا كبيرًا على حركة المرور، ورد الفعل الأول للعديد من مزودي الخدمة هو إعطاؤك للقيام بمسار فارغ.
يعرف أولئك الذين اختبروا المعركة الحقيقية حقًا أنه للتعامل مع هجمات المرور من المستوى T يجب استخدام استراتيجيات دفاعية متعددة الطبقات. تمامًا مثل الدفاع عن المدينة القديمة، سقطت المدينة الخارجية والجرة، الجرة مكسورة والمدينة الداخلية. لقد اختبرت ووجدت أن الهيكل الأكثر موثوقية هو: طبقة الجدولة الذكية ← طبقة تنظيف الحافة ← طبقة حماية محطة المصدر، الربط ثلاثي الطبقات من أجل لعب دفاع مثالي.
إن الجدولة الذكية للمستوى الأول هي النقطة العمياء لدى معظم الناسأول ما عليك فعله هو شراء عقدة تنظيف جيدة وستكون على ما يرام. تعتقد العديد من الفرق أنهم إذا اشتروا عقدة تنظيف جيدة، فسيكون كل شيء على ما يرام، لكنهم لا يعرفون أنه إذا لم تنجح استراتيجية الجدولة، فإن حركة المرور الهجومية يمكن أن تطغى مباشرة على الرابط إلى المصدر. في العام الماضي، عندما استخدمت موازنة التحميل العالمية لـ CDN5، قمت بإعداد سياسة جدولة حركة المرور القائمة على ASN لجدولة حركة المرور تلقائيًا من مناطق مصدر الهجوم المشتبه به إلى عقد الدفاع العالي:
ساعدتني هذه المجموعة من القواعد في منع الهجمات المبدئية 70%، خاصة تلك الطلبات القادمة من شريحة ASN لشبكة الروبوتات النموذجية، والتي تم تحويلها مباشرة إلى مجموعة الدفاع العالي للمعالجة. ومن المثير للاهتمام أن المهاجم تحوّل لاحقًا إلى استخدام شريحة بروتوكول الإنترنت الخاصة بمورّد السحابة لشن الهجمات، فأضفتُ قواعد كشف إضافية استنادًا إلى خصائص رؤوس بروتوكول نقل النصّ HTTP - الطريق عالٍ، الشيطان عالي آه.
يحدد الاختيار الفني لطبقة تنظيف الحافة مباشرةً سقف الدفاعأول شيء أود قوله هو أنني لا أعرف كم يمكنني القيام به. لا تنظر إلى بائعي CDN ينفخون في بائعي CDN كم عدد سعة التنظيف T، حقًا لاختبار الضغط عندما يكون الأداء مختلفًا جدًا. في العام الماضي عندما قمت باختيار البائع، قمت بسحب CDN5 و CDN07 و 08Host لإجراء اختبار حركة المرور الحقيقية:
بمحاكاة هجوم فيضان HTTP بمعدل 500,000 QPS في الثانية، ارتفع حمل وحدة المعالجة المركزية لـ CDN07 فجأة إلى أكثر من 90%، وتدهور زمن الاستجابة من 35 مللي ثانية إلى 800 مللي ثانية؛ قام 08Host بتشغيل آلية الانهيار مباشرة، وقفز اختبار CAPTCHA للمستخدمين العاديين أيضًا؛ على العكس من ذلك، أذهلني أداء CDN5 --- يمكن أن يحافظ اكتشاف بصمة الإصبع الديناميكي الخاص بهم في الواقع على ثبات زمن انتقال العمل العادي في حدود 50 مللي ثانية.
الفرق الرئيسي هو خوارزمية التنظيف. فالكشف التقليدي القائم على العتبة (على سبيل المثال يتم تشغيله عندما يتجاوز عدد الطلبات في الثانية الواحدة الحد المسموح به) يتم تجاوزه بسهولة، كما أن الهجمات المتقدمة الآن تحاكي سلوك المستخدم العادي. الحل الأفضل هو استخدام نماذج التعلّم الآلي لإجراء تحليل سلوكي، مثل اكتشاف مسارات حركة الفأرة، وحالات الشذوذ في تسلسل الوصول إلى واجهة برمجة التطبيقات، وما إلى ذلك. هذا هو السبب في أن شبكة CDN الاحترافية عالية الدفاعية أغلى بثلاث مرات من الحماية التي يوفرها بائع السحابة - فالناس حقًا يصيبون المال على الخوارزمية.
عرض النطاق الترددي المرن هو الدفاع المادي المطلقأول شيء أريد قوله هو أنني لن أتمكن من القيام بذلك. قال ما هي الخوارزمية ما هي الاستراتيجية، مواجهة هجمات مستوى T في نهاية المطاف النظر في عرض النطاق الترددي الثابت الطاقة. ولكن شراء عرض النطاق الترددي الثابت هو دفع ضريبة معدل الذكاء، وعادة ما يكون 95% وقت الخمول حرق المال. لقد قارنت ثلاثة برامج مرونة:
تتبنى CDN5 نموذج “مضمون + انفجار”، وتدفع رسومًا أساسية شهرية 2G، وعرض النطاق الترددي الاندفاعي عند فوترة $0.12T0/GB. تم ضرب الاختبار الفعلي عندما يمكن توسيع السعة تلقائيًا إلى 2T، واستقرت تكلفة الدفاع عن هجوم واسع النطاق بحوالي 3000 دولار أمريكي.08Host شارك في برنامج تجميع عرض النطاق الترددي، 100 عميل مشترك لمشاركة مجموعات 10T، عادة ما تكون أرخص، ولكن واجهت عددًا من العملاء في نفس الوقت عندما يكون الهجوم قد يكون تدافع الموارد. الأكثر إثارة للشفقة هو بائعي السحابة المعروفين، العقد مكتوب في “توسيع السعة المرنة”، وقد تضرر حقًا عندما تضطر إلى رفع تطبيق العمل يدويًا - لن ينتظر المهاجمون حتى تمر بعملية الموافقة!
إن إخفاء محطة المصدر هو الحركة القاتلة التي يغفل عنها الكثير من الناس.. لقد رأيت الكثير من الفرق التي تشتري شبكة CDN عالية الدفاع لكنها تكشف مأساة بروتوكول الإنترنت الخاص بالمحطة المصدر. يحصل المهاجمون على عنوان IP الحقيقي من خلال سجلات DNS التاريخية، واستنشاق شهادة SSL، وحتى البحث العكسي لخادم صندوق البريد، متجاوزين مباشرةً الدفاع العالي لاختراق المحطة المصدر. يجب عليك القيام بالربط الكامل للاختباء:
هذه المجموعة من مجموعات اللكمات إلى الأسفل، في العام الماضي حملنا رقمًا قياسيًا في الهجوم 1.2 تيرابايت في الثانية، وزاد زمن انتقال الأعمال 20 مللي ثانية فقط.
الآن اسمحوا لي أن أختار النموذج، سأعطي الأولوية لثلاث نقاط: قدرات الجدولة العالمية (30 عقدة تنظيف على الأقل)، معقولية الفوترة المرنة (لا يمكن أن تكون الفواتير عالية بشكل مفاجئ)، درجة أتمتة واجهة برمجة التطبيقات (سواء لرسو نظام المراقبة الذاتي البناء). أداء CDN07 الذي تم اختباره مؤخرًا في منطقة آسيا والمحيط الهادئ جيد، لكن زمن انتقال العقدة الأوروبية مرتفع؛ 08Host فعال من حيث التكلفة للشركات الناشئة، لكن استقرار التدفقات الكبيرة التي يجب ملاحظتها.
أخيرًا، نقطة قوية: لا يوجد نظام آمن 100%، شبكة CDN عالية الدفاع هي فقط لرفع تكلفة الهجوم على الجانب الآخر لا يمكن أن يتحملها. لقد حددنا الآن عتبة الدفاع بـ 800 جيجابت في الثانية - ليس لمنع أكبر، ولكن لقياس تكلفة المهاجمين لاستئجار هذا المستوى من الروبوتات التي تجاوزت قيمة خسائر أعمالنا. الأمن هو في الأساس مسألة اقتصادية، لذا لا تنسى أن تقوم بالحسابات.
