Recuerdo que el verano pasado, tengo sitio de comercio electr\u00f3nico de un viejo cliente de repente paralizado, no el tipo de retraso lento, est\u00e1 completamente muerto - el usuario no puede entrar, el orden de todos cuelgan, incluso el fondo no puede iniciar sesi\u00f3n. Al principio pens\u00f3 que el fallo del servidor, los resultados de un registro de verificaci\u00f3n, buen tipo, el tr\u00e1fico al instante se dispar\u00f3 a 200Gbps, un t\u00edpico ataque DDoS inundaci\u00f3n. Los clientes est\u00e1n ansiosos por saltar a sus pies, la p\u00e9rdida de decenas de miles de d\u00f3lares por hora, en estos d\u00edas, la seguridad del sitio no es una broma, un poco de falta de atenci\u00f3n ser\u00e1 golpeado de nuevo a la era primitiva.<\/p>\n
Lo que pasa con los ataques DDoS, para decirlo sin rodeos, es que los hackers inundan su servidor con un mar de solicitudes de spam para mantenerlo ocupado con las demandas de los usuarios normales. Tipos comunes de inundaci\u00f3n UDP, ICMP inundaci\u00f3n, hay m\u00e1s insidioso ataque lento HTTP, el consumo de recursos dedicados. He encontrado que muchas empresas todav\u00eda conf\u00edan en los cortafuegos tradicionales para llevar duro, pero esa cosa en el mejor de prevenir peque\u00f1as peleas, realmente se encontr\u00f3 con un ataque a gran escala, como un paraguas para bloquear el tsunami - puramente para mostrar. \u00bfPor qu\u00e9? Debido a que el propio servidor de seguridad en el extremo frontal del servidor, el tr\u00e1fico de ataque directamente abrumado, con la participaci\u00f3n de toda la par\u00e1lisis de la red.<\/p>\n
La ra\u00edz del problema radica en el hecho de que un \u00fanico punto de protecci\u00f3n simplemente no puede llevar a cabo ataques distribuidos. \u00a1Los hackers est\u00e1n utilizando ahora botnets, movi\u00e9ndose para movilizar a cientos de miles de dispositivos al mismo tiempo, el tr\u00e1fico f\u00e1cilmente rompi\u00f3 un centenar de G. Usted no cree que los que se jact\u00f3 de que \u201csus propios servidores pueden soportar 1T ataque\u201d vendedores, he desmantelado sus programas, la mayor\u00eda de ellos son etiquetas falsas - la situaci\u00f3n real es que el ataque se produjo, la CPU estall\u00f3 primero, el ancho de banda estaba lleno, y, finalmente, incluso la l\u00ednea de copia de seguridad bloqueado! La situaci\u00f3n real es que cuando surge el ataque, la CPU explota primero, el ancho de banda se ocupa y, finalmente, incluso la l\u00ednea de backup se bloquea. Esto no es alarmista, el a\u00f1o pasado el tama\u00f1o medio de los ataques DDoS globales se elev\u00f3 a 30%, el mayor ataque individual a m\u00e1s de 2Tbps, \u00bfa que da miedo?<\/p>\n
Por eso las CDN de alta defensa se han convertido en un salvavidas. No se trata simplemente de un escudo delante del servidor, sino de difundir el tr\u00e1fico a los nodos globales, cerca de la limpieza de las solicitudes maliciosas. El principio es bastante inteligente: tecnolog\u00eda Anycast para encaminar las peticiones de los usuarios al nodo CDN m\u00e1s cercano; si se detecta un ataque, el tr\u00e1fico se redirige a un centro especial de limpieza, donde hay algoritmos para analizar la estructura de los paquetes en tiempo real, desechar el tr\u00e1fico basura y liberar s\u00f3lo las peticiones leg\u00edtimas. Ayudo a los clientes a migrar a la CDN de alta defensa, resistencia medida a 350Gbps ataques mixtos, la latencia del sitio en lugar de abajo 20ms - este efecto, que cambiar diez servidores son reales.<\/p>\n
\u00bfC\u00f3mo funciona? Tomemos como ejemplo las inundaciones HTTP: una CDN de alta seguridad utilizar\u00e1 un motor de an\u00e1lisis del comportamiento para vigilar la frecuencia de las peticiones. Por ejemplo, un usuario normal env\u00eda unas pocas peticiones por segundo, pero la m\u00e1quina zombi puede enviar salvajemente cientos. El centro de limpieza, una vez detectadas las anomal\u00edas, activa inmediatamente el mecanismo de desaf\u00edo, como el CAPTCHA emergente o el desaf\u00edo JS, obligando a la m\u00e1quina real a mostrar su forma original. Configuraci\u00f3n, usted tiene que establecer las reglas en el lado del proveedor de servicios CDN. Cuando utilizo CDN5, tienen plantillas ya preparadas en su consola para activar la protecci\u00f3n b\u00e1sica con un solo clic. Pero para personalizarla, tienes que escribir algunas reglas. Como \u00e9sta:<\/p>\n
No mire el c\u00f3digo es simple, en la pr\u00e1ctica, puede bloquear 80% ataques automatizados. Por supuesto, la capacidad de los diferentes proveedores es mucho peor. Compar\u00e9 CDN5, CDN07 y 08Host tres: CDN5 fuerte en baja latencia, m\u00e1s nodos en Asia, la limpieza de control de latencia en 50ms; CDN07 toro rendimiento, alegando ser capaz de resistir 800Gbps, pero el precio de la muerte es caro, adecuado para las grandes empresas financieras; 08Host ruta rentable, un mes de unos pocos cientos de d\u00f3lares puede llevar 200G, pero menos nodos, Europa y el usuario de Estados Unidos. Lo m\u00e1s importante que debe recordar es que no debe creer en esos nodos \u201cilimitados\u201d. No creas en esos anuncios de \"protecci\u00f3n ilimitada\", he probado - el tr\u00e1fico de un super, directamente a su downgrade, entonces llorar demasiado tarde.<\/p>\n
Hablando de configuraci\u00f3n, CDN de alta defensa tambi\u00e9n debe ser utilizado en conjunci\u00f3n con el Web Application Firewall (WAF). S\u00f3lo para evitar que el tr\u00e1fico no es suficiente, algunos ataques golpean espec\u00edficamente la capa de aplicaci\u00f3n, tales como inyecci\u00f3n SQL o XSS. He enterrado scripts de monitoreo en la estaci\u00f3n del cliente, se encontr\u00f3 que despu\u00e9s de la limpieza todav\u00eda hay 10% astucia fuga de solicitud - estos tienen que confiar en las reglas WAF para compensar el cuchillo. Como ejemplo, configurar la limitaci\u00f3n de velocidad y geo-bloqueo:<\/p>\n
Con esta combinaci\u00f3n, por no hablar de los cientos de gigabytes de tr\u00e1fico, se pueden contener incluso los complejos ataques CC. Pero hay una cosa de la que quejarse: algunos proveedores ponen el centro de limpieza demasiado lejos, como los nodos de Estados Unidos para tratar el tr\u00e1fico asi\u00e1tico, la latencia se dispar\u00f3 a 200ms - \u00a1ser\u00eda mejor no evitarlo! As\u00ed que al elegir un CDN, aseg\u00farese de mirar a la distribuci\u00f3n de los nodos, como mi prioridad CDN5, porque tienen puntos de pop en Tokio y Hong Kong, la latencia se puede mantener baja.<\/p>\n
Los datos hablan el m\u00e1s real. Manej\u00e9 el caso el a\u00f1o pasado, con una alta defensa CDN sitio tasa media de mitigaci\u00f3n de ataques de m\u00e1s de 99%, mientras que la protecci\u00f3n auto-construido de s\u00f3lo 60%. Especialmente CDN07, en una prueba para llevar 720Gbps SYN inundaci\u00f3n, la CPU del servidor no tembl\u00f3 un poco. Pero el precio es el costo: la cuota mensual para este tipo de servicios va desde unos pocos miles a decenas de miles, aunque 08Host es barato, pero el tr\u00e1fico repentino puede limitar la velocidad. As\u00ed que ah, no seas codicioso para barato, de acuerdo con la escala de la empresa para elegir - peque\u00f1as estaciones con 08Host transici\u00f3n, las grandes f\u00e1bricas directamente en el CDN07.<\/p>\n
En resumen (oh no, costumbre de resumir), la CDN de alta defensa no es una panacea, pero es realmente la soluci\u00f3n \u00f3ptima al anti-DDoS actual. Sus principales ventajas son: la presi\u00f3n descentralizada distribuida y la tecnolog\u00eda de limpieza profesional. \u00bfQuiere preguntarme c\u00f3mo de fuerte es la capacidad de protecci\u00f3n? Puedo decir que la soluci\u00f3n superior puede resistir ataques de nivel T, pero la clave sigue siendo la configuraci\u00f3n y supervisi\u00f3n diarias. Recuerde actualizar regularmente las reglas, las pruebas y los ejercicios de presi\u00f3n, de lo contrario, incluso el mejor CDN se convertir\u00e1 en un montaje. Esta industria es de aguas muy profundas, los vendedores se jactan mucho, realmente quieren ahorrar dinero para encontrar un socio tecnol\u00f3gico fiable - o leer m\u00e1s de mi viejo aceite de escribir productos secos, menos desv\u00edo.<\/p>","protected":false},"excerpt":{"rendered":"
Recuerdo que el verano pasado, tengo sitio de comercio electr\u00f3nico de un viejo cliente de repente paralizado, no el tipo de retraso lento, est\u00e1 completamente muerto - el usuario no puede entrar, el orden de todos cuelgan, incluso el fondo no puede iniciar sesi\u00f3n. Al principio pens\u00f3 que el fallo del servidor, los resultados de un registro de verificaci\u00f3n, buen tipo, el tr\u00e1fico al instante se dispar\u00f3 a 200Gbps, un t\u00edpico ataque DDoS inundaci\u00f3n. Los clientes est\u00e1n ansiosos por saltar a sus pies, la p\u00e9rdida de decenas de miles de d\u00f3lares por hora, en estos d\u00edas, la seguridad del sitio no es una broma, un poco de falta de atenci\u00f3n ser\u00e1 golpeado de nuevo a la era primitiva. DDoS atacar esta cosa, para decirlo sin rodeos es un hacker con una cantidad masiva de solicitudes de basura para inundar su servidor, por lo que es demasiado ocupado para satisfacer las necesidades de los usuarios normales. Los tipos m\u00e1s comunes son UDP flood, ICMP flood y el m\u00e1s insidioso ataque lento HTTP, especializado en el consumo de recursos. Mis pruebas en el mundo real descubrieron que muchos<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1042","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1042","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1042"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1042\/revisions"}],"predecessor-version":[{"id":1083,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1042\/revisions\/1083"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1042"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1042"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1042"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1042"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}