Recientemente, he ayudado a varias plataformas de ajedrez para hacer el refuerzo de la seguridad, y encontr\u00f3 que esta banda de ataques CC son m\u00e1s y m\u00e1s refinado. No golpee su sitio web oficial, no toque la interfaz de pago, centr\u00e1ndose espec\u00edficamente en la sala de juegos y la interfaz de inicio de sesi\u00f3n a la brocha gorda. La semana pasada, un cliente me llam\u00f3 a las tres de la ma\u00f1ana, dijo que al mismo tiempo en l\u00ednea en doscientas personas, la carga del servidor directamente se dispar\u00f3 a 90% - esto es, obviamente, CC montar cara de salida.<\/p>\n
Los ataques CC en la industria del ajedrez hace tiempo que han evolucionado hasta la fase de \"golpe de precisi\u00f3n\". El atacante registrar\u00e1 primero una cuenta para averiguar la l\u00f3gica de negocio, qu\u00e9 interfaz para crear una sala, qu\u00e9 interfaz para verificar el token, e incluso el intervalo de paquetes de latido del coraz\u00f3n para que usted lo calcule con claridad. He capturado algunos paquetes de ataque y he descubierto que incluso simulan el ritmo de funcionamiento de los usuarios reales: primero se registran, solicitan una lista de salas cada 30 segundos y luego entran en la sala a intervalos aleatorios de segundos. Este tipo de tr\u00e1fico no puede ser detenido por los cortafuegos tradicionales, y cada solicitud lleva una cookie leg\u00edtima.<\/p>\n
\u00bfRecuerdas el a\u00f1o pasado cuando una conocida plataforma de ajedrez fue atacada a martillazos? Los atacantes utilizaron dos mil nodos de funciones en la nube para cepillarse por turnos la interfaz de la sala, 3.000 peticiones por segundo para paralizar el servicio de habitaciones. Lo m\u00e1s perjudicial es que eligieron la hora punta de las 10 de la noche para hacerlo, y el rescate exigido un 30% superior al de sus hom\u00f3logos.<\/p>\n
\u00bfPor qu\u00e9 las CDN ordinarias de alta defensa no pueden protegerse contra este tipo de ataques? Porque la estrategia de protecci\u00f3n tradicional depende principalmente de la frecuencia IP. Pero la gente ahora utiliza un gran n\u00famero de IP proxy + solicitudes de baja frecuencia, cada IP solicita m\u00e1s de una docena de veces por minuto, se ve mejor que el usuario real. He probado el modo de \"protecci\u00f3n inteligente\" de un proveedor, la gente roza lentamente la interfaz de la sala durante media hora, CDN en realidad no se detuvo uno, pero en lugar de unos pocos con frecuencia refrescar la lista de usuarios reales para bloquear.<\/p>\n
Una protecci\u00f3n verdaderamente eficaz parte de la dimensi\u00f3n empresarial. Por ejemplo, en la interfaz de salas del juego de mesa, la frecuencia de acceso normal de los usuarios est\u00e1 limitada: \u00bfqui\u00e9n puede cambiar diez salas en un segundo? Pero las reglas por defecto de muchos proveedores de CDN s\u00f3lo limitan mec\u00e1nicamente el n\u00famero de peticiones por segundo. M\u00e1s tarde, cuando cambi\u00e9 el WAF de CDN07 para mi cliente, escrib\u00ed directamente una regla personalizada:<\/p>\n
El significado de este conjunto de combinaciones es: se permiten r\u00e1fagas cortas de 5 solicitudes (para hacer frente a los clics r\u00e1pidos), pero el n\u00famero total de solicitudes por minuto no puede exceder de 10. Al mismo tiempo con \"IP + ID de usuario\" identificaci\u00f3n de dos factores, para evitar que el atacante para cambiar la cuenta de cepillo de la misma IP. prueba real hacia abajo en el d\u00eda del bloqueo de 160.000 solicitudes maliciosas, falsa tasa de bloqueo de s\u00f3lo 0,2%.<\/p>\n
La protecci\u00f3n de la interfaz de inicio de sesi\u00f3n es a\u00fan m\u00e1s mortal. Muchas plataformas piensan que la adici\u00f3n de un c\u00f3digo de verificaci\u00f3n est\u00e1 bien, pero el resultado es que la gente utiliza la plataforma de c\u00f3digo + scripts para cepillar. El a\u00f1o pasado, una plataforma fue golpeado por el ataque, el atacante con un diccionario de contrase\u00f1as millones lento ensayo y error, cada hora para tratar de seis mil veces, espec\u00edficamente recoger tres o cuatro de la operaci\u00f3n de la ma\u00f1ana. Cuando el equipo de seguridad se enter\u00f3, ya hab\u00eda m\u00e1s de trescientas cuentas agrietadas.<\/p>\n
En la actualidad, la pr\u00e1ctica fiable consiste en desplegar mecanismos de desaf\u00edo din\u00e1micos. Por ejemplo, el m\u00f3dulo de verificaci\u00f3n inteligente de CDN5 desencadena una respuesta de tres niveles ante comportamientos de inicio de sesi\u00f3n an\u00f3malos: en primer lugar, hace saltar el control deslizante para verificar, luego pasa a la verificaci\u00f3n por pregunta computacional cuando detecta un ataque continuado y, por \u00faltimo, fuerza la verificaci\u00f3n por SMS. La clave es que este proceso de cambio es completamente din\u00e1mico: el atacante no puede averiguar las reglas de activaci\u00f3n. Dej\u00e9 que el equipo de pruebas simulara el ataque, el registro m\u00e1s alto dur\u00f3 hasta la 173\u00aa solicitud antes de activar el nivel m\u00e1s alto de verificaci\u00f3n, los usuarios normales no tocar\u00e1n la l\u00ednea de fondo.<\/p>\n
Otro gran asesino es el motor de an\u00e1lisis de comportamiento. El sistema de protecci\u00f3n de 08Host es bastante interesante, dar\u00e1 cientos de etiquetas a cada sesi\u00f3n de usuario: desde el rastro del rat\u00f3n hasta el tiempo entre peticiones, pasando incluso por caracter\u00edsticas de la pila TCP. Una vez pill\u00e9 un grupo de ataque, cada petici\u00f3n simulaba perfectamente el navegador Chrome, pero s\u00f3lo porque la configuraci\u00f3n inicial del tama\u00f1o de la ventana TCP y la real de Chrome difer\u00edan en unos pocos bytes, directamente se marcaba como tr\u00e1fico malicioso.<\/p>\n
Lo m\u00e1s da\u00f1ino de los juegos de mesa son los ataques de conexi\u00f3n TCP. Algunos atacantes no env\u00edan peticiones HTTP, simplemente establecen conexiones TCP contigo como locos y luego llenan los puertos. Para este escenario, tienes que hacer un l\u00edmite de conexiones a nivel de CDN. Se recomienda dividir la estrategia por tipo de negocio:<\/p>\n
No olvides la protecci\u00f3n WebSocket. Hoy en d\u00eda, las placas con un poco de escala utilizan conexiones largas para comunicarse, y los atacantes eligen espec\u00edficamente el canal WebSocket para enviar paquetes basura. A un cliente le ha pasado: el atacante env\u00eda cientos de paquetes basura comprimidos por segundo, y la CPU de descompresi\u00f3n del servidor est\u00e1 directamente llena. M\u00e1s tarde, configur\u00e9 reglas espec\u00edficas de WebSocket en CDN07:<\/p>\n
Para ser sincero, ahora no basta con fijarse en el valor del ancho de banda para elegir una CDN de alta defensa. Tenemos que ver si la otra parte tiene experiencia en la protecci\u00f3n de la industria del ajedrez, las reglas WAF se pueden personalizar, no hay API para que usted pueda ajustar din\u00e1micamente la estrategia. Algunos vendedores soplan cientos de ancho de banda de protecci\u00f3n T, el resultado es que la base de reglas no se ha actualizado durante tres a\u00f1os, e incluso Redis ataques de acceso no autorizado no se puede prevenir.<\/p>\n
Recientemente, al ayudar a los clientes a hacer la migraci\u00f3n, compar\u00e9 varios proveedores, la ventaja de CDN5 radica en el algoritmo de programaci\u00f3n inteligente, cuando es atacado, cambia de l\u00ednea en cuesti\u00f3n de segundos; WAF de CDN07 tiene una fuerte capacidad de personalizaci\u00f3n, incluso la profundidad de soporte de detecci\u00f3n de par\u00e1metros JSON; la latencia de red Anycast rentable de 08Host es estable. Al final, el cliente obtuvo una soluci\u00f3n h\u00edbrida: 08Host para llevar el tr\u00e1fico diario, CDN5 para hacer la programaci\u00f3n de copia de seguridad del ataque, la interfaz de negocio clave para colgar CDN07 WAF. este conjunto de combinaciones hacia abajo, el aumento de los costes mensuales de menos de 20%, pero la capacidad de protecci\u00f3n a su vez m\u00e1s de cinco veces.<\/p>\n
Por \u00faltimo, una lecci\u00f3n de l\u00e1grimas: no piense que comprar un CDN de alta defensa va a descansar tranquilo. Compruebe regularmente la declaraci\u00f3n de protecci\u00f3n es la operaci\u00f3n b\u00e1sica, el mejor ataque semanal y ejercicios de defensa. Una vez me encontr\u00e9 con que la antigua interfaz API de un cliente no ten\u00eda acceso a la protecci\u00f3n, el atacante en cuclillas durante tres meses y finalmente encontr\u00f3 esta brecha, una noche para penetrar en el servidor. Ahora pido a los clientes que sigan estrictamente el principio de \"en l\u00ednea debe estar protegido\", y todas las nuevas interfaces deben someterse a pruebas de seguridad antes de su despliegue.<\/p>\n
La ciberseguridad es hoy en d\u00eda el juego del gato y el rat\u00f3n. Las reglas desplegadas la semana pasada pueden saltarse la siguiente, as\u00ed que hay que mantener una mentalidad de \"confrontaci\u00f3n continua\". Un grupo de ataque incluso estudi\u00f3 nuestra estrategia de protecci\u00f3n y utiliz\u00f3 un modo de ataque budista para machacarte poco a poco: joderte durante diez minutos cada hora, eligiendo al personal de seguridad para empezar durante las horas de comida. M\u00e1s tarde, escribimos un script para analizar autom\u00e1ticamente el modo de ataque, y cambi\u00e1bamos directamente el modo de protecci\u00f3n cuando encontr\u00e1bamos una anomal\u00eda, as\u00ed pudimos estabilizar nuestra posici\u00f3n.<\/p>\n
Seamos sinceros, crear seguridad en el sector del ajedrez es un pozo sin fondo. Pero pensar en las p\u00e9rdidas y los pagos causados por los ataques, estas inversiones son realmente nada. El a\u00f1o pasado, hubo una plataforma a causa de tres d\u00edas de inactividad por la demanda colectiva de los jugadores, el dinero de compensaci\u00f3n suficiente para comprar cinco a\u00f1os de servicios de alta defensa. Ahora los clientes han aprendido a ser inteligentes, el presupuesto de seguridad de \"partida de gastos\" a \"partida de seguros\", lo que es un buen fen\u00f3meno del progreso de la industria.<\/p>\n
(A petici\u00f3n del cliente parte de los detalles t\u00e9cnicos han sido borrosos procesamiento, la configuraci\u00f3n espec\u00edfica, por favor, ajuste de acuerdo con el negocio real)<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente, he ayudado a varias plataformas de ajedrez para hacer el refuerzo de la seguridad, y encontr\u00f3 que esta banda de ataques CC son cada vez m\u00e1s refinado. No golpee su sitio web oficial, no toque la interfaz de pago, centr\u00e1ndose espec\u00edficamente en la sala de juegos y la interfaz de inicio de sesi\u00f3n a la brocha gorda. La semana pasada, un cliente me llam\u00f3 a las tres de la ma\u00f1ana, dijo que al mismo tiempo en l\u00ednea en doscientas personas, la carga del servidor directamente se dispar\u00f3 a 90% - esto es, obviamente, CC montar cara de salida. Los ataques CC en la industria del ajedrez han evolucionado desde hace mucho tiempo a la etapa de \"golpe de precisi\u00f3n\". El atacante primero se registrar\u00e1 una cuenta para averiguar la l\u00f3gica de negocio, que la interfaz para crear una habitaci\u00f3n, que la interfaz para verificar el token, incluso el intervalo de paquetes heartbeat se calculan para usted claramente. He capturado algunos paquetes de ataque y he descubierto que incluso simulan el ritmo de las operaciones de los usuarios reales: primero iniciar sesi\u00f3n, solicitar la lista de salas cada 30 segundos, y luego entrar en la sala a intervalos aleatorios de segundos. Este tipo de tr\u00e1fico que utiliza un cortafuegos tradicional<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1028","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1028","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1028"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1028\/revisions"}],"predecessor-version":[{"id":1097,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1028\/revisions\/1097"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1028"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1028"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1028"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1028"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}