A las tres de la madrugada, recib\u00ed un mensaje de texto de alerta y me levant\u00e9 para echar un vistazo: el n\u00famero de conexiones WebSocket se dispar\u00f3 hasta el pico, y la CPU del servidor directamente se arrodill\u00f3. Los atacantes se basan en el protocolo WS caracter\u00edsticas de conexi\u00f3n de largo, dif\u00edcil de arrastrar el negocio - en estos d\u00edas, incluso la comunicaci\u00f3n en tiempo real tienen que llevar chalecos antibalas.<\/p>\n
Mucha gente piensa que un conjunto de CDN en todo est\u00e1 bien, hasta que el ataque de inundaci\u00f3n WebSocket a trav\u00e9s de los ojos. CDN de alta defensa en el final no puede prevenir WebSocket... He demolido la arquitectura de siete proveedores, directamente a la conclusi\u00f3n: los principales proveedores son compatibles, pero la configuraci\u00f3n de la fosa m\u00e1s que suficiente para ser capaz de caer muerto.<\/p>\n
El propio protocolo WebSocket es un \u201cfantasma\u201d. Abandona el modo solicitud-respuesta de HTTP y lo sustituye por una conexi\u00f3n larga full-duplex, lo que significa que la estrategia tradicional de almacenamiento en cach\u00e9 CDN y la limitaci\u00f3n de velocidad son casi inv\u00e1lidas. Los atacantes s\u00f3lo necesitan establecer una conexi\u00f3n para seguir consumiendo recursos del servidor, el coste del DDoS es diez veces inferior al del HTTP.<\/p>\n
He probado la configuraci\u00f3n por defecto de un proveedor: tras activar la compatibilidad con WebSocket, no se ajusta el tiempo de espera de la conexi\u00f3n. El atacante establece 100.000 conexiones largas y mantiene cada conexi\u00f3n durante 15 minutos, agotando directamente los recursos del back-end. Si una CDN de alta defensa s\u00f3lo protege contra HTTP, equivale a instalar una cerradura acorazada en la puerta pero dejar un agujero para el perro.<\/p>\n
Una protecci\u00f3n verdaderamente fiable debe cumplir tres puntos: capacidad de reconocimiento de protocolos, control del comportamiento de las conexiones y filtrado de la l\u00f3gica empresarial. cdn5 ha hecho un gran trabajo en este \u00e1mbito: no s\u00f3lo reconoce los protocolos WS\/WSS, sino que tambi\u00e9n detecta anomal\u00edas en los paquetes de latido de conexi\u00f3n. El a\u00f1o pasado fuimos atacados por un pool de miner\u00eda de criptomonedas, y nos basamos en su biblioteca de huellas de tr\u00e1fico para cortar las conexiones maliciosas.<\/p>\n
La clave de la configuraci\u00f3n no es tan sencilla como marcar la casilla \u201cActivar WebSocket\u201d en la interfaz. En el caso de CDN07, por ejemplo, hay que ajustar simult\u00e1neamente las cuatro capas de protecci\u00f3n:<\/p>\n
No te creas los \u201cvalores por defecto inteligentes\u201d de los que hablan los vendedores. Una vez fui perezoso y utilic\u00e9 directamente la configuraci\u00f3n por defecto, el resultado fueron 3000 nuevas peticiones de conexi\u00f3n por segundo directamente al umbral. M\u00e1s tarde, configur\u00e9 manualmente el n\u00famero m\u00e1ximo de conexiones por IP a 20, y el n\u00famero de conexiones anormales cay\u00f3 en picado a 90%.<\/p>\n
La estrategia de 08Host es a\u00fan m\u00e1s radical: soporta el an\u00e1lisis profundo del protocolo WebSocket. No s\u00f3lo puede detectar anomal\u00edas en el protocolo SSL, sino tambi\u00e9n verificar el contenido de las tramas de datos WebSocket. Tras haber encontrado ataques CC con cifrado de la capa de transporte, su motor de reglas descarta con precisi\u00f3n los paquetes maliciosos mediante la coincidencia de c\u00f3digos de caracter\u00edsticas de carga.<\/p>\n
Detr\u00e1s de la guerra de precios se esconde una trampa de rendimiento. Un vendedor barato afirm\u00f3 \u201csoporte con todas las funciones\u201d, el uso real de la latencia WebSocket encontrado hasta 200ms. desempaquetar s\u00f3lo para encontrar que sus nodos hacen la conversi\u00f3n de protocolo: el tr\u00e1fico WS en HTTP respuesta en trozos, el nombre de la optimizaci\u00f3n de la compatibilidad.<\/p>\n
La comparaci\u00f3n del rendimiento real depende de tres conjuntos de datos: retardo en el establecimiento de la conexi\u00f3n, estabilidad de la conexi\u00f3n a largo plazo y eficacia en la interceptaci\u00f3n de ataques. Hemos probado a presi\u00f3n los nodos de Hong Kong de los tres:<\/p>\n
CDN5 primer apret\u00f3n de manos promedio 87ms, 10.000 conexiones para mantener las fluctuaciones de latencia \u2264 15ms; CDN07 conexi\u00f3n m\u00e1s r\u00e1pida (62ms), pero anti-ataque cuando la CPU picos significativos; 08Host equilibrada \u00f3ptima, especialmente en el rendimiento de descarga SSL por delante de 40%.<\/p>\n
El efecto de protecci\u00f3n tambi\u00e9n depende de la batalla real. Una plataforma de juegos sufri\u00f3 un ataque de reflexi\u00f3n WS, el atacante falsific\u00f3 la IP de origen para enviar un gran n\u00famero de paquetes peque\u00f1os, la estrategia de protecci\u00f3n de CDN5 habilit\u00f3 directamente la limitaci\u00f3n de velocidad + detecci\u00f3n de longitud de paquetes, una sola IP m\u00e1s de 50 paquetes por segundo activ\u00f3 inmediatamente la verificaci\u00f3n hombre-m\u00e1quina.<\/p>\n
Lo m\u00e1s lamentable es la \u201cfalsa protecci\u00f3n\u201d de algunos vendedores: s\u00f3lo en la capa TCP para hacer la limpieza de tr\u00e1fico, completamente al margen de los protocolos de la capa de aplicaci\u00f3n, los ataques WebSocket penetran como de costumbre, post-venta tambi\u00e9n tir\u00f3 la olla, dijo que \u201cel c\u00f3digo de negocio tiene problemas\u201d. M\u00e1s tarde, cambi\u00e9 a usar la protecci\u00f3n de siete capas de CDN07, y a\u00f1ad\u00ed esta regla para curarlo:<\/p>\n
La protecci\u00f3n de la capa de negocio es el arma definitiva. El a\u00f1o pasado, un proyecto financiero fue atacado por el abuso de la API WS, y el atacante simul\u00f3 clientes normales para enviar solicitudes de transacciones de alta frecuencia. Al final, las reglas personalizadas de CDN5 rompieron el juego: detectando el n\u00famero de peticiones por minuto de una sola conexi\u00f3n, y obligando a la conexi\u00f3n que supera el umbral a desconectarse y piratear la IP.<\/p>\n
Ahora elija una CDN de alta defensa debe ver los detalles de protecci\u00f3n WebSocket: \u00bfsi soporta el l\u00edmite de longitud de conexi\u00f3n? \u00bfPuede identificar la suplantaci\u00f3n de protocolo? \u00bfExiste alg\u00fan v\u00ednculo de control de riesgos empresariales? Un proveedor puede incluso acoplar el sistema de control de viento auto-construido, la emisi\u00f3n en tiempo real de las instrucciones de interceptaci\u00f3n - esta ha sido la capacidad del nivel WAF.<\/p>\n
En una nota ofensiva: los problemas de protecci\u00f3n WebSocket de 90% provienen de una mala configuraci\u00f3n. El incidente m\u00e1s escandaloso que he visto fue el de un ingeniero que olvid\u00f3 desactivar una regla de prueba y bloque\u00f3 todas las conexiones leg\u00edtimas al entorno de producci\u00f3n. Realmente no es que el proveedor no pueda hacerlo, es que mucha gente ni siquiera entiende la consola.<\/p>\n
En el futuro, los ataques evolucionar\u00e1n definitivamente hacia protocolos h\u00edbridos, con WebSocket sobre HTTP\/2 y abusos del protocolo QUIC que ya circulan en el mercado negro. Lo menos que puedes hacer es asegurarte de que el proveedor actualiza las reglas de protecci\u00f3n mensualmente. La base de datos de inteligencia de amenazas de 08Host se actualiza tres veces por semana, lo que supone un verdadero alivio.<\/p>\n
Si est\u00e1 seleccionando un modelo, recuerde estas tres reglas de hierro: la prueba debe ser presionado WS rendimiento, el contrato especifica el \u00edndice de protecci\u00f3n, y regularmente hacer ejercicios de ataque y defensa. No espere a que la empresa se derrumbe para comprobar los documentos, la protecci\u00f3n de la comunicaci\u00f3n en tiempo real nunca es un proyecto de conmutaci\u00f3n, sino una confrontaci\u00f3n continua.<\/p>\n
La protecci\u00f3n de WebSocket ya no es una cuesti\u00f3n de \u201chacer o no hacer\u201d, sino una carrera de \u201cqu\u00e9 tan detallado hacer\u201d. Las principales CDN est\u00e1n acumulando modelos de aprendizaje autom\u00e1tico para desenterrar patrones de ataque a partir del comportamiento de las conexiones. La pr\u00f3xima vez que se encuentre con ventas que alardeen de una protecci\u00f3n QPS de un mill\u00f3n de niveles, preg\u00fantese directamente: \u00bfcon qu\u00e9 granularidad se pueden prevenir los ataques WS long connection CC?<\/p>\n
La tecnolog\u00eda es en \u00faltima instancia una herramienta, la verdadera protecci\u00f3n radica en la comprensi\u00f3n profunda de la l\u00f3gica de negocio. Todav\u00eda mantengo el h\u00e1bito: cada servicio WS en l\u00ednea, debe utilizar Slowloris, WS-Attacker herramienta de auto-prueba. No hay una bala de plata para la seguridad, pero una CDN de alta seguridad al menos nos da derecho a llevar una armadura.<\/p>","protected":false},"excerpt":{"rendered":"
A las tres de la madrugada, recib\u00ed un mensaje de texto de alerta y me levant\u00e9 para echar un vistazo: el n\u00famero de conexiones WebSocket se dispar\u00f3 hasta el pico, y la CPU del servidor directamente se arrodill\u00f3. Los atacantes se basan en el protocolo WS caracter\u00edsticas de conexi\u00f3n de largo, dif\u00edcil de arrastrar el negocio - en estos d\u00edas, incluso la comunicaci\u00f3n en tiempo real tienen que llevar chalecos antibalas. Mucha gente piensa que un conjunto de CDN estar\u00e1 bien, hasta que el ataque de inundaci\u00f3n WebSocket a trav\u00e9s de los ojos del tonto. CDN de alta defensa al final no puede evitar WebSocket, desmantel\u00e9 la arquitectura de siete proveedores, directamente a la conclusi\u00f3n: los principales proveedores son compatibles, pero la configuraci\u00f3n de la fosa m\u00e1s que puede caer muerto. WebSocket protocolo en s\u00ed es un \u201cfantasma\u201d. Abandona el modelo petici\u00f3n-respuesta de HTTP y lo sustituye por una conexi\u00f3n larga full-duplex, lo que significa que las estrategias tradicionales de cach\u00e9 CDN y los l\u00edmites de velocidad son casi inv\u00e1lidos. El atacante s\u00f3lo necesita establecer<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1010","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1010","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1010"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1010\/revisions"}],"predecessor-version":[{"id":1115,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1010\/revisions\/1115"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1010"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1010"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1010"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1010"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}