La primera vez que me hice cargo de un proyecto financiero, el jefe dio una palmada en el pecho y dijo: \u201cTenemos este volumen, que vendr\u00e1 a luchar ah\u201d, los resultados del tercer d\u00eda en la l\u00ednea, golpe\u00f3 directamente a la auto-cerrado. Tres de la ma\u00f1ana recibi\u00f3 un mensaje de texto de alarma, todo el cl\u00faster de negocios est\u00e1 completamente paralizado, el pico de tr\u00e1fico se dispar\u00f3 a 200 veces la habitual - esta vez para entender que la alta defensa CDN no es opcional, sino una paja para salvar vidas.<\/p>\n
En estos d\u00edas los ataques DDoS se han desarrollado industrialmente desde hace mucho tiempo, s\u00f3lo tiene que encontrar un mercado subterr\u00e1neo, $ 500 puede comprar 24 horas sin parar los ataques de tr\u00e1fico G-rated. \u00bfCrees que un conjunto de Cloudflare versi\u00f3n gratuita ser\u00e1 capaz de estar tranquilo? No estoy seguro de si voy a ser capaz de hacer eso, pero voy a ser capaz de hacerlo. El a\u00f1o pasado, un intercambio utilizado un CDN barato, fue la penetraci\u00f3n de inundaci\u00f3n TCP, el atacante incluso arrogante a la p\u00e1gina web oficial para colgar mensaje de chantaje. Nunca creas esos \u201cdefensa ilimitada\u201d falsa propaganda, realmente se encontr\u00f3 con un enorme impacto en el tr\u00e1fico, la primera reacci\u00f3n de muchos proveedores de servicios es darle a hacer ruta vac\u00eda.<\/p>\n
Los que realmente han experimentado la batalla real saben que para hacer frente a los ataques de tr\u00e1fico de nivel T debe utilizar estrategias de defensa en capas. Al igual que la defensa de la ciudad antigua, la ciudad exterior ha ca\u00eddo y la urna, la urna se rompe y la ciudad interior. He probado y encontrado la estructura m\u00e1s fiable es: capa de programaci\u00f3n inteligente \u2192 capa de limpieza de bordes \u2192 capa de protecci\u00f3n de la estaci\u00f3n de origen, la vinculaci\u00f3n de tres capas con el fin de jugar una defensa perfecta.<\/p>\n
Es la programaci\u00f3n inteligente del primer nivel el punto ciego de la mayor\u00eda de la gente<\/strong>Lo primero que hay que hacer es comprar un buen nodo de limpieza y todo ir\u00e1 bien. Muchos equipos piensan que si compran un buen nodo de limpieza, todo ir\u00e1 bien, pero no saben que si la estrategia de programaci\u00f3n no funciona, el tr\u00e1fico de ataque puede saturar directamente el enlace de vuelta a la fuente. El a\u00f1o pasado, cuando utilic\u00e9 el equilibrio de carga global de CDN5, configur\u00e9 una pol\u00edtica de programaci\u00f3n de tr\u00e1fico basada en ASN para programar autom\u00e1ticamente el tr\u00e1fico de las zonas sospechosas de ser origen de ataques a nodos de alta defensa:<\/p>\n Este conjunto de reglas me ayud\u00f3 a bloquear los ataques tentativos 70%, especialmente las peticiones procedentes del segmento ASN de una botnet t\u00edpica, que fueron desviadas directamente al cl\u00faster de alta defensa para su procesamiento. Curiosamente, el atacante cambi\u00f3 m\u00e1s tarde a utilizar los segmentos IP del proveedor de la nube para lanzar ataques, a\u00f1ad\u00ed las reglas de detecci\u00f3n basadas en caracter\u00edsticas del encabezado HTTP - el camino es alto, el diablo es alto ah.<\/p>\n La selecci\u00f3n t\u00e9cnica de la capa de limpieza de bordes determina directamente el techo de defensa<\/strong>Lo primero que me gustar\u00eda decir que no s\u00e9 cu\u00e1nto puedo hacer. No mire los vendedores CDN est\u00e1n soplando su propia capacidad de limpieza cu\u00e1ntos T, realmente a la prueba de presi\u00f3n cuando el rendimiento es muy diferente. El a\u00f1o pasado cuando hice la selecci\u00f3n de proveedores, saqu\u00e9 CDN5, CDN07 y 08Host para hacer la prueba de tr\u00e1fico real:<\/p>\n Simulando un ataque HTTP Flood de 500.000 QPS por segundo, la carga de la CPU de CDN07 se dispar\u00f3 repentinamente a m\u00e1s de 90%, y la latencia se deterior\u00f3 de 35ms a 800ms; 08Host activ\u00f3 directamente el mecanismo meltdown, y tambi\u00e9n salt\u00f3 CAPTCHA para los usuarios normales; por el contrario, el rendimiento de CDN5 me sorprendi\u00f3 ---. Su detecci\u00f3n din\u00e1mica de huellas dactilares puede de hecho mantener la latencia normal del negocio estable dentro de los 50ms.<\/p>\n La diferencia clave es el algoritmo de limpieza. La detecci\u00f3n tradicional basada en umbrales (por ejemplo, se activa cuando el n\u00famero de solicitudes por segundo supera el l\u00edmite) se elude con demasiada facilidad, y los ataques avanzados simulan ahora el comportamiento normal de los usuarios. La mejor soluci\u00f3n es utilizar modelos de aprendizaje autom\u00e1tico para realizar an\u00e1lisis de comportamiento, como la detecci\u00f3n de rastros de movimiento del rat\u00f3n, anomal\u00edas en la secuencia de acceso a la API, etc. Esta es la raz\u00f3n por la que la CDN profesional de alta defensa es 3 veces m\u00e1s cara que la propia protecci\u00f3n del proveedor de la nube: la gente realmente acierta con el algoritmo.<\/p>\n El ancho de banda el\u00e1stico es la \u00faltima defensa f\u00edsica<\/strong>Lo primero que quiero decir es que no voy a ser capaz de hacer eso. Dijo qu\u00e9 algoritmo qu\u00e9 estrategia, encuentro T ataques de nivel en \u00faltima instancia, mirar el ancho de banda duro poder. Pero la compra de ancho de banda fijo es pagar impuestos IQ, por lo general 95% tiempo ocioso quemar dinero. He comparado tres programas de elasticidad:<\/p>\n CDN5 adopta el modelo \u201cgarantizado + r\u00e1faga\u201d, pagando cuotas base mensuales de 2G, ancho de banda en r\u00e1faga a $0,12\/GB de facturaci\u00f3n. La prueba real fue golpeado cuando la capacidad se puede ampliar autom\u00e1ticamente a 2T, se estableci\u00f3 un ataque a gran escala costo de defensa de alrededor de 3000 d\u00f3lares EE.UU..08Host participado en el programa de agrupaci\u00f3n de ancho de banda, 100 clientes conjuntos para compartir clusters 10T, por lo general m\u00e1s barato, pero se encontr\u00f3 con un n\u00famero de clientes al mismo tiempo, cuando el ataque puede ser recursos revuelo. \u00a1El m\u00e1s lamentable es un conocido proveedores de nube, el contrato est\u00e1 escrito en la \u201cexpansi\u00f3n de la capacidad el\u00e1stica\u201d, realmente golpe\u00f3 cuando se tiene que levantar manualmente la aplicaci\u00f3n de trabajo - los atacantes no esperar a que pase por el proceso de aprobaci\u00f3n!<\/p>\n El movimiento asesino que mucha gente pasa por alto es el encubrimiento de la estaci\u00f3n de origen.<\/strong>. He visto demasiados equipos comprar una CDN de alta defensa pero exponer la tragedia de la IP de la estaci\u00f3n de origen. Los atacantes obtienen la IP real a trav\u00e9s de registros DNS hist\u00f3ricos, sniffing de certificados SSL e incluso b\u00fasqueda inversa de servidores de buz\u00f3n, salt\u00e1ndose directamente la alta defensa para penetrar en la estaci\u00f3n de origen. Hay que hacer todo el enlace para ocultarse:<\/p>\n Este conjunto de combinaciones de golpes hacia abajo, el a\u00f1o pasado llevamos un ataque r\u00e9cord de 1,2Tbps, la latencia de negocio aument\u00f3 s\u00f3lo 20ms. despu\u00e9s de que el grupo de ataque en Telegram escupi\u00f3: \u201ceste nodo CDN5 con la cebolla como, pelar una capa hay una capa\u201d.<\/p>\n Ahora voy a elegir el modelo, voy a dar prioridad a tres puntos: la capacidad de programaci\u00f3n global (al menos 30 nodos de limpieza), la razonabilidad de facturaci\u00f3n flexible (no puede repentina facturas por las nubes), el grado de automatizaci\u00f3n de la API (si para acoplar el sistema de monitoreo de construcci\u00f3n propia). Recientemente probado CDN07 en el rendimiento de Asia y el Pac\u00edfico es bueno, pero la latencia de los nodos europeos es alta; 08Host rentable para las nuevas empresas, pero la estabilidad de los grandes flujos de ser observado.<\/p>\n Por \u00faltimo, un punto s\u00f3lido: no hay 100% sistema seguro, CDN de alta defensa es s\u00f3lo para elevar el costo del ataque a la otra parte no puede permitirse. Ahora establecemos el umbral de defensa es 800Gbps - no para evitar m\u00e1s grande, pero midi\u00f3 el costo de los atacantes para alquilar este nivel de botnet ha superado el valor de nuestras p\u00e9rdidas de negocio. La seguridad es esencialmente una cuesti\u00f3n de econom\u00eda, as\u00ed que no se olvide de hacer los c\u00e1lculos.<\/p>","protected":false},"excerpt":{"rendered":" La primera vez que me hice cargo de un proyecto financiero, el jefe dio una palmada en el pecho y dijo: \u201cTenemos este volumen, que vendr\u00e1 a luchar ah\u201d, los resultados del tercer d\u00eda en la l\u00ednea, directamente golpeado a la auto-cerrado. Mensaje de texto de alarma recibida a las 3:00 de la ma\u00f1ana, todo el cl\u00faster de negocios completamente paralizado, los picos de tr\u00e1fico se dispararon a 200 veces la habitual - esta vez para entender, de alta defensa CDN no es opcional, sino una paja para salvar vidas. Hoy en d\u00eda los ataques DDoS hace tiempo que se han industrializado, basta con encontrar un mercado clandestino, 500 pueden comprar 24 horas sin parar ataques de tr\u00e1fico de clase G. \u00bfCrees que un conjunto de Cloudflare versi\u00f3n gratuita ser\u00e1 capaz de estar tranquilo? No estoy seguro de si voy a ser capaz de hacer eso, pero voy a ser capaz de hacerlo. El a\u00f1o pasado, un intercambio utilizado un CDN barato, fue la penetraci\u00f3n de inundaci\u00f3n TCP, el atacante incluso arrogante a la p\u00e1gina web oficial para colgar mensaje de chantaje. No creas en esos \u201cdefensa ilimitada\u201d falsa propaganda, realmente se encontr\u00f3 con un super grande<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1053","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1053","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1053"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1053\/revisions"}],"predecessor-version":[{"id":1072,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1053\/revisions\/1072"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1053"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1053"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1053"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1053"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}