Recientemente para ayudar a los amigos comprobar la anomal\u00eda de carga del servidor, un cheque encontr\u00f3 que la IP de origen se perdi\u00f3, el tr\u00e1fico de ataque directamente sin pasar por la CDN de alta defensa golpe\u00f3 a trav\u00e9s del servidor. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d - usted piensa que el conjunto de CDN en todo est\u00e1 bien? La fuga de la IP de origen minutos para ense\u00f1ar a ser una persona.<\/p>\n
He visto demasiados equipos confiando ciegamente en los proveedores de CDN y presionando para la validaci\u00f3n secundaria. La prueba real encontr\u00f3 que m\u00e1s del 60% del evento de exposici\u00f3n de la estaci\u00f3n de origen no es en absoluto el CDN se rompi\u00f3, pero la omisi\u00f3n de configuraci\u00f3n o el borde del caso llev\u00f3 a. No creas en la \u201cseguridad por defecto\u201d sin sentido, la seguridad siempre debe confiar en sus propias capas de cerraduras.<\/p>\n
\u00bfPor qu\u00e9 es tan mortal ocultar la IP de origen?<\/strong> Una vez que los atacantes consiguen la IP real, que alta defensa, que WAF se ha convertido en una pose. Directamente golpe\u00f3 la estaci\u00f3n de origen es como derribar las murallas de la ciudad para luchar, la inundaci\u00f3n de tr\u00e1fico al instante abrumado el servidor. M\u00e1s desagradable es que algunos hackers se dedicar\u00e1 a escanear toda la red de nodos CDN, derivaci\u00f3n inversa de la IP de origen - este conjunto de cadena de la industria incluso ha sido instrumentalizado.<\/p>\n Las trampas comunes de la fuga de IP de origen son m\u00e1s de lo imaginado: los registros DNS hist\u00f3ricos son rastreadores cavando tumbas, servidores de correo que se conectan directamente al sitio de origen, el servicio Websocket no pas\u00f3 el CDN, e incluso la fuga de informaci\u00f3n de certificados SSL ...... audit\u00e9 un proyecto de comercio electr\u00f3nico el a\u00f1o pasado, s\u00f3lo porque el desarrollo del entorno de prueba para llamar a la API de producci\u00f3n, la IP de origen fue herramientas estad\u00edsticas de terceros incluidas.<\/p>\n Paso 1: Aislamiento completo en el nivel DNS<\/strong><\/p>\n Deje de utilizar registros A para resolver directamente al sitio de origen. Todos los dominios p\u00fablicos deben hacer CNAME a un dominio protegido proporcionado por el proveedor de CDN. Pero eso no es suficiente: debe asegurarse de que el dominio de origen est\u00e9 completamente separado del dominio comercial. Yo sol\u00eda registrar el sitio de origen con un nombre de dominio completamente diferente, como internal-domain.com, para eliminar por completo los errores de resoluci\u00f3n.<\/p>\n La prueba real recomienda este conjunto de configuraci\u00f3n: dominio empresarial cdn.example.com CNAME al nodo de protecci\u00f3n de CDN07, el sitio de origen exclusivamente un nombre de dominio fr\u00edo origin-xxx.example.net, y este nombre de dominio nunca aparece en ning\u00fan registro DNS p\u00fablico. Las CDN premium como CDN5 incluso admiten dominios back-to-source dedicados, cifrando autom\u00e1ticamente el proceso de resoluci\u00f3n.<\/p>\n Operaci\u00f3n cr\u00edtica: el cortafuegos del sitio de origen s\u00f3lo libera las IP del nodo CDN<\/strong>. Nunca permita 0.0.0.0\/0. En el caso de Cloudflare, por ejemplo, la lista oficial de nodos se actualiza regularmente y es mejor sincronizarla din\u00e1micamente usando la API:<\/p>\n Los proveedores dom\u00e9sticos como CDN07 tienen un rango mucho mayor de IPs de nodo y se recomienda generar scripts iptables directamente desde su consola.08Host's Enterprise Edition incluso proporciona Agente para mantener autom\u00e1ticamente una lista blanca, lo que es adecuado para escenarios de IP din\u00e1mica.<\/p>\n Paso 2: Funcionamiento del sistema antifugas de la capa de aplicaci\u00f3n<\/strong><\/p>\n Muchas fugas se producen en lugares inesperados: las p\u00e1ginas de error del sitio web vuelven a la IP del servidor, el encabezado de respuesta de la API con X-Backend-Server, o incluso la funci\u00f3n de carga de im\u00e1genes no fue la aceleraci\u00f3n CDN. El a\u00f1o pasado, la vulnerabilidad de una plataforma social se debe a que la aplicaci\u00f3n m\u00f3vil se conecta directamente a la IP de origen para transferir archivos de v\u00eddeo.<\/p>\n Forzar que todo el tr\u00e1fico vaya a CDN: Denegar el tr\u00e1fico no CDN en la configuraci\u00f3n de Nginx de origen, validar las solicitudes en funci\u00f3n del segmento IP de retorno:<\/p>\n Consejo extra: Filtra la informaci\u00f3n del servidor globalmente en tu c\u00f3digo. recuerda desactivar expose_php para proyectos PHP y eliminar la cabecera Server response para proyectos Java. He utilizado las siguientes reglas para tapar vulnerabilidades de Apache:<\/p>\n Paso 3: Estrategias de ocultaci\u00f3n de orden superior<\/strong><\/p>\n Cuando realmente tienes una amenaza persistente de alto nivel, tienes que sacar los movimientos m\u00e1s duros.ofuscaci\u00f3n de puertos<\/strong>: Cambie el puerto HTTP de origen a un puerto no est\u00e1ndar, como 8080 u 8443, y especifique el puerto cuando el CDN vuelva al origen. De esta forma, aunque el atacante consiga la IP, el escaneo por defecto no encontrar\u00e1 el servicio.<\/p>\n tecnolog\u00eda IP din\u00e1mica<\/strong>La soluci\u00f3n empresarial de 08Host permite la rotaci\u00f3n horaria de las IP de origen y la actualizaci\u00f3n din\u00e1mica de la CDN a la direcci\u00f3n de origen a trav\u00e9s de la API. Aunque su coste es elevado, merece la pena invertir en ella para proyectos financieros.<\/p>\n Falsa trampa de estaci\u00f3n de origen<\/strong>El sistema de honeypot que dise\u00f1\u00e9 para una bolsa de valores detect\u00f3 3 ataques dirigidos y retras\u00f3 con \u00e9xito el avance de la infiltraci\u00f3n de los piratas inform\u00e1ticos. El sistema de honeypot que dise\u00f1\u00e9 para una central detect\u00f3 3 ataques selectivos y retras\u00f3 con \u00e9xito el avance de la infiltraci\u00f3n de los hackers.<\/p>\n Por \u00faltimo, debo decir: algunos proveedores utilizan pools de IP compartidas para ahorrar dinero, lo que equivale a compartir una m\u00e1scara con desconocidos. La l\u00ednea de retorno dedicada de CDN5 es cara pero fiable, mientras que la de CDN07 es barata, pero hay que comprobar dos veces que sus segmentos de IP son impecables.<\/p>\n Ocultar la IP de origen no es una acci\u00f3n que se realice una sola vez, sino que debe supervisarse continuamente. Utiliza regularmente herramientas para escanear activos p\u00fablicos en busca de IP comprometidas, como Shodan para buscar dominios y comprobar la informaci\u00f3n de los certificados SSL. El a\u00f1o pasado incluso nos topamos con un ingeniero que envi\u00f3 la IP de un servidor a Google Search Console, lo que supuso una defensa total.<\/p>\n Una arquitectura verdaderamente segura asume por defecto que todos los enlaces fallar\u00e1n. Una CDN de alta defensa es s\u00f3lo una pieza del rompecabezas, combinada con WAF, ocultaci\u00f3n de puertos y ofuscaci\u00f3n de tr\u00e1fico para construir una defensa en profundidad. No lo olvides, los hackers siempre buscan el punto m\u00e1s d\u00e9bil, y el sitio fuente expuesto es el \u00fanico punto de da\u00f1o fatal que rompe todo el cuadro.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente para ayudar a los amigos comprobar la anomal\u00eda de carga del servidor, un cheque encontr\u00f3 que la IP de origen se perdi\u00f3, el tr\u00e1fico de ataque directamente sin pasar por la CDN de alta defensa golpe\u00f3 a trav\u00e9s del servidor. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d - usted piensa que el conjunto de CDN en todo est\u00e1 bien? La fuga de la IP de origen minutos para ense\u00f1ar a ser una persona. He visto demasiados equipos conf\u00edan ciegamente en los proveedores de servicios CDN, no hizo la segunda verificaci\u00f3n. La prueba real encontr\u00f3 que m\u00e1s del 60% de la estaci\u00f3n de origen evento de exposici\u00f3n no es en absoluto la CDN se rompi\u00f3, pero la omisi\u00f3n de configuraci\u00f3n o casos de borde. No creas en las tonter\u00edas de la \u201cseguridad por defecto\u201d, la seguridad siempre debe confiar en sus propias capas de bloqueos. \u00bfPor qu\u00e9 ocultar la IP de origen es tan mortal? Una vez que el atacante obtiene la IP real, lo que la alta seguridad, lo WAF se han convertido en una farsa. Directamente golpe\u00f3 la estaci\u00f3n de origen es como demoler las murallas de la ciudad para luchar, la inundaci\u00f3n de tr\u00e1fico al instante abrumado el servidor. Peor<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1002","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1002","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1002"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1002\/revisions"}],"predecessor-version":[{"id":1123,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1002\/revisions\/1123"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1002"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1002"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1002"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1002"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}