أتذكر العام الماضي عميلاً في العام الماضي ليجد لي حريقًا طارئًا، قال إن الموقع تعرض فجأة للتوقف، ووجدت مراجعة السجلات أن عنوان IP الخاص بالمحطة المصدر كان ينفجر بدقة - المهاجم ببساطة لم يذهب CDN، مباشرة إلى إخراج مجنون لمحطة المصدر IP. سألته عن كيفية مطابقة الـ CDN، فبرر: “ليس على اسم النطاق CNAME لبائع CDN إلى عنوان بائع CDN؟ نتائج إلقاء نظرة على التكوين، رجل جيد، الخادم المصدر مرتبط فعليًا باسم المجال الدقة المباشرة للسجل A، قواعد جدار الحماية لا تقيد CDN إلى جزء IP المصدر. هذا النوع من العمليات، يعادل إصدار المخترق مباشرة من خلال محطة مصدر تذكرة VIP.
في الواقع، فإن تعرض محطة المصدر IP هذا الهراء، تسع مرات من أصل عشرة هي سهو التكوين أو تحيز الفهم. يعتقد بعض الناس أن استخدام شبكة CDN سوف يرتاحون بسهولة، لكنهم لا يعرفون أن شبكة CDN هي مجرد طبقة من الدرع، فالدرع نفسه غير مغطى بإحكام ولكنه سيصبح نقطة ضعف. تشمل الأعمال الشائعة للموت: فتح خادم المصدر منفذ تصحيح عن بعد والوصول العام، وبقاء سجلات DNS في سجل المصدر A، وتسريب تطبيق شهادة SSL لعنوان IP المصدر، وحتى في التعليمات البرمجية مباشرة لكتابة واجهة برمجة تطبيقات استدعاء IP المصدر الميت، والأكثر فظاعة هو أن بعض البائعين الصغار والمتوسطين للتكوين الافتراضي لشبكة CDN يسمح للمستخدمين بتجاوز ذاكرة التخزين المؤقت من خلال رأس معين أو معلمات URL للاتصال مباشرة إلى محطة المصدر! --هذا ببساطة باب خلفي للمهاجمين.
لقد اختبرت ثلاثة من مزودي شبكات CDN الرئيسيين ووجدت أنه حتى بالنسبة لنفس البائع، يمكن أن تكون سياسات الأمان الافتراضية للحزم المختلفة مختلفة بشكل كبير. على سبيل المثال، إصدار CDN5 للمبتدئين من CDN5 لا يخفي في الواقع رأس خادم المصدر تلقائيًا، بينما إصدار المؤسسة الخاص بهم سيضطر إلى إعادة كتابة رأس الاستجابة. هناك أيضًا تفصيل مثير للشفقة: بعض CDN في المصدر يعود إلى فشل معلومات خطأ IP المصدر سيتم طرح معلومات خطأ في المصدر للعميل، وهو ما يسمى “التعرض لردود الفعل على الخطأ”، وهو ما يُطلق عليه "التعرض للأخطاء"، وهو ما يُطرح خصيصًا للمستخدمين البيض.
لماذا يجب عليك أن تموت لإخفاء عنوان IP المصدر، في هذه الأيام أصبحت هجمات DDoS صناعية منذ فترة طويلة، وتكلفة اختراق شبكة CDN تزداد ارتفاعًا وارتفاعًا، ولكن إذا لمست عنوان IP المصدر، فإن تكلفة الهجوم تنخفض مباشرةً بمقدار الضعف. لقد رأيت الحالة الأكثر مأساوية هي تعرض بروتوكول الإنترنت المصدر لمحطة تجارة إلكترونية، تم شلّها بفيضان UDP بسرعة 50 جيجابت في الثانية، بائعو السحابة مباشرة إلى الخادم المصدر لسحب الثقب الأسود لمدة 24 ساعة - لمعرفة أن الآن مجرد مجموعة من البروجر يمكن بسهولة إنشاء حركة مرور على مستوى T. والأمر الأكثر إثارة للاشمئزاز هو أنه بمجرد وضع علامة على بروتوكول الإنترنت المصدر، يتبع ذلك مسح المنافذ اللاحق، واكتشاف الثغرات وإساءة استخدام واجهة برمجة التطبيقات، وهو أمر يصعب تنظيفه مثل عش الصراصير الذي يتم طعنه.
وبالحديث عن إعادة التوجيه متعدد الطبقات، فإن جوهر هذا الأمر هو وضع دمية تداخل روسية على بروتوكول الإنترنت المصدر. تعتمد الطبقة الأولى على عقدة حافة CDN لنقل حركة المرور، والطبقة الثانية تستخدم وكيل عكسي أو مصدر وسيط للقيام بالعزل، والطبقة الثالثة هي محطة المصدر الحقيقية. المفتاح هو السماح للمهاجم برؤية عنوان IP الوكيل الخارجي فقط، والعودة إلى عنوان IP الخاص بالرابط المصدر جميع اتصالات الشبكة الداخلية أو القائمة البيضاء. هنا أوصي بشدة باستخدام برنامج “المصدر الوسيط”: لا تدع شبكة CDN تعود مباشرة إلى الخادم الحقيقي، ولكن في منتصف إدراج طبقة وكيل (مثل مجموعة البروكسي العكسي Nginx)، طبقة الوكيل وشبكة CDN بخط مخصص أو وصلات بينية للإنترانت، الخارجية غير مرئية تمامًا.
على وجه التحديد، خذ تكوين Nginx على وجه التحديد. لنفترض أن عنوان IP المصدر الحقيقي للشبكة الداخلية هو 192.168.1.100، والعنوان العام لخادم المصدر الوسيط الوكيل هو 203.0.113.10 (ولكن يسمح فقط بوصول CDN إلى جزء IP المصدر)، وعقدة حافة CDN التي تعود إلى المصدر تشير إلى عنوان IP المصدر الوسيط هذا. ثم في خادم المصدر الوسيط، يكون تكوين مفتاح nginx.conf طويلًا على هذا النحو:
لا تقلل من شأن هذه الخطوط من التكوين! أساعد محطة مالية للقيام بالتعزيز، فقط اعتمد على هذه البنية المصدرية الوسيطة لمنع 70٪ من سلوك المسح. لأنه حتى لو اختار المهاجم بروتوكول الإنترنت 203.0.113.10، فإنه لن يرى سوى طبقة وكيل متخفية في شكل شبكة CDN، ولن يستطيع لمس الخادم الحقيقي 192.168.1.100. والأكثر من ذلك، يمكن أيضًا نشر المصدر الوسيط WAF، والحد من المعدل، والتحقق البشري ووحدات أمان إضافية أخرى - أي ما يعادل محطة المصدر في التأمين المزدوج.
الآن دعنا نتحدث عن اختيار بائعي CDN. اختر عشوائيًا ثلاث مقارنات: CDN5، CDN07، 08Host. نقطة قوة CDN5 هي أن هناك العديد من العقد الخارجية، لكن سياسة الأمان الافتراضية ضعيفة، عليك أن تفتح يدويًا “العودة الصارمة إلى وضع المصدر” من أجل قفل القائمة البيضاء ؛ CDN07 التسريع المحلي لا يرحم، ودعم التكامل الأصلي لإعادة التوجيه متعدد الطبقات (يسمونه “بنية مصدر الدرع”)، ولكن السعر يمكن أن يكون أكثر تكلفة من 40% ؛ 08Host طريق فعال من حيث التكلفة. “هندسة مصدر الدرع”)، ولكن السعر يمكن أن يكون أكثر تكلفة من 40%؛ 08Host مسار فعال من حيث التكلفة، وشراء حزم دفاعية عالية لإرسال خدمات المصدر الوسيطة، ولكن استقرار العقدة يهتز أحيانًا. لقد قمت بقياس اختبار الضغط، لا يزال بإمكان CDN07 في 300Gbps DDoS الحفاظ على رابط المصدر الوسيط لا يسرب IP الحقيقي، في حين أن بعض البائعين الرخيصين واجهوا كمية كبيرة من حركة المرور مباشرة إلى مصدر التعرض - لذلك لا تصدق أن هراء "المخفي المطلق"، المفتاح هو النظر إلى تصميم الشبكة الأساسي. المفتاح هو النظر إلى تصميم الشبكة الأساسي للبائع.
هناك أيضًا عملية تداخل مع شبكات CDN متعددة. على سبيل المثال، استخدام CDN5 للقيام بالطبقة الأولى من تسريع الحافة، والعودة إلى مجموعة المصدر الوسيطة CDN07، ثم العودة أخيرًا إلى الخادم الحقيقي. هذا الوضع المتداخل، على الرغم من تضاعف التكلفة، إلا أنه ساعد شركة ألعاب ذات مرة على مقاومة هجوم هجين بسرعة 1.2 تيرابايت في الثانية - لم يتمكن المهاجم حتى من اختراق عنوان IP الخاص بالطبقة الأولى من شبكات CDNs، ناهيك عن إمكانية التتبع. وبالطبع، يتطلب هذا الحل جدولة دقيقة لنظام أسماء النطاقات وتكوينات احتجاز الجلسات بشكل دقيق، وإلا فقد يواجه المستخدمون ارتعاشًا في زمن الاستجابة عبر قفزات شبكات CDN.
أخيرًا، أود أن أرمي بعض الماء البارد على ذلك: لا يوجد حل يمكن أن يضمن 100% عدم كشف عنوان IP المصدر أبدًا. لقد كان هناك قراصنة استنتجوا بشكل غير مباشر عنوان IP المصدر من خلال تحليل توقيت مصافحة شهادة SSL، وبصمات مكدس HTTP/2، وحتى التعيين العكسي لمقطع IP لعقدة CDN، وما إلى ذلك. لذا بالإضافة إلى إعادة التوجيه متعدد الطبقات، عليك العمل بالعمليات الأساسية المتمثلة في التغيير إلى عنوان IP المصدر بانتظام، وتعطيل استجابات ICMP، وإغلاق المنافذ غير الأساسية، وما إلى ذلك. اعتدتُ على استخدام Shodan كل شهر لفحص عناوين IP ذات الصلة بنطاقي للتحقق من أي تعرض عرضي للخدمات - إنه أفضل من انتظار تعرضها للكشف. اعتدتُ على استخدام Shodan لفحص عناوين IP المرتبطة بنطاقاتي مرة كل شهر للتحقق من أي تعرض عرضي للخدمات - إنه أفضل بكثير من انتظار تعرضها ثم البكاء.
باختصار، إخفاء بروتوكول الإنترنت المصدر هو مشروع منهجي، وليس مجرد مجموعة بسيطة من شبكة CDN منتهية. عليك تجميع الدفاعات من ثلاثة أبعاد: بنية الشبكة، ومواصفات التكوين، واستجابة المراقبة. انظر الآن إلى العام الذي ضربه العميل، فقد أنفق لاحقًا ضعف الميزانية لإعادة بناء البنية، لكنه وفر عشرة أضعاف الخسارة المحتملة من وقت التعطل - هذه الموجة ليست سيئة. تذكر: الأمن هذه المسألة، بدلاً من الإفراط في التصميم لا تتركها للصدفة، بعد كل شيء، يمكن أن يكون رفاق الابتزاز أكثر بكثير مما دحرجناه.
