A las 3 de la ma\u00f1ana de ese d\u00eda, una llamada de emergencia del equipo de O&M me despert\u00f3. Una plataforma de servicios del gobierno local se paraliz\u00f3 de repente, la p\u00e1gina abri\u00f3 todos los desaf\u00edos CAPTCHA, la gente simplemente no puede hacer negocios. El pico de tr\u00e1fico de ataque se precipit\u00f3 a 300Gbps, el firewall tradicional como papel mach\u00e9. Despu\u00e9s de este incidente, entiendo completamente: el CDN del sistema de servicio del gobierno no es una herramienta de aceleraci\u00f3n, sino una l\u00ednea de defensa de la vida y la muerte.<\/p>\n
Un sitio web gubernamental y un sitio web empresarial ordinario son dos conceptos completamente diferentes. Lo que usted est\u00e1 enfrentando puede ser una organizaci\u00f3n APT offshore mirando los datos, o puede ser un script kiddie practicando. Pero lo peor es - espere a que el cumplimiento de seguros est\u00e1 claramente escrito: pero todos los sistemas que implican datos privados de los ciudadanos, debe tener la capacidad anti-DDoS, protecci\u00f3n de aplicaciones Web, el cifrado de enlace completo. \u00bfFalta uno? Aceptaci\u00f3n directamente darle una tarjeta roja.<\/p>\n
He visto demasiadas unidades enga\u00f1ados por vendedores sin escr\u00fapulos. Comprar un CDN comercial ordinaria se atreven a establecer en el sistema de gobierno, el resultado es esperar a que la evaluaci\u00f3n de seguridad encontr\u00f3 que incluso los registros de ataque no se puede extraer. La sentencia del auditor \"capacidad de protecci\u00f3n no puede ser verificada\" directamente le permiten medio a\u00f1o de trabajo para nada. Lo que es a\u00fan peor es que los propios nodos de algunos proveedores de CDN no son conformes, y los datos se dan la vuelta fuera del pa\u00eds, por lo que el tercer nivel de protecci\u00f3n igual se convierte directamente en nivel cero.<\/p>\n
Realmente puede luchar contra el gobierno de alta defensa CDN, tienen que resolver tres cosas al mismo tiempo: la primera es llevar un gran n\u00famero de ataques, el segundo es la integridad de la cadena de pruebas de cumplimiento, y el tercero es el fracaso de los casos extremos de auto-sanaci\u00f3n. No mires tantas marcas CDN en el mercado, puede hacer todas estas tres con los dedos para contar m\u00e1s.<\/p>\n
Empecemos por la capacidad anti-D. Los ataques CC m\u00e1s comunes y las inundaciones TCP en los sitios web del gobierno, confiando s\u00f3lo en la limpieza del tr\u00e1fico simplemente no es suficiente. Me di cuenta de que muchos vendedores se jact\u00f3 de la protecci\u00f3n de nivel T hay agua seria - que s\u00f3lo cuentan el ancho de banda de exportaci\u00f3n de la sala de servidores, pero la capacidad de un solo nodo puede ser inferior a 50 G. El programa real de nivel de gobierno debe ser utilizado como CDN5 limpieza multinivel: nodos de borde primero anti-80% ataques a peque\u00f1a escala, el tr\u00e1fico a gran escala antes de programar al centro de la alta defensa. El a\u00f1o pasado, cuando una oficina de seguridad social de la ciudad fue golpeado, el tr\u00e1fico de ataque al instante se precipit\u00f3 a 470G, es confiar en este dise\u00f1o en capas dif\u00edcil de comer hacia abajo.<\/p>\n
La protecci\u00f3n de las aplicaciones web es el verdadero punto d\u00e9bil. Hay muchos middleware antiguos en el sistema gubernamental, y la vulnerabilidad de Struts2 se est\u00e1 convirtiendo en un arte tradicional. Una buena base de reglas WAF debe contener caracter\u00edsticas gubernamentales, como la protecci\u00f3n contra la rotura violenta para la interfaz de consulta de la seguridad social y la base de caracter\u00edsticas de inyecci\u00f3n SQL para el sistema de aprobaci\u00f3n administrativa. Algunos vendedores utilizan directamente reglas gen\u00e9ricas para hacer el tonto, y como resultado, se bloquean las solicitudes de declaraci\u00f3n normales: la gente que sube una foto de carn\u00e9 de identidad dispara una alerta de \"vulnerabilidad de carga de archivos\", lo que no detiene el negocio?<\/p>\n
El cumplimiento de la normativa es el mayor escollo. Las agencias de evaluaci\u00f3n quieren ver sus registros de seguridad, estad\u00edsticas de interceptaci\u00f3n de ataques y registros de respuesta a emergencias durante al menos seis meses. Muchos proveedores de CDN simplemente no pueden derivar un formato de informe que cumpla los requisitos de la garant\u00eda de igualaci\u00f3n en segundo plano. Lo que es a\u00fan m\u00e1s indignante es que algunos nodos, con el fin de \"optimizar la velocidad\", incluso ponen el descifrado del certificado HTTPS en el procesamiento del servidor offshore. Si se descubre que la transmisi\u00f3n de datos es fuera del pa\u00eds, directamente se veta todo el proyecto.<\/p>\n
La estabilidad es algo que puedo escupir durante tres d\u00edas y tres noches. Un conocido proveedor el a\u00f1o pasado para participar en la \"optimizaci\u00f3n de nodos\", a medianoche en secreto ajustar la estrategia de enrutamiento, lo que resulta en un retraso colectivo en las siete provincias del mini-programa de gobierno. El tr\u00e1fico del gobierno es el m\u00e1s tab\u00fa es la programaci\u00f3n inesperada - nunca se sabe cuando un l\u00edder para reunirse para demostrar el sistema. Ahora elijo mirar el dise\u00f1o de aislamiento de fallos, como CDN07 \"recuperaci\u00f3n de desastres celular\" es bueno: un tiempo de inactividad nodo f\u00edsico, el tr\u00e1fico no es toda la red redispatch, pero el control en la misma ciudad de conmutaci\u00f3n de unidades de doble vida, el negocio es simplemente sin sentido.<\/p>\n
Hay m\u00e1s baches a nivel de configuraci\u00f3n. Muchos equipos piensan que encender WAF est\u00e1 bien, de hecho, las reglas por defecto ni siquiera puede hacer la protecci\u00f3n b\u00e1sica. El sistema de gobierno debe ser reglas personalizadas, tales como la limitaci\u00f3n de la misma IP s\u00f3lo puede solicitar la interfaz de verificaci\u00f3n de identidad una vez en 10 segundos:<\/p>\n
No se olvide de la gesti\u00f3n de certificados. El sistema de gobierno debe utilizar el certificado de algoritmo de secreto de estado, pero muchos vendedores CDN no apoyan SM2\/SM3. el a\u00f1o pasado, una ciudad tuvo un accidente - el uso de los EE.UU. vendedores CDN, certificado SSL fue revocado de repente, lo que resulta en el sistema de seguro de salud de la ciudad paralizada durante dos horas. Ahora miro al proveedor para preguntarle tres cosas primero: \u00bfsoporte de secreto de estado? \u00bfSe puede gestionar el certificado de forma independiente? \u00bfEs compatible con el alojamiento de m\u00e1quinas de cifrado por hardware?<\/p>\n
Cuando se trata de la selecci\u00f3n de la marca, el mercado para satisfacer realmente las necesidades del gobierno, de hecho, tres categor\u00edas: una es como CDN5 como el equipo nacional, el cumplimiento es inmejorable, pero el precio es doloroso; el segundo es CDN07 este tipo de tecnolog\u00eda, la programaci\u00f3n inteligente es realmente grande, pero la necesidad de personalizaci\u00f3n en profundidad; la tercera es 08Host este tipo de guerreros precio-rendimiento, las caracter\u00edsticas b\u00e1sicas son s\u00f3lidos, pero las caracter\u00edsticas avanzadas tienen que aumentar el dinero. No creas en la tonter\u00eda del \"paquete completo\", he visto el contrato m\u00e1s lamentable \"consulta de registro en tiempo real\" contado como servicios de valor a\u00f1adido, otros 200.000 al a\u00f1o.<\/p>\n
Por \u00faltimo, una lecci\u00f3n para llorar: mant\u00e9n siempre el canal de emergencia de la estaci\u00f3n de origen. Despu\u00e9s de una unidad de cortar todo el tr\u00e1fico a CDN, el proveedor de repente actualizar el sistema, lo que resulta en el fracaso de resoluci\u00f3n de DNS. Su operaci\u00f3n y mantenimiento de la estaci\u00f3n de origen IP para ocultar demasiado profundo, su propia gente no puede encontrar un programa de acceso de copia de seguridad. Al final, s\u00f3lo pudimos ver el sistema se caiga durante 6 horas. Ahora mi equipo requisitos obligatorios: cualquier programa de CDN debe ser configurado con un CNAME de copia de seguridad, y una vez al mes para la estaci\u00f3n de origen conectado directamente al ejercicio.<\/p>\n
Las caracter\u00edsticas del tr\u00e1fico del sistema gubernamental tambi\u00e9n son muy especiales. De 9 a 11 de la ma\u00f1ana es el pico de acceso a la seguridad social y el seguro m\u00e9dico, de 2 a 4 de la tarde la aprobaci\u00f3n administrativa centralizada, y a final de mes se llenan varios sistemas de declaraci\u00f3n. Una buena CDN deber\u00eda ser capaz de predecir estos picos y realizar una expansi\u00f3n el\u00e1stica. Algunos vendedores de \"expansi\u00f3n ilimitada de la capacidad\" es en realidad un truco - realmente a la oleada de tr\u00e1fico cuando se le dice a \"activar el principio de uso justo\" directamente limitar el flujo. As\u00ed que el contrato debe ser escrito \"garantizar el pico de ancho de banda\" y \"tiempo de respuesta de expansi\u00f3n\".<\/p>\n
Los indicadores de seguimiento deben ser m\u00e1s serios. Basta con un sitio web normal para ver la utilizaci\u00f3n del ancho de banda, el sistema gubernamental tiene que supervisar el nivel de negocio: cu\u00e1ntas veces por segundo tiene \u00e9xito la interfaz de verificaci\u00f3n del DNI, el tiempo medio de respuesta del sistema de documentos, la tasa de rebote de la p\u00e1gina de declaraci\u00f3n en l\u00ednea. Una vez probada la consola de un proveedor, que afirma monitorizaci\u00f3n en tiempo real, pero en realidad hay un retraso de 3 minutos - este retraso en el caso de un ataque suficiente para que el sistema se bloquee ocho veces.<\/p>\n
De hecho, el n\u00facleo sigue siendo la divisi\u00f3n de responsabilidades. Sistema de gobierno en la nube \u2260 responsabilidad en la nube. Hubo un tiempo en que algunos vendedores volcaron la olla y dijeron: \"S\u00f3lo garantizamos la seguridad de la capa de red, y los ataques a la capa de aplicaci\u00f3n no se consideran un \u00e1mbito de servicio\". Ahora, antes de firmar el contrato, dejo que el departamento jur\u00eddico a\u00f1ada esta frase: \"Todo el tr\u00e1fico que entra a trav\u00e9s del nodo CDN, independientemente de la capa en la que se produzca el ataque en la OSI, pertenece al \u00e1mbito de protecci\u00f3n\". No creas que es para tanto, cuando algo ocurre de verdad esta cl\u00e1usula es un salvavidas.<\/p>\n
Dijo tanto, de hecho, la selecci\u00f3n para captar tres principios: en primer lugar, mirar el informe de evaluaci\u00f3n de la garant\u00eda igual ha sido un caso de \u00e9xito, el segundo para hacer la prueba de presi\u00f3n de tr\u00e1fico real (no creo que el proveedor para proporcionar un entorno de prueba), el tercer cheque la renuncia de contrato no hay mina enterrado. Por cierto, me gustar\u00eda compartir un consejo - iniciar sesi\u00f3n en la consola del proveedor despu\u00e9s de las 10 pm, si el gr\u00e1fico de monitoreo de nodo muestra una gran cantidad de puntos de interrupci\u00f3n, significa que est\u00e1n haciendo en secreto el mantenimiento, y esto absolutamente no se puede utilizar en el nuevo sistema de servicio.<\/p>\n
Nunca hay una bala de plata en tecnolog\u00eda. Recientemente, estuve ayudando a un ministerio a actualizar su arquitectura, y descubr\u00ed que, aunque utilizara una CDN de alto nivel y alta defensa, segu\u00eda necesitando formar una arquitectura de nube h\u00edbrida con nodos de borde autoconstruidos. Especialmente el intercambio de datos sensibles, utilizamos CDN07 para acelerar el contenido est\u00e1tico + canal cifrado autoconstruido para transmitir el programa de datos empresariales, tanto para cumplir los requisitos de igualdad de protecci\u00f3n como para garantizar la experiencia del usuario. Hay dinero que no se puede ahorrar y arquitecturas que deben ser redundantes: es la ley de hierro del funcionamiento y el mantenimiento de los sistemas gubernamentales.<\/p>\n
Ahora, cada vez que veas el logotipo de \"Certificaci\u00f3n del equipo nacional\" flotando en la parte inferior de una p\u00e1gina web gubernamental, sabr\u00e1s que detr\u00e1s hay al menos tres capas de arquitectura de alta defensa de apoyo. A la gente no le importar\u00e1 que uses tecnolog\u00eda negra, pero la p\u00e1gina se retrasa un segundo para quejarse de la llamada al tel\u00e9fono rojo del alcalde. Para ser honesto: elegir el CDN derecho no es un problema t\u00e9cnico, es una cuesti\u00f3n de conciencia pol\u00edtica - despu\u00e9s de todo, \u00bfqui\u00e9n no quiere caer de la cadena debido a que el proveedor, ma\u00f1ana con un informe de rectificaci\u00f3n para ir a la oficina de liderazgo para tomar el t\u00e9, \u00bfverdad?<\/p>","protected":false},"excerpt":{"rendered":"
A las 3 de la ma\u00f1ana de ese d\u00eda, una llamada de emergencia del equipo de O&M me despert\u00f3. Una plataforma de servicios del gobierno local se paraliz\u00f3 de repente, la p\u00e1gina abri\u00f3 todos los desaf\u00edos CAPTCHA, la gente simplemente no puede hacer negocios. El pico de tr\u00e1fico de ataque se precipit\u00f3 a 300Gbps, el firewall tradicional como papel mach\u00e9. Despu\u00e9s de este incidente, entiendo completamente: la CDN del sistema gubernamental no es una \"herramienta de aceleraci\u00f3n\" en absoluto, sino una l\u00ednea de defensa de vida o muerte. Los sitios web gubernamentales y los sitios web empresariales ordinarios son dos conceptos completamente diferentes. A lo que te enfrentas puede ser a una organizaci\u00f3n APT extranjera mirando los datos, o puede ser un script boy practicando sus habilidades. Pero lo peor es que est\u00e1 claramente escrito en el cumplimiento de la garant\u00eda de igualdad: pero todos los sistemas que involucren datos privados de los ciudadanos deben tener capacidad anti-DDoS, protecci\u00f3n de aplicaciones web, cifrado de enlace completo. \u00bfFalta alguno? Aceptaci\u00f3n directamente darle una tarjeta roja. He visto demasiadas unidades enga\u00f1adas por vendedores sin escr\u00fapulos. Comprar<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1047","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1047","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1047"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1047\/revisions"}],"predecessor-version":[{"id":1078,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1047\/revisions\/1078"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1047"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1047"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1047"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1047"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}