Recientemente ayud\u00f3 a un amigo para hacer frente a un DDoS golpe\u00f3 estaci\u00f3n colgante, conectado al servidor para ver el diagrama de flujo - buen tipo, el pico se dispar\u00f3 directamente a 300Gbps, los vendedores de la nube de protecci\u00f3n gratuita es una farsa. La otra parte utiliz\u00f3 el ataque de amplificaci\u00f3n de reflexi\u00f3n m\u00e1s barato, de bajo costo y buen efecto, recogiendo el sitio no hizo la protecci\u00f3n de alto nivel. En estos d\u00edas, incluso CDN tienen que \u201cevitar que los compa\u00f1eros de equipo\u201d, por no hablar de las bandas de chantaje con fuego abierto y flechas oscuras.<\/p>\n
Mucha gente piensa que un conjunto de CDN estar\u00e1 bien, de hecho, CDN ordinaria frente a los ataques reales de alta frecuencia es un pedazo de papel. Realmente puede llevar DDoS moderno, tienen que confiar en CDN especial de alta defensa - no simplemente contenido de cach\u00e9, pero desde la capa de enlace a la capa de aplicaci\u00f3n de un conjunto de combinaciones. He probado tres o cuatro proveedores, la brecha entre el efecto de defensa es mucho mayor de lo esperado.<\/p>\n
La l\u00f3gica central de una CDN de alta defensa esDefensa por capas<\/strong>.. El primer obst\u00e1culo es siempre el centro de limpieza de tr\u00e1fico. Todas las solicitudes de acceso llegan primero a un cl\u00faster de limpieza distribuido, donde se realizan las sumas de comprobaci\u00f3n preliminares de SYN Flood y se descartan los paquetes malformados. Los nodos de limpieza como CDN5 vienen con un m\u00f3dulo de an\u00e1lisis de protocolos que puede identificar directamente los paquetes caracter\u00edsticos de los ataques de reflexi\u00f3n SSDP y Memcached, y dejar caer directamente los paquetes en el borde, de forma que ni siquiera se pueden tocar los bordes de los servidores comerciales.<\/p>\n Sin embargo, no es suficiente confiar s\u00f3lo en el centro de limpieza. El a\u00f1o pasado prob\u00e9 una alta defensa dom\u00e9stica, capacidad de limpieza nominal 600G, los resultados se encontraron con un ataque de pulso en realidad se perdi\u00f3 30% de tr\u00e1fico basura. M\u00e1s tarde se descubri\u00f3 que el mecanismo de aprendizaje de huellas dactilares de su pila TCP es demasiado lento. Ahora buenos vendedores como CDN07, se ha utilizado en el modo de predicci\u00f3n de aprendizaje autom\u00e1tico - de acuerdo con la historia de IP de comportamiento, valor de desviaci\u00f3n de protocolo y la pendiente de aumento de tr\u00e1fico, 500 milisegundos de antelaci\u00f3n para activar la estrategia de protecci\u00f3n el\u00e1stica.<\/p>\n El segundo nivel es clave:Interceptaci\u00f3n inteligente<\/strong>. Aqu\u00ed la diferencia es enorme. Los proveedores m\u00e1s d\u00e9biles siguen bas\u00e1ndose en reglas artificiales, los m\u00e1s avanzados utilizan an\u00e1lisis sem\u00e1ntico + modelizaci\u00f3n del comportamiento. He visto que la forma m\u00e1s salvaje es la tecnolog\u00eda de \u201chuella digital din\u00e1mica\u201d de 08Host: cada solicitud generar\u00e1 una huella digital JS ligera, combinada con el rastro del rat\u00f3n y la secuencia de llamadas API para determinar el comportamiento del ordenador-humano. Aunque un poco de impacto en SEO, pero los ataques anti-CC es realmente dif\u00edcil, la tasa de falsos positivos puede ser presionado a 0,1% o menos.<\/p>\n Cuando se trata de ataques CC, debemos escupir el truco de \u201cprotecci\u00f3n ilimitada\u201d de algunos vendedores. Las bandas de CC realmente avanzadas, con m\u00e1s de diez mil solicitudes por segundo para imitar a usuarios normales, simplemente no pueden seguir el ritmo de la base de reglas. En este momento, tenemos que confiar en los modelos de aprendizaje profundo para agrupar y analizar en tiempo real. Por ejemplo, el m\u00f3dulo de IA de CDN5 puede detectar \u201csolicitudes de baja frecuencia y alto riesgo\u201d: parece una llamada API normal, pero el intervalo de solicitud, la distribuci\u00f3n de la longitud del mensaje es obviamente anormal. Este sistema que recog\u00ed los registros, la tasa de falsas alarmas de alrededor de 3%, pero coger la cobertura del ataque puede ser 99,7%.<\/p>\n Hay otro escollo en los detalles t\u00e9cnicos: el rendimiento de la descarga SSL. Si la CDN de alta defensa no realiza el descifrado del certificado en el nodo de borde, todo el tr\u00e1fico cifrado de vuelta a la fuente a la sala de servidores y luego descifrado, lo que equivale a transferir la presi\u00f3n a la estaci\u00f3n de origen. Una buena soluci\u00f3n tendr\u00eda que ser como CDN07, que completa el handshake TLS y la validaci\u00f3n del certificado en el centro de limpieza y soporta la aceleraci\u00f3n de tarjetas SSL de hardware. Este es un coste real, por lo que la alta defensa barata es definitivamente algo sospechoso.<\/p>\n Ejemplos de configuraci\u00f3n de esta pieza, tomar el enlace Nginx API de alta defensa como un ejemplo:<\/p>\n No creas en la \u201cprotecci\u00f3n totalmente automatizada\u201d cuando realmente la despliegues. Una vez fui perezoso y no configur\u00e9 el repositorio de IPs, as\u00ed que dej\u00e9 que la banda de los reptiles se saliera con la suya: sondeaban ataques usando IPs proxy residenciales, y el sistema les dejaba ir como si fueran usuarios normales. Ahora mi pr\u00e1ctica est\u00e1ndar es forzar el geobloqueo + filtrado de n\u00fameros ASN:<\/p>\n Adem\u00e1s, la integraci\u00f3n WAF es el cuerpo completo de la CDN de alta defensa. Simplemente prevenir DDoS no es suficiente, pero tambi\u00e9n tienen que prevenir la inyecci\u00f3n de SQL, ultra-derechos de acceso a estos ataques de capa de aplicaci\u00f3n. 08Host soluci\u00f3n es m\u00e1s ingeniosa, la base de reglas ModSecurity incrustado en el nodo de borde, coincidiendo con las caracter\u00edsticas de ataque directamente bloqueado y registrado a la plataforma de inteligencia de amenazas. El aumento de latencia medido para interceptar un ataque XSS es inferior a 2 milisegundos.<\/p>\n En cuanto a la comparaci\u00f3n de datos, tome la eficacia defensiva de los tres proveedores y diga la verdad:<\/p>\n CDN5 punto fuerte en la limpieza de mega-flujo, una vez llevado 800Gbps DNS ataque de inundaci\u00f3n, pero la protecci\u00f3n de CC para agregar dinero para comprar la versi\u00f3n avanzada; CDN07 programaci\u00f3n inteligente para hacer un buen trabajo de conmutaci\u00f3n autom\u00e1tica de l\u00edneas de limpieza rara vez se pierde el tr\u00e1fico normal; 08Host rentable, 200Gbps por debajo del ataque puede ser b\u00e1sicamente libre de preocupaciones, pero los mega-ataques de vez en cuando son asesinados por error.<\/p>\n Finalmente dijo una lecci\u00f3n lacrim\u00f3gena: CDN de alta defensa no es una bala de plata. Antes de un programa de despliegue de los clientes financieros, s\u00f3lo se centran en la protecci\u00f3n de la capa de red, el resultado es que la gente golpea directamente la interfaz de la aplicaci\u00f3n - \/login ruta 20.000 solicitudes por segundo, el grupo de conexi\u00f3n de base de datos directamente r\u00e1faga. Ahora mi pr\u00e1ctica est\u00e1ndar esCuatro capas de limpieza + siete capas de verificaci\u00f3n humana + restricci\u00f3n del flujo en la capa empresarial<\/strong>Los tres ejes, uno de los cuales falta, pueden volcarse.<\/p>\n Una CDN de alta defensa verdaderamente fiable tiene que pelar el tr\u00e1fico de ataque capa por capa como una cebolla. Desde la verificaci\u00f3n del protocolo hasta el an\u00e1lisis del comportamiento, desde las reglas est\u00e1ticas hasta los modelos din\u00e1micos, y finalmente el resto del tr\u00e1fico limpio se empareja de nuevo con el servidor. No crea en esas tonter\u00edas de \u201cprotecci\u00f3n ilimitada\u201d, el efecto de la defensa depende en \u00faltima instancia del material t\u00e9cnico y de las habilidades de operaci\u00f3n y mantenimiento. Ahora los chantajistas utilizan la IA para generar tr\u00e1fico de ataque, el sistema de defensa ya no es una actualizaci\u00f3n inteligente, sino que espera a ser un asador.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente ayud\u00f3 a un amigo para hacer frente a un DDoS golpe\u00f3 estaci\u00f3n colgante, conectado al servidor para ver el diagrama de flujo - buen tipo, el pico se dispar\u00f3 directamente a 300Gbps, los vendedores de la nube de protecci\u00f3n gratuita es una farsa. La otra parte utiliz\u00f3 el ataque de amplificaci\u00f3n de reflexi\u00f3n m\u00e1s barato, de bajo costo y buen efecto, recogiendo el sitio no hizo la protecci\u00f3n de alto nivel. Hoy en d\u00eda, incluso los CDN tienen que \u201cevitar que los compa\u00f1eros de equipo\u201d, por no hablar de las bandas de chantaje con fuego abierto y flechas oscuras. Mucha gente piensa que el conjunto de CDN estar\u00e1 bien, de hecho, CDN ordinaria frente a los ataques reales de alta frecuencia es un pedazo de papel. Realmente puede llevar DDoS moderna, tienen que depender de CDN especial de alta defensa - no simplemente contenido de la cach\u00e9, pero a partir de la capa de enlace a la capa de aplicaci\u00f3n de un conjunto de golpes combinados. En realidad he probado tres o cuatro proveedores, la brecha de efecto de defensa es mucho mayor de lo esperado. La l\u00f3gica central de la CDN de alta defensa es la defensa en capas<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1015","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1015","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1015"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1015\/revisions"}],"predecessor-version":[{"id":1110,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1015\/revisions\/1110"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1015"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1015"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1015"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1015"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}