Recientemente ayudó a algunos clientes para hacer pruebas de penetración, una vuelta sobre los registros de CDN estoy feliz - buen tipo, el tráfico de ataque es casi desbordante, la estrategia de protección está todavía atrapado en el “bloqueo de IP” esta etapa primitiva. En estos días, incluso el CDN tiene que “evitar que los compañeros de equipo”, que gastar un montón de dinero para comprar servicios de alta defensa, si no va a mirar los registros, básicamente igual a los hackers para difundir dinero.
He visto demasiados equipos tomar la CDN de alta defensa como una “caja negra”, pensando que si se activa la protección, se puede estar tranquilo. De hecho, los registros de la CDN son más ricos en pistas de ataque que las alarmas de los cortafuegos. Pero surge la pregunta: cientos de gigabytes de archivos de registro, al final, ¿de qué campos hay que preocuparse? ¿Qué datos son señales realmente peligrosas? No se preocupe, hoy voy a utilizar la experiencia del mundo real para ayudarle a desmontar.
En primer lugar, un malentendido clásico: un montón de gente viene a mirar el pico de ancho de banda. Picos de ancho de banda, por supuesto, para estar alerta, pero ahora el ataque CC ha aprendido mucho - la gente con baja velocidad de golpe lento, cada solicitud de IP sólo unas pocas veces por segundo, recogiendo su interfaz dinámica para empezar. He probado el sistema de registro CDN5, sus gráficos de distribución QPS son mucho más sensibles que los gráficos de ancho de banda, a menudo 20 minutos de antelación para capturar la subida anómala.
Las métricas realmente condenatorias se ocultan en el código de estado HTTP. No se fije sólo en el error 404/500, que puede ser un error del programa. centrarse en 499 (desconexión iniciada por el cliente) y 429 (límite de frecuencia). La última vez que hubo una estación de comercio electrónico fue woolgathering, el atacante específicamente con un gran número de IP para lanzar la solicitud de interfaz de pago y luego inmediatamente cancelado, el registro está lleno de 499. más tarde configuramos en CDN07:
Deje caer directamente la solicitud de excepción 90%.
El análisis de agregación de URL es el as de la minería de registros. Incluso los hackers más astutos dejarán patrones - como un gran número de peticiones de rutas sensibles como `/wp-admin.php` y `/api/v1/user/login` al mismo tiempo. El panel de logs de 08Host tiene una gran característica: marca automáticamente la frecuencia con la que se accede a URLs similares, y puede agrupar y mostrar las peticiones que han sido codificadas de forma que sean evitadas. Incluso las solicitudes de variantes de codificación omitidas pueden agruparse y mostrarse. A menudo recomiendo a los clientes que configuren umbrales de alerta para que se les notifique por SMS cuando una URL supere las 2.000 solicitudes por minuto.
Cuando se trata de analizar el comportamiento de las IP, no crea que “bloquear una sola IP” resolverá el problema. Los ataques avanzados se basan en el sondeo de grupos de IP, donde cada IP se utiliza sólo unas pocas veces. Pero una máquina sigue siendo una máquina, y siempre hay fisuras. Mira este caso real: en un DDoS, aunque todas las IPs eran nuevas, encontré que los User-Agents eran todos `Go-http-client/2.0`, que obviamente era un script Go. Añade una regla directamente al backend CDN5:
Corta al instante 70% de tráfico basura.
Los mapas de distribución geográfica son también un tesoro de herramientas. El acceso normal de los usuarios tiene la concentración geográfica (por ejemplo, las empresas nacionales 90% tráfico del territorio), pero el tráfico de ataque a menudo salto global. La semana pasada, una estación de negocios de repente apareció un gran número de visitas de Sudáfrica, un cheque es realmente una explosión de inicio de sesión. Más tarde, abrieron un control de acceso geográfico en CDN07, y el tráfico de la zona no empresarial fue rechazada directamente, y la presión sobre el servidor se desplomó.
Por último, hablemos de una técnica avanzada: la correlación temporal de registros. Fijarse simplemente en los picos instantáneos puede pasar por alto los ataques lentos, por lo que hay que estirar la línea temporal para ver la tendencia. Por ejemplo, si normalmente se accede a la interfaz API 100 veces por minuto, y de repente se hace 500 veces y dura 10 minutos, esto es más peligroso que una ráfaga instantánea de 5.000 veces, porque se parece más a una penetración de baja frecuencia controlada artificialmente. Un buen CDN (como 08Host) debería admitir alertas de ventana de tiempo personalizadas, no sólo las estadísticas predeterminadas de 5 minutos.
De hecho, la optimización de la estrategia de defensa en tres puntos básicos: antes de los puntos enterrados (campos de registro para jugar todos), en materia de correlación (multi-dimensional de análisis cruzado), y después de la automatización (bloqueo de la vinculación de alarma). Muchas empresas están atascadas en el primer paso: incluso Referrer, X-Forwarded-For estos campos básicos no se registran, y no hay manera de iniciar el análisis posterior.
Para darle un ejemplo de configuración, este es el formato de los registros que deben registrarse adicionalmente en el lado de Nginx:
Recuerde, los registros de CDN no son bases de datos para archivar, sino mapas de batalla en tiempo real. No mires a algunos vendedores explotando, realmente buen sistema de registro debe apoyar: descargas de registro original, consulta en tiempo real de la API, cuadros de mando personalizados. CDN5 en este sentido para hacer bastante duro, incluso el tiempo de apretón de manos TCP se puede sacar para hacer análisis de latencia, para ayudar a los clientes descubrieron un montón de ataques lentos.
Al final, el mayor valor de una CDN de alta defensa no es transportar tráfico con fuerza, sino darte la munición para analizarlo. La próxima vez que mire los registros, pruebe mi conjunto de combinaciones: primero saque el TOP100 de frecuencia de URL, y luego el análisis cruzado del código de estado y la distribución geográfica, y finalmente utilice las características de User-Agent para hacer el segundo filtro - para asegurarse de que puede desenterrar esas peticiones “pseudonormales” ocultas en profundidad. "Solicitudes.
El ataque y la defensa de la seguridad es esencialmente una confrontación de costes. Si eliminas los costes laborales de un atacante con análisis automatizados, no puede ganar. Ve a comprobar la configuración de registro de tu CDN ahora, y no digas que no te lo advertí: hay algunos baches que tienes que esperar a que se caigan a pedazos antes de pensar en rellenarlos.
