El análisis de registros de defensa CDN de alta defensa de Chess permite rastrear el origen de los ataques y optimizar la estrategia de defensa
Recuerdo que el verano pasado, nuestra plataforma de ajedrez sufrió de repente una oleada de locos ataques DDoS, el pico de tráfico alcanzó directamente los 500Gbps, y todo el servicio quedó casi paralizado. Yo estaba tomando café en ese momento, la alarma de monitorización no paraba de sonar, y el equipo se puso inmediatamente en modo batalla. Pero el mayor quebradero de cabeza no fue la defensa en sí, sino el hecho de que cuando revisamos la situación después, había un montón de códigos confusos e IP anónimas en los registros, y no pudimos encontrar el origen del ataque en absoluto. Esto me hizo darme cuenta de que no basta con confiar en una CDN de alta seguridad para bloquear los ataques, sino que hay que extraer el oro de los registros, rastrear el origen y optimizar la estrategia. Hoy compartiré mi experiencia práctica, no creas en los que inflan el mito de “una defensa clave”, el análisis de logs es el verdadero trabajo.
La industria del ajedrez es intrínsecamente un área muy afectada por los ataques. Con grandes apuestas y grandes beneficios, los hackers se abalanzan literalmente como perros rabiosos. Una CDN de alta defensa puede, sin duda, transportar el flujo, pero si los registros no se gestionan adecuadamente, eres un ciego luchando en una guerra. He probado una serie de servicios de CDN, encontró que muchos proveedores sólo logran atraer el tráfico y la limpieza, los registros son un desastre - el formato no es uniforme, los campos que faltan, e incluso retrasado unas horas para actualizar. Por ejemplo, una vez que utilizamos la configuración por defecto de CDN07, el registro incluso User-Agent no registró la fuente completa de la trazabilidad del ataque? Olvídalo, es como buscar una aguja en un pajar. El núcleo del problema es: si el registro no está estructurado, no en tiempo real, no desea analizar lo que el nombre. Los atacantes están utilizando ahora botnet y rotación de IP, listas negras de IP por sí sola no puede prevenir, debe identificar las características de comportamiento del patrón de registro.
En primer lugar, la parte de recolección de logs, no te ahorres la molestia de usar la salida simple que viene con la CDN. Recomiendo sincronizar los logs en tiempo real con tu propia pila ELK (Elasticsearch, Logstash, Kibana) o Splunk. cdn5 hace un buen trabajo con esto, soportando campos de log personalizados, como huellas de clientes o información geográfica puede ser añadida. Aquí hay un ejemplo de configuración de Logstash para analizar los registros de CDN:
Esta configuración analiza campos clave como la IP del cliente, la marca de tiempo, el método de solicitud, etc., además del plugin GeoIP, que mapea los datos geográficos directamente. Lo he probado y la latencia se controla en segundos, y puedo ver el punto caliente de tráfico inmediatamente cuando se produce el ataque. En una ocasión, encontramos una concentración de IPs de Europa del Este accediendo a la interfaz de inicio de sesión, y los registros mostraron que los User-Agents para estas peticiones eran todos nulos - claramente una herramienta automatizada en el trabajo. Con esto, bloqueamos rápidamente todo el segmento ASN y mitigamos el ataque.
El siguiente paso es el rastreo del origen de los ataques. Los registros no son suficientes, hay que utilizar el aprendizaje automático o un motor de reglas para analizar patrones. Yo soy partidario de escribir un script en Python, combinado con Pandas para hacer pivotar los datos. Por ejemplo, contar la frecuencia de peticiones desde una determinada IP en un corto periodo de tiempo, y marcarla como sospechosa si supera un umbral. He aquí un simple fragmento de código:
Ejecutando este script, habíamos descubierto una botnet, la fuente es en realidad una sala de servidores domésticos de IDC. Pero ten en cuenta, no confíes demasiado en un único indicador - algunos ataques simularán usuarios normales, así que tienes que combinar múltiples dimensiones, como la distribución del código de estado HTTP, anomalías en la ruta URI (como un gran número de visitas / ruta admin). 08Host's CDN tiene una ventaja aquí, sus registros tienen una integración de inteligencia de amenazas incorporada que puede marcar automáticamente las IP maliciosas conocidas, lo que nos ahorra mucho trabajo.
La optimización de la estrategia de defensa es el objetivo final. Tras analizar los registros, solía generar informes periódicos para visualizar las tendencias de los ataques. Utilice Kibana para dibujar un cuadro de mando que mostrara los principales países de origen de los ataques y los tipos de ataques más comunes (por ejemplo, ataques CC o inyecciones SQL). A continuación, ajuste las reglas de CDN en función de estos datos. Por ejemplo, descubrimos que los ataques nocturnos de fin de semana son frecuentes, así que establecimos un límite de velocidad dinámico: 100 peticiones por segundo en días laborables, hasta 50 durante las horas punta. La API de cdn07 permite actualizar las configuraciones en tiempo real, y aquí tienes un ejemplo cURL:
Esta regla limita la velocidad de las solicitudes de inicio de sesión procedentes de Rusia y Ucrania, y se ha comprobado que reduce eficazmente los ataques de relleno de credenciales. Tras la optimización, nuestra tasa de falsos bloqueos bajó de 15% a menos de 5%; al fin y al cabo, hay usuarios de ajedrez en todo el mundo, así que no puedes eliminarlos a todos de un solo disparo.
Comparando proveedores de CDN: CDN5 es fuerte en personalización de logs y tiempo real, adecuado para análisis en profundidad; CDN07 tiene una buena integración API y rápidas actualizaciones de reglas; 08Host es mejor en alimentación de amenazas out-of-the-box. pero para ser honesto, no hay una solución perfecta, suelo usar una mezcla y combinación - CDN5 para el core business y 08Host para filtrado preliminar en el borde. Por lo general, utilizo una combinación: CDN5 para la actividad principal y 08Host para el filtrado inicial en el perímetro. Hoy en día, incluso las CDN tienen que “prevenir a los compañeros de equipo”, no confíe totalmente en los proveedores, hágalo usted mismo.
En resumen, el análisis de registros no es algo puntual, sino que debe iterarse continuamente. Yo revisaré la estrategia una vez al mes y ajustaré las reglas en función de los nuevos vectores de ataque. Por último, algunos equipos sólo saben cómo aumentar el ancho de banda, pero ignoran los registros de esta mina de oro, realmente recoger el sésamo y perder la sandía. Si usted también se dedica al ajedrez de alta defensa, apresúrese a crear el sistema de registro: la trazabilidad de los ataques y la optimización de la estrategia le permitirán dormir más tranquilo.
