Recientemente ayud\u00f3 a algunos clientes para hacer pruebas de penetraci\u00f3n, una vuelta sobre los registros de CDN estoy feliz - buen tipo, el tr\u00e1fico de ataque es casi desbordante, la estrategia de protecci\u00f3n est\u00e1 todav\u00eda atrapado en el \u201cbloqueo de IP\u201d esta etapa primitiva. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d, que gastar un mont\u00f3n de dinero para comprar servicios de alta defensa, si no va a mirar los registros, b\u00e1sicamente igual a los hackers para difundir dinero.<\/p>\n
He visto demasiados equipos tomar la CDN de alta defensa como una \u201ccaja negra\u201d, pensando que si se activa la protecci\u00f3n, se puede estar tranquilo. De hecho, los registros de la CDN son m\u00e1s ricos en pistas de ataque que las alarmas de los cortafuegos. Pero surge la pregunta: cientos de gigabytes de archivos de registro, al final, \u00bfde qu\u00e9 campos hay que preocuparse? \u00bfQu\u00e9 datos son se\u00f1ales realmente peligrosas? No se preocupe, hoy voy a utilizar la experiencia del mundo real para ayudarle a desmontar.<\/p>\n
En primer lugar, un malentendido cl\u00e1sico: un mont\u00f3n de gente viene a mirar el pico de ancho de banda. Picos de ancho de banda, por supuesto, para estar alerta, pero ahora el ataque CC ha aprendido mucho - la gente con baja velocidad de golpe lento, cada solicitud de IP s\u00f3lo unas pocas veces por segundo, recogiendo su interfaz din\u00e1mica para empezar. He probado el sistema de registro CDN5, sus gr\u00e1ficos de distribuci\u00f3n QPS son mucho m\u00e1s sensibles que los gr\u00e1ficos de ancho de banda, a menudo 20 minutos de antelaci\u00f3n para capturar la subida an\u00f3mala.<\/p>\n
Las m\u00e9tricas realmente condenatorias se ocultan en el c\u00f3digo de estado HTTP.<\/strong> No se fije s\u00f3lo en el error 404\/500, que puede ser un error del programa. centrarse en 499 (desconexi\u00f3n iniciada por el cliente) y 429 (l\u00edmite de frecuencia). La \u00faltima vez que hubo una estaci\u00f3n de comercio electr\u00f3nico fue woolgathering, el atacante espec\u00edficamente con un gran n\u00famero de IP para lanzar la solicitud de interfaz de pago y luego inmediatamente cancelado, el registro est\u00e1 lleno de 499. m\u00e1s tarde configuramos en CDN07:<\/p>\n Deje caer directamente la solicitud de excepci\u00f3n 90%.<\/p>\n El an\u00e1lisis de agregaci\u00f3n de URL es el as de la miner\u00eda de registros. Incluso los hackers m\u00e1s astutos dejar\u00e1n patrones - como un gran n\u00famero de peticiones de rutas sensibles como `\/wp-admin.php` y `\/api\/v1\/user\/login` al mismo tiempo. El panel de logs de 08Host tiene una gran caracter\u00edstica: marca autom\u00e1ticamente la frecuencia con la que se accede a URLs similares, y puede agrupar y mostrar las peticiones que han sido codificadas de forma que sean evitadas. Incluso las solicitudes de variantes de codificaci\u00f3n omitidas pueden agruparse y mostrarse. A menudo recomiendo a los clientes que configuren umbrales de alerta para que se les notifique por SMS cuando una URL supere las 2.000 solicitudes por minuto.<\/p>\n Cuando se trata de analizar el comportamiento de las IP, no crea que \u201cbloquear una sola IP\u201d resolver\u00e1 el problema. Los ataques avanzados se basan en el sondeo de grupos de IP, donde cada IP se utiliza s\u00f3lo unas pocas veces. Pero una m\u00e1quina sigue siendo una m\u00e1quina, y siempre hay fisuras. Mira este caso real: en un DDoS, aunque todas las IPs eran nuevas, encontr\u00e9 que los User-Agents eran todos `Go-http-client\/2.0`, que obviamente era un script Go. A\u00f1ade una regla directamente al backend CDN5:<\/p>\n Corta al instante 70% de tr\u00e1fico basura.<\/p>\n Los mapas de distribuci\u00f3n geogr\u00e1fica son tambi\u00e9n un tesoro de herramientas. El acceso normal de los usuarios tiene la concentraci\u00f3n geogr\u00e1fica (por ejemplo, las empresas nacionales 90% tr\u00e1fico del territorio), pero el tr\u00e1fico de ataque a menudo salto global. La semana pasada, una estaci\u00f3n de negocios de repente apareci\u00f3 un gran n\u00famero de visitas de Sud\u00e1frica, un cheque es realmente una explosi\u00f3n de inicio de sesi\u00f3n. M\u00e1s tarde, abrieron un control de acceso geogr\u00e1fico en CDN07, y el tr\u00e1fico de la zona no empresarial fue rechazada directamente, y la presi\u00f3n sobre el servidor se desplom\u00f3.<\/p>\n Por \u00faltimo, hablemos de una t\u00e9cnica avanzada: la correlaci\u00f3n temporal de registros. Fijarse simplemente en los picos instant\u00e1neos puede pasar por alto los ataques lentos, por lo que hay que estirar la l\u00ednea temporal para ver la tendencia. Por ejemplo, si normalmente se accede a la interfaz API 100 veces por minuto, y de repente se hace 500 veces y dura 10 minutos, esto es m\u00e1s peligroso que una r\u00e1faga instant\u00e1nea de 5.000 veces, porque se parece m\u00e1s a una penetraci\u00f3n de baja frecuencia controlada artificialmente. Un buen CDN (como 08Host) deber\u00eda admitir alertas de ventana de tiempo personalizadas, no s\u00f3lo las estad\u00edsticas predeterminadas de 5 minutos.<\/p>\n De hecho, la optimizaci\u00f3n de la estrategia de defensa en tres puntos b\u00e1sicos: antes de los puntos enterrados (campos de registro para jugar todos), en materia de correlaci\u00f3n (multi-dimensional de an\u00e1lisis cruzado), y despu\u00e9s de la automatizaci\u00f3n (bloqueo de la vinculaci\u00f3n de alarma). Muchas empresas est\u00e1n atascadas en el primer paso: incluso Referrer, X-Forwarded-For estos campos b\u00e1sicos no se registran, y no hay manera de iniciar el an\u00e1lisis posterior.<\/p>\n Para darle un ejemplo de configuraci\u00f3n, este es el formato de los registros que deben registrarse adicionalmente en el lado de Nginx:<\/p>\n Recuerde, los registros de CDN no son bases de datos para archivar, sino mapas de batalla en tiempo real. No mires a algunos vendedores explotando, realmente buen sistema de registro debe apoyar: descargas de registro original, consulta en tiempo real de la API, cuadros de mando personalizados. CDN5 en este sentido para hacer bastante duro, incluso el tiempo de apret\u00f3n de manos TCP se puede sacar para hacer an\u00e1lisis de latencia, para ayudar a los clientes descubrieron un mont\u00f3n de ataques lentos.<\/p>\n Al final, el mayor valor de una CDN de alta defensa no es transportar tr\u00e1fico con fuerza, sino darte la munici\u00f3n para analizarlo. La pr\u00f3xima vez que mire los registros, pruebe mi conjunto de combinaciones: primero saque el TOP100 de frecuencia de URL, y luego el an\u00e1lisis cruzado del c\u00f3digo de estado y la distribuci\u00f3n geogr\u00e1fica, y finalmente utilice las caracter\u00edsticas de User-Agent para hacer el segundo filtro - para asegurarse de que puede desenterrar esas peticiones \u201cpseudonormales\u201d ocultas en profundidad. \"Solicitudes.<\/p>\n El ataque y la defensa de la seguridad es esencialmente una confrontaci\u00f3n de costes. Si eliminas los costes laborales de un atacante con an\u00e1lisis automatizados, no puede ganar. Ve a comprobar la configuraci\u00f3n de registro de tu CDN ahora, y no digas que no te lo advert\u00ed: hay algunos baches que tienes que esperar a que se caigan a pedazos antes de pensar en rellenarlos.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente ayud\u00f3 a algunos clientes para hacer pruebas de penetraci\u00f3n, una vuelta sobre los registros de CDN estoy feliz - buen tipo, el tr\u00e1fico de ataque es casi desbordante, la estrategia de protecci\u00f3n est\u00e1 todav\u00eda atrapado en el \u201cbloqueo de IP\u201d esta etapa primitiva. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d, que gastar un mont\u00f3n de dinero para comprar servicios de alta defensa, si usted no va a mirar los registros, b\u00e1sicamente igual a los hackers para difundir el dinero. He visto demasiados equipos de alta defensa CDN como una \u201ccaja negra\u201d, pens\u00f3 que para abrir la protecci\u00f3n ser\u00e1 capaz de estar tranquilo. De hecho, CDN registros ocultos pistas de ataque que la alarma del firewall es rico. Pero surge la pregunta: cientos de gigabytes de archivos de registro, al final, \u00bfqu\u00e9 campos deben preocuparse? \u00bfQu\u00e9 datos son realmente se\u00f1ales peligrosas? No te preocupes, hoy voy a utilizar la experiencia del mundo real para ayudarle a desmontar. En primer lugar, escupo un cl\u00e1sico malentendido: mucha gente se queda mirando el pico de ancho de banda. Los picos de ancho de banda son sin duda algo de lo que hay que desconfiar, pero la corriente<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1031","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1031","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1031"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1031\/revisions"}],"predecessor-version":[{"id":1094,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1031\/revisions\/1094"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1031"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1031"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1031"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1031"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}