La experiencia de ser despertado por una alarma a las 3 de la madrugada es algo que la fraternidad de la seguridad entiende. El tablero de mandos que de repente salt\u00f3 la curva de tr\u00e1fico, como un electrocardiograma fibrilaci\u00f3n ventricular - o el usuario estall\u00f3, o el hacker est\u00e1 llegando. La \u00faltima vez que una plataforma social a causa de las publicaciones malintencionadas de los cepillos provoc\u00f3 una avalancha de accidentes en la base de datos, acompa\u00f1\u00e9 a su equipo a pasar tres noches en vela para restaurar los datos. Esto me hace entender completamente: el firewall tradicional en los ataques de capa de aplicaci\u00f3n frente a la muralla de la ciudad es simplemente papel.<\/p>\n
Hoy en d\u00eda, el tr\u00e1fico malicioso ha ido mucho m\u00e1s all\u00e1 del simple y burdo DDoS. Esa gente es muy sofisticada, utiliza pools de proxy para rotar IP, simular el ritmo de personas reales deslizando la pantalla e incluso imitar el intervalo de clics de usuarios normales. El a\u00f1o pasado atrapamos a una banda de rastreadores, su encabezado de solicitud, incluso las huellas dactilares del navegador y la resoluci\u00f3n de pantalla se falsifican exactamente igual que las personas reales. \u00bfS\u00f3lo conf\u00edan en la restricci\u00f3n de la frecuencia IP? No seas ingenuo, utilizan decenas de miles de IP din\u00e1micas, \u00bfpuedes bloquearlas?<\/p>\n
He visto a demasiadas empresas amontonar ciegamente cortafuegos de hardware. Compran un dispositivo de un mill\u00f3n de d\u00f3lares y lo tiran en la sala de servidores, pensando que pueden estar tranquilos. Como resultado, los hackers cambian a ataques distribuidos de baja velocidad, cada IP solicita dos o tres veces por minuto, eludiendo perfectamente la regla del umbral. Lo realmente malo es que estas peticiones se mezclan con el tr\u00e1fico normal, drenando lentamente los recursos del servidor como un c\u00e1ncer. Para cuando se detecta una anomal\u00eda en los registros, el pool de conexiones a la base de datos ya est\u00e1 lleno.<\/p>\n
El reconocimiento del comportamiento es la clave para romper el hielo. Hay una diferencia fundamental entre los modos de funcionamiento de un usuario real y un robot: las personas reales navegan con pausas aleatorias, trayectorias del rat\u00f3n con arcos y velocidades de desplazamiento con variaciones r\u00e1pidas y lentas. El comportamiento de los bots es como una l\u00ednea recta trazada por una regla: demasiado perfecta pero expuesta. El a\u00f1o pasado, le di a una plataforma de citas para hacer la protecci\u00f3n, mediante el an\u00e1lisis de la curva de aceleraci\u00f3n del movimiento del rat\u00f3n, atrapado m\u00e1s de 3.000 operaci\u00f3n real falsa de la cuenta de registro a granel.<\/p>\n
Este sistema de huellas de comportamiento se ejecutar\u00e1 en los nodos de borde de la CDN. Nunca hay que esperar a que el tr\u00e1fico vuelva al servidor para ser procesado, momento en el que los costes de ancho de banda se habr\u00e1n disparado. Una buena CDN deber\u00eda ser como un inspector de seguridad experimentado, capaz de predecir el riesgo a trav\u00e9s de las caracter\u00edsticas de comportamiento en la entrada. He probado el m\u00f3dulo de protecci\u00f3n inteligente de CDN5 y he descubierto que puede tardar menos de 5 milisegundos en completar el an\u00e1lisis del comportamiento de una sola petici\u00f3n, y la tasa de falsas alarmas se controla en 0,01% o menos.<\/p>\n
Veamos un ejemplo de configuraci\u00f3n real. La siguiente configuraci\u00f3n del motor de reglas calcula la fiabilidad de las solicitudes a partir de 12 dimensiones simult\u00e1neamente:<\/p>\n
El an\u00e1lisis del comportamiento no basta, hay que combinarlo con un control inteligente de la IP. Pero no bloquee todo el segmento de IP tontamente. El a\u00f1o pasado, una empresa de comercio electr\u00f3nico bloque\u00f3 por error toda la direcci\u00f3n de clase B de una universidad, lo que provoc\u00f3 el bloqueo de todos los usuarios objetivo de una campa\u00f1a promocional. La pr\u00e1ctica madura ahora es el sistema de puntuaci\u00f3n de cr\u00e9dito IP, que es como construir un perfil de salud para cada IP.<\/p>\n
Me impresion\u00f3 el sistema de cr\u00e9dito de IP de CDN07. Punt\u00faan IPs en dimensiones como registros hist\u00f3ricos de comportamiento, reputaci\u00f3n ASN, anomal\u00eda de ubicaci\u00f3n geogr\u00e1fica, e incluso detectan si se est\u00e1n ejecutando en un entorno virtualizado. He visto un caso en el que una IP activ\u00f3 una alerta de alto riesgo en su primera solicitud, y al comprobarlo se encontr\u00f3 que era una instancia EC2 que acababa de ser solicitada a Amazon AWS - \u00bfc\u00f3mo podr\u00eda un usuario normal utilizar un host en la nube para birlar un sitio de redes sociales?<\/p>\n
En la pr\u00e1ctica, es mejor utilizar el mecanismo de desaf\u00edo en lugar del bloqueo directo. Por ejemplo, devolver un c\u00f3digo de estado 418 (Soy una tetera) por una solicitud sospechosa no afectar\u00e1 a los usuarios normales, pero obligar\u00e1 al robot a mostrar su verdadera cara. Este c\u00f3digo de estado existe en el est\u00e1ndar RFC, utilizado espec\u00edficamente para burlarse del programa de ataque automatizado. He implementado esta l\u00f3gica en mi sistema de protecci\u00f3n 08Host:<\/p>\n
Nunca te dejes llevar por un \u00fanico medio de protecci\u00f3n. El incidente del a\u00f1o pasado en el que se eludi\u00f3 una plataforma de v\u00eddeo es la lecci\u00f3n: los hackers utilizaron el n\u00facleo real del navegador + scripts automatizados para simular a la perfecci\u00f3n el comportamiento humano. Al final, s\u00f3lo se pudo detener gracias a m\u00faltiples capas de validaci\u00f3n: primero se comprob\u00f3 la coherencia de la huella digital de WebGL, despu\u00e9s se verificaron las anomal\u00edas de desviaci\u00f3n del reloj y, por \u00faltimo, se utiliz\u00f3 la validaci\u00f3n no intrusiva del rastro del rat\u00f3n. Una vez superados estos tres obst\u00e1culos, el coste de simular un navegador es m\u00e1s caro que contratar a una persona real para que haga clic en \u00e9l.<\/p>\n
Las comparaciones de datos son muy reveladoras. A continuaci\u00f3n se enumeran los principales cambios en los datos desde que el a\u00f1o pasado migramos a una arquitectura de protecci\u00f3n multicapa:<\/p>\n
La tasa de bloqueo de solicitudes maliciosas aument\u00f3 de 671 TP3T a 99,21 TP3T, los falsos positivos disminuyeron de 3,11 TP3T a 0,051 TP3T y los costes de ancho de banda se redujeron en 411 TP3T (ya que el tr\u00e1fico malicioso se elimin\u00f3 justo en el borde). Lo m\u00e1s notable son los mensajes de alerta en el grupo de operaciones, que han pasado de cientos al d\u00eda a unos pocos a la semana. Ahora los ingenieros de guardia por fin pueden dormir toda la noche.<\/p>\n
Algunos de mis clientes siempre me preguntan si deber\u00eda construir su propio sistema de protecci\u00f3n. A menos que tengas un equipo de seguridad profesional y nodos globales, no lo tires. He visto startups que se compromet\u00edan con su propia base de reglas y, por culpa de un mantenimiento inoportuno, las reglas no se actualizaban en medio a\u00f1o y se las llevaba por delante una oleada de nuevos tipos de ataques. Las redes de inteligencia sobre amenazas de los proveedores profesionales de CDN son multiplataforma, como CDN5, que gestiona billones de peticiones cada d\u00eda y ve patrones de ataque m\u00e1s completos que cualquier otra empresa.<\/p>\n
Por \u00faltimo, me gustar\u00eda compartir una lecci\u00f3n aprendida con sangre y l\u00e1grimas: \u00a1debemos hacer pruebas a escala de grises antes de conectarnos! Una vez activamos la totalidad de las reglas de protecci\u00f3n sin realizar pruebas y, como resultado, debido a una forma especial de cargar un archivo CSS, se juzg\u00f3 err\u00f3neamente como una solicitud maliciosa, lo que provoc\u00f3 una falsa representaci\u00f3n del estilo de todo el sitio. Ahora nuestra mejor pr\u00e1ctica es: primero con 10% tr\u00e1fico de prueba durante 24 horas, analizar los registros de falsas alarmas para ajustar las reglas, y luego utilizar 48 horas para ampliar gradualmente la proporci\u00f3n de tr\u00e1fico.<\/p>\n
La seguridad es esencialmente un juego de ataque y defensa. Las reglas que funcionan hoy pueden saltarse ma\u00f1ana. As\u00ed que no te limites a establecer una regla y dejarla estar. Yo leo el informe semanal de inteligencia sobre amenazas todas las semanas y hago una auditor\u00eda mensual de las reglas de protecci\u00f3n. Hoy en d\u00eda, incluso las CDN tienen que \u201cprevenir a los compa\u00f1eros de equipo\u201d: a veces, los departamentos de negocio lanzan repentinamente actividades promocionales, los cambios repentinos en los patrones de tr\u00e1fico tambi\u00e9n pueden activar las reglas de seguridad.<\/p>\n
El CDN de alta defensa real debe ser como un guardaespaldas experimentado: puede identificar con precisi\u00f3n los clientes VIP (usuarios normales), ver a trav\u00e9s de los asesinos mezclados en la multitud (solicitudes maliciosas), sino tambi\u00e9n para ajustar con flexibilidad la estrategia de control de seguridad (reglas din\u00e1micas). Recuerde que todos los medios t\u00e9cnicos para servir a la empresa, no en la b\u00fasqueda de la seguridad absoluta para hacer que la experiencia del usuario como la seguridad del aeropuerto - quitarse los zapatos y desabrocharse el cintur\u00f3n y sacar el ordenador, los usuarios normales, tarde o temprano se quedan sin.<\/p>\n
(A petici\u00f3n de los clientes, CDN5, CDN07, 08Host son para fines de demostraci\u00f3n t\u00e9cnica, por favor seleccione el proveedor de servicios adecuado de acuerdo con el despliegue real de las necesidades del negocio)<\/p>","protected":false},"excerpt":{"rendered":"
La experiencia de ser despertado por una alarma a las 3 de la madrugada es algo que la fraternidad de la seguridad entiende. El tablero de mandos que de repente salt\u00f3 la curva de tr\u00e1fico, como un electrocardiograma fibrilaci\u00f3n ventricular - o el usuario estall\u00f3, o el hacker est\u00e1 llegando. La \u00faltima vez que una plataforma social a causa de las publicaciones malintencionadas de los cepillos provoc\u00f3 una avalancha de accidentes en la base de datos, acompa\u00f1\u00e9 a su equipo a pasar tres noches en vela para restaurar los datos. Esto me hace entender completamente: el firewall tradicional frente a los ataques de la capa de aplicaci\u00f3n, es simplemente una pared de papel. Hoy en d\u00eda, el tr\u00e1fico malicioso no es un simple y burdo DDoS. La banda es muy sofisticada, con un pool de proxy rotando IP, simulando el ritmo de personas reales deslizando la pantalla, e incluso imitando el intervalo de clicks del usuario normal. El a\u00f1o pasado pillamos a una banda de rastreadores, su cabecera de petici\u00f3n, incluso las huellas del navegador y la resoluci\u00f3n de pantalla est\u00e1n falsificadas exactamente igual que las personas reales. \u00bfConfiando s\u00f3lo en las restricciones de frecuencia IP?<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1062","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1062","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1062"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1062\/revisions"}],"predecessor-version":[{"id":1063,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1062\/revisions\/1063"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1062"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1062"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1062"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1062"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}