Recientemente para ayudar a una estaci\u00f3n de comercio electr\u00f3nico para hacer la respuesta de emergencia, se encontr\u00f3 con una situaci\u00f3n de llanto: gastaron mucho dinero el a\u00f1o pasado para comprar un CDN de alta defensa, la p\u00e1gina de promoci\u00f3n escribi\u00f3 \"protecci\u00f3n de nivel T\", los resultados de las actividades de promoci\u00f3n acaba de empezar diez minutos, todo el sitio fue derribado directamente - el ataque contra el tr\u00e1fico de hecho, s\u00f3lo 200G de la cabeza. El jefe llam\u00f3 a rega\u00f1ar al proveedor de servicios, la otra parte poco a poco lleg\u00f3 a una frase: \"usted compra el paquete b\u00e1sico, pico de defensa s\u00f3lo contiene 100G, m\u00e1s all\u00e1 de la parte de a\u00f1adir dinero para abrir manualmente\" ...... este a\u00f1o, incluso CDN tiene que \"anti-teammates\"?<\/p>\n
CDN de alta defensa esta cosa, para decirlo sin rodeos es al sitio invit\u00f3 a un guardaespaldas. Pero el problema es que muchas empresas piensan que pueden estar tranquilos despu\u00e9s de comprar el servicio, de hecho, la mayor parte de la CDN de alta defensa tradicional es un modo de \"defensa est\u00e1tica\": para darle un valor fijo de defensa, m\u00e1s all\u00e1 del ataque directamente eludir la l\u00ednea de alta defensa, o simplemente arrojados al agujero negro. Al igual que la compra de seguros cuando el vendedor vol\u00f3 por las nubes, realmente a la reclamaci\u00f3n s\u00f3lo para descubrir que los t\u00e9rminos enterrados un mont\u00f3n de pozos.<\/p>\n
He probado el mercado siete u ocho principales proveedores de servicios de alta defensa, encontr\u00f3 que tres puntos de dolor com\u00fan: la primera es la mala capacidad de recuperaci\u00f3n, el pico de defensa no se puede ajustar en tiempo real bajo demanda; el segundo es el retardo de conmutaci\u00f3n es alta, se encontr\u00f3 con un nuevo tipo de ataques mixtos cuando las normas entran en vigor lentamente; el tercero es el costo de la incontrolable, tr\u00e1fico inesperado es a menudo acompa\u00f1ado por las facturas por las nubes. Especialmente cuando se mezclan ataques CC y DDoS, las siete capas de protecci\u00f3n de muchas CDN son pr\u00e1cticamente in\u00fatiles.<\/p>\n
Empecemos por un punto contraintuitivo: el \"valor de defensa\" de una CDN de alta defensa es en realidad una variable din\u00e1mica. En realidad depende del tama\u00f1o del pool de recursos subyacente y de los algoritmos de programaci\u00f3n. Por ejemplo, CDN5, raz\u00f3n por la que se atreven a prometer \"defensa ilimitada\", porque est\u00e1n conectados a la parte trasera de una serie de centros de tr\u00e1fico limpio, pueden alcanzar casi el nivel TB de programaci\u00f3n de tr\u00e1fico. La llamada \"defensa a nivel de T\" de los peque\u00f1os proveedores suele ser un juego matem\u00e1tico que amontona todos los anchos de banda de los clientes y los cuenta: cuando realmente se enfrentan a un ataque a gran escala, la competencia por los recursos directamente se desploma.<\/p>\n
El primer paso para mejorar la capacidad de defensa es averiguar las caracter\u00edsticas de su empresa. Suelo recomendar a los clientes que utilicen el m\u00e9todo de \"an\u00e1lisis del perfil de ataque\": en primer lugar, extraigan los registros de ataques de los \u00faltimos seis meses y averig\u00fcen estad\u00edsticamente los tipos de ataque con mayor frecuencia, el rango de tr\u00e1fico m\u00e1ximo y las principales regiones de origen. Por ejemplo, si una estaci\u00f3n financiera descubre que siempre hay alrededor de 200G de inundaciones UDP todos los viernes por la tarde, entonces la opci\u00f3n m\u00e1s rentable es activar la protecci\u00f3n de resiliencia durante este tiempo por adelantado.<\/p>\n
En la pr\u00e1ctica, recomiendo la estrategia combinada de \"defensa de base + pico de resiliencia\". La defensa de l\u00ednea de base utiliza un paquete fijo para soportar los ataques diarios a peque\u00f1a escala, mientras que la parte de resiliencia adopta un modelo de pago por volumen. Como el programa de \"segunda elasticidad\" de CDN07 es m\u00e1s realista: los ataques que superan el umbral desencadenan autom\u00e1ticamente la ampliaci\u00f3n de la capacidad, sin necesidad de aprobaci\u00f3n manual, y la granularidad de la defensa puede afinarse hasta el nivel de un solo nombre de dominio.<\/p>\n
El aspecto m\u00e1s cr\u00edtico de la implementaci\u00f3n t\u00e9cnica es la capacidad de programaci\u00f3n de la API. Un buen servicio de alta defensa debe proporcionar una interfaz API completa que nos permita ajustar din\u00e1micamente las estrategias de protecci\u00f3n a trav\u00e9s de un sistema de supervisi\u00f3n autoconstruido. El siguiente c\u00f3digo Python es el activador de expansi\u00f3n de elasticidad que utilizo realmente en el sistema de mi cliente:<\/p>\n
Algunos vendedores dise\u00f1o de la API es simplemente el arte de comportamiento - retraso de respuesta de hasta 30 segundos, a la espera de la interfaz para devolver los resultados del negocio temprano fr\u00edo. As\u00ed que el rendimiento de la API de prueba debe ser escrito en el contrato, lo que requiere 99% solicitudes para responder dentro de los 5 segundos. 08Host ha plantado en esta pieza, su API de expansi\u00f3n de la elasticidad el a\u00f1o pasado, el tiempo medio de respuesta de 12 segundos, y luego rociado por el cliente para reescribir todo el sistema de programaci\u00f3n.<\/p>\n
Adem\u00e1s de la velocidad de expansi\u00f3n, la eficiencia de las reglas emitidas es tambi\u00e9n el alma. CDN tradicional para actualizar las reglas WAF a nivel de minuto, ahora el programa principal se cambian a utilizar nodos de computaci\u00f3n de borde compilados en tiempo real. Por ejemplo, el uso de la tecnolog\u00eda WebAssembly para proteger las reglas compiladas en c\u00f3digo de bytes enviado al borde del nodo CDN, se puede comprimir a milisegundos en efecto. Este detalle t\u00e9cnico es ignorado por mucha gente, pero es precisamente la clave para hacer frente a los ataques de variantes r\u00e1pidas.<\/p>\n
Hay una lecci\u00f3n muy buena que aprender sobre el control de costes: \u00a1no te creas la tonter\u00eda de la \"defensa ilimitada\"! Todos los proveedores tienen topes blandos, y lo \u00fanico verdaderamente ilimitado es tu factura. Una vez que un cliente compr\u00f3 una cierta \"protecci\u00f3n ilimitada\", los resultados del mes fue golpeado 800G ataques sostenidos, el segundo mes recibi\u00f3 una factura de un mill\u00f3n doscientos mil - resulta que la esquina del contrato est\u00e1 escrito \"exceso de tr\u00e1fico de acuerdo con $0.05\/GB de facturaci\u00f3n\".<\/p>\n
Hoy en d\u00eda, la soluci\u00f3n m\u00e1s avanzada es el \"Mecanismo inteligente de fusi\u00f3n\". No s\u00f3lo ajusta la defensa en funci\u00f3n del tr\u00e1fico de ataque, sino que tambi\u00e9n toma decisiones basadas en la importancia del negocio. Por ejemplo, la interfaz empresarial se divide en enlaces de transacciones esenciales y consultas no cr\u00edticas, y el nivel de protecci\u00f3n de los servicios no esenciales se rebaja temporalmente en casos extremos para proteger la actividad principal. Esta estrategia ayud\u00f3 a una plataforma de comercio electr\u00f3nico a ahorrar m\u00e1s de 700.000 d\u00f3lares en tasas de protecci\u00f3n de elasticidad durante el periodo Doble 11 del a\u00f1o pasado.<\/p>\n
Por \u00faltimo, me gustar\u00eda mencionar un detalle que mucha gente ha pasado por alto: los registros de una CDN de alta defensa deben utilizarse para alimentar la IA. basta con escribir una consulta Splunk para encontrar el patr\u00f3n de ataque:<\/p>\n
Estos datos no s\u00f3lo optimizan las estrategias de protecci\u00f3n, sino que tambi\u00e9n estimulan a los proveedores de CDN: la \u00faltima vez fueron los datos de registro los que hicieron que CDN5 admitiera que hab\u00eda una vulnerabilidad en el recuento de conexiones simult\u00e1neas en su pila TCP, y acabaron d\u00e1ndonos una actualizaci\u00f3n gratuita del cl\u00faster de protecci\u00f3n.<\/p>\n
Para ser honestos, el mercado actual de CDN de alta defensa es como una carrera armament\u00edstica, el atacante est\u00e1 utilizando IA para generar tr\u00e1fico de ataque, y el defensor tiene que utilizar el aprendizaje autom\u00e1tico para predecir los patrones de ataque. Entre los varios proveedores probados recientemente, la \"expansi\u00f3n de predicci\u00f3n de IA\" de CDN07 es un poco interesante, que puede predecir la ola de ataques con 5 minutos de antelaci\u00f3n a trav\u00e9s de los datos de inteligencia de amenazas y calentar autom\u00e1ticamente los recursos de protecci\u00f3n. Aunque la tasa de precisi\u00f3n es actualmente de alrededor de 70%, ya es mucho m\u00e1s fuerte que la respuesta manual.<\/p>\n
Si realmente quiere recomendar un programa, mi sugerencia es: utilice a diario 08Host para llevar a cabo ataques a peque\u00f1a escala (rentable), cambie a la protecci\u00f3n el\u00e1stica de CDN5 antes de las actividades a gran escala (gran reserva de recursos), y active el modo de protecci\u00f3n AI de CDN07 cuando se encuentre con amenazas persistentes avanzadas (capacidad de programaci\u00f3n inteligente). Por supuesto, la defensa m\u00e1s dura es siempre la capa empresarial para hacer el dise\u00f1o distribuido y redundante - CDN es s\u00f3lo un medio para ganar tiempo, la verdadera l\u00ednea de defensa todav\u00eda tienen que dominar a s\u00ed mismos.<\/p>\n
Finalmente lanzar una teor\u00eda violenta: en los pr\u00f3ximos tres a\u00f1os, 90% \"alta defensa CDN\" marca desaparecer\u00e1, ya sea por los proveedores de la nube para ser incorporado, o transformado para hacer servicios de seguridad. Ahora el juego de estos deletrear pool de recursos tarde o temprano llegar\u00e1 a su fin, y en \u00faltima instancia, sin duda ir\u00e1 a la ruta de la tecnolog\u00eda de programaci\u00f3n de edge computing + AI. As\u00ed que ahora no s\u00f3lo mirar las cifras de defensa al seleccionar un modelo, y examinar m\u00e1s de la inversi\u00f3n en I + D del proveedor y la ecolog\u00eda de la API, de lo contrario la \"defensa de nivel T\" comprado hoy puede convertirse en un legado digital el pr\u00f3ximo a\u00f1o.<\/p>\n
(Despu\u00e9s de escribir y mirar las alertas de monitorizaci\u00f3n, otro cliente fue golpeado con un ataque de reflexi\u00f3n Memcached 380G - gotta, los fideos instant\u00e1neos de esta noche tendr\u00e1 que ser comido con los registros de tr\u00e1fico de nuevo ...... )<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente para ayudar a una estaci\u00f3n de comercio electr\u00f3nico para hacer la respuesta de emergencia, se encontr\u00f3 con una situaci\u00f3n de llanto: gastaron mucho dinero el a\u00f1o pasado para comprar un CDN de alta defensa, la p\u00e1gina de promoci\u00f3n escribi\u00f3 \"protecci\u00f3n de nivel T\", los resultados de las actividades de promoci\u00f3n acaba de empezar diez minutos, todo el sitio fue derribado directamente - el ataque contra el tr\u00e1fico de hecho, s\u00f3lo 200G de la cabeza. El jefe llam\u00f3 a rega\u00f1ar al proveedor de servicios, la otra parte poco a poco lleg\u00f3 a una frase: \"usted compra el paquete b\u00e1sico, pico de defensa s\u00f3lo contiene 100G, m\u00e1s all\u00e1 de la parte de a\u00f1adir dinero para abrir manualmente\" ...... este a\u00f1o, incluso CDN tiene que \"anti-teammates\"? Lo de CDN de alta defensa, para decirlo sin rodeos, es invitar a un guardaespaldas en el sitio. Pero el problema es que muchas empresas piensan que pueden estar tranquilos despu\u00e9s de comprar el servicio, de hecho, la mayor\u00eda de la CDN de alta defensa tradicional es un modo de \"defensa est\u00e1tica\": para darle un valor fijo de la defensa, m\u00e1s all\u00e1 del ataque directamente alrededor de la<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1044","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1044","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1044"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1044\/revisions"}],"predecessor-version":[{"id":1081,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1044\/revisions\/1081"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1044"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1044"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1044"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1044"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}