A las tres de la madrugada, mi tel\u00e9fono m\u00f3vil vibraba como loco. Aturdido, lo cog\u00ed y le ech\u00e9 un vistazo, y el grupo de alerta de monitorizaci\u00f3n se cepill\u00f3 tres pantallas de \"anomal\u00eda HTTP 500 de origen\" y \"ancho de banda funcionando al m\u00e1ximo 95%\". Coraz\u00f3n golpe\u00f3, agarr\u00f3 el ordenador port\u00e1til conectado a la VPN - el fondo de negocio se ha quedado atascado para abrir, la carga del servidor de origen se dispar\u00f3 a tres d\u00edgitos, gr\u00e1ficos de tr\u00e1fico en tiempo real muestran que la parrilla en alta mar es de miles de solicitudes por segundo la escala del impacto loco de nuestros servicios. \u00bfCu\u00e1l es la parte m\u00e1s ir\u00f3nica? Obviamente, hemos destrozado el dinero en un CDN de alta defensa conocida, y ahora la consola de protecci\u00f3n es tan tranquilo como si nada hubiera sucedido.<\/p>\n
Esta es una escena t\u00edpica de \"CDN de alta defensa es penetrado\". Los atacantes se saltaron las reglas de protecci\u00f3n de la CDN, tocaron directamente su IP de origen, esta vez la llamada limpieza trill\u00f3n, WAF inteligente todo se convierte en una pose. He visto demasiados equipos que la primera reacci\u00f3n es ponerse en contacto con el servicio de atenci\u00f3n al cliente de la CDN, reiniciar el servidor, o incluso cerrar temporalmente el negocio - estas operaciones son demasiado lentas, o igual a un suicidio.<\/p>\n
La charla de hoy no trata de ninguna soluci\u00f3n te\u00f3rica, sino de un manual pr\u00e1ctico de emergencia resumido despu\u00e9s de que yo personalmente pisara el pozo. La pr\u00f3xima vez que descubras que una CDN es una farsa, sigue estos pasos y podr\u00e1s volver a poner tu negocio en la zona segura en media hora.<\/p>\n
Paso 1: Bloquear inmediatamente el tr\u00e1fico de las estaciones de origen conectadas directamente.<\/strong><\/p>\n La primera vez que descubras que te han penetrado, no compruebes los registros ni busques la causa, salva primero tu vida. La forma m\u00e1s r\u00e1pida es bloquear el acceso a todas las IPs de retorno que no sean CDN en el firewall o grupo de seguridad del servidor. Tome Cloudflare como ejemplo, el segmento oficial de IP de retorno es p\u00fablico, y otros proveedores como CDN5 y CDN07 tambi\u00e9n proporcionan listas exclusivas de IP de retorno en segundo plano. Bloqueo temporal con iptables:<\/p>\n Si utiliza un grupo de seguridad de plataforma en nube (como AliCloud\/AWS), es m\u00e1s r\u00e1pido modificar las reglas directamente. Nota: Aseg\u00farese de confirmar de antemano el intervalo de IP de origen de retorno del proveedor de CDN, ya que, de lo contrario, podr\u00eda eliminar por error el tr\u00e1fico normal.<\/p>\n Paso 2: Cambiar r\u00e1pidamente los nodos de alta defensa + actualizar la resoluci\u00f3n<\/strong><\/p>\n Las CDN de alta defensa de muchos proveedores ofrecen nodos de reserva multil\u00ednea. Por ejemplo, el \"Emergency Protection Mode\" de CDN07 o el \"Resilient Shield Node\" de 08Host, estos nodos suelen tener pol\u00edticas de control de frecuencia y autenticaci\u00f3n m\u00e1s estrictas. Inmediatamente despu\u00e9s de que la consola cambie de nodo, el TTL de DNS se ajusta a la baja a 60 segundos (si previamente se hab\u00eda fijado alto) y se obliga a refrescar la resoluci\u00f3n. No esperes que la cach\u00e9 expire - los atacantes no pueden esperar a que esperes media hora.<\/p>\n Aqu\u00ed es cuando se ve la importancia de la selecci\u00f3n. Lo he probado, y la red Anycast como CDN5 soporta el cambio de nodo en segundos, mientras que algunas de las soluciones m\u00e1s baratas requieren el levantamiento manual de la orden de trabajo - \u00bfesperar una orden de trabajo en mitad de la noche? Espere a que la sala de servidores eche humo.<\/p>\n Paso 3: Rastrear qui\u00e9n ha perdido exactamente la IP de la estaci\u00f3n de origen<\/strong><\/p>\n Despu\u00e9s de tapar la laguna, es hora de ajustar cuentas. El ochenta por ciento de la exposici\u00f3n de la IP de origen se debe a descuidos en la configuraci\u00f3n. Las fugas m\u00e1s comunes son:<\/p>\n Recomiendo un truco: utilizar diferentes nombres de dominio para hacer m\u00faltiples resoluciones DNS para el mismo servicio, y observar qu\u00e9 dominios resuelven a la IP de origen. por ejemplo:<\/p>\n Si un nombre de dominio resuelve directamente a la IP de origen, significa que la configuraci\u00f3n de resoluci\u00f3n no va CDN en absoluto.He visto un equipo en DNSPOD con un CNAME, pero se olvid\u00f3 de eliminar el registro A anterior, lo que equivale a una puerta trasera para el atacante.<\/p>\n Paso 4: Endurecimiento de la estrategia de ocultaci\u00f3n del sitio de origen<\/strong><\/p>\n La CDN de alta defensa no es un amuleto universal, la propia estaci\u00f3n de origen debe ser \"sigilosa\". Recomendamos algunos trucos solapados:<\/p>\n Compartiendo una configuraci\u00f3n de Nginx que uso yo mismo para interceptar autom\u00e1ticamente peticiones de backhaul no CDN:<\/p>\n Paso 5: Verificar la eficacia de la protecci\u00f3n y vigilarla continuamente<\/strong><\/p>\n Una vez finalizada la operaci\u00f3n de emergencia, utilice la herramienta para simular el ataque y verificar que la protecci\u00f3n es eficaz. Recomendamos dos widgets de desarrollo propio:<\/p>\n Supervise tambi\u00e9n el retraso y la tasa de errores de su negocio. Los CDNs de alta defensa pueden matar a los usuarios normales (por ejemplo, CAPTCHA apareciendo con demasiada frecuencia) despu\u00e9s de activar la protecci\u00f3n estricta, por lo que necesita ajustar la sensibilidad de acuerdo a su negocio. No crea en la \"protecci\u00f3n inteligente totalmente autom\u00e1tica\" - lo he probado, y al menos tres de los modos inteligentes del mercado ni siquiera pueden prevenir ataques CC simples.<\/p>\n Sharp tuitea sobre la selecci\u00f3n de proveedores<\/strong><\/p>\n Hoy en d\u00eda, el agua en el mercado de CDN de alta defensa es demasiado profunda. Algunos vendedores se jactan de \"protecci\u00f3n 2Tbps\", el real tomar los nodos de pila de hardware antiguo; tambi\u00e9n hay \"piscina de limpieza compartida\", un gran ataque implica a todos los clientes. Med\u00ed un peque\u00f1o proveedor, el tr\u00e1fico de ataque s\u00f3lo a 200Gbps toda la regi\u00f3n se derrumb\u00f3, el servicio al cliente en realidad dijo \"recomienda actualizar a la versi\u00f3n empresarial\".<\/p>\n Compare varios proveedores de servicios comunes:<\/p>\n Un consejo sincero: no se limite a mirar la oferta y los par\u00e1metros, en realidad construir un entorno de prueba para reproducir una ola de tr\u00e1fico para probar. Una vez que un proveedor me dio una demostraci\u00f3n de \"protecci\u00f3n exitosa contra los ataques de 500 Gbps\", y m\u00e1s tarde se enter\u00f3 de que se trataba de un cepillo interno de datos - en estos d\u00edas, incluso los CDN tienen que \"evitar que los compa\u00f1eros de equipo\".<\/p>\n Un par de comentarios finales.<\/strong><\/p>\n La penetraci\u00f3n de CDN de alta defensa no es un problema t\u00e9cnico, es el sistema de operaci\u00f3n y mantenimiento y la capacidad de respuesta de emergencia del demonio espejo. He visto equipos gastar millones para comprar protecci\u00f3n, pero debido a un error de configuraci\u00f3n de DNS, toda la placa se derrumb\u00f3. Tambi\u00e9n he visto casos en los que el CDN m\u00ednimo + reglas de desarrollo propio son tan estables como el Monte Taishan.<\/p>\n La soluci\u00f3n verdaderamente fiable es siempre: asumir que el CDN debe ser penetrado y el sitio fuente debe estar oculto donde el enemigo no pueda encontrarlo. El principio de confianza cero es siempre cierto en ciberseguridad.<\/p>\n La pr\u00f3xima vez que te suene el despertador a medianoche, espero que sonr\u00edas, abras el terminal, hagas una serie de combos y te vuelvas a dormir.<\/p>","protected":false},"excerpt":{"rendered":" A las tres de la madrugada, mi tel\u00e9fono m\u00f3vil vibraba como loco. Aturdido, lo cog\u00ed y le ech\u00e9 un vistazo, y el grupo de alerta de monitorizaci\u00f3n se cepill\u00f3 tres pantallas de \"anomal\u00eda HTTP 500 de origen\" y \"ancho de banda funcionando al m\u00e1ximo 95%\". Coraz\u00f3n golpe\u00f3, agarr\u00f3 el ordenador port\u00e1til conectado a la VPN - el fondo de negocio se ha quedado atascado para abrir, la carga del servidor de origen se dispar\u00f3 a tres d\u00edgitos, gr\u00e1ficos de tr\u00e1fico en tiempo real muestran que la parrilla en alta mar es de miles de solicitudes por segundo la escala del impacto loco de nuestros servicios. \u00bfCu\u00e1l es la parte m\u00e1s ir\u00f3nica? Obviamente hemos gastado mucho dinero en una CDN de alta defensa de renombre, pero ahora la consola de protecci\u00f3n est\u00e1 tan tranquila como si no hubiera pasado nada. Este es un escenario t\u00edpico de \"penetraci\u00f3n de CDN de alta defensa\". Los atacantes se saltaron las reglas de protecci\u00f3n CDN, tocaron directamente la IP de su estaci\u00f3n de origen, esta vez la llamada limpieza trill\u00f3n, WAF inteligente todo se convierte en una pose. He visto<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1030","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1030","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1030"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1030\/revisions"}],"predecessor-version":[{"id":1095,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1030\/revisions\/1095"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1030"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1030"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1030"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1030"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}