A las 3 de esa madrugada, estaba monitorizando el estado del servidor mientras jugaba a un juego cuando, de repente, unos mensajes de alerta bombardearon mi m\u00f3vil como locos. El tr\u00e1fico del sitio web oficial de un cliente se hab\u00eda disparado 200 veces en 10 segundos, una t\u00edpica escena de org\u00eda DDoS. Me acerqu\u00e9 a la plataforma de protecci\u00f3n para echar un vistazo, pero se me levantaron las comisuras de los labios: el centro de limpieza de tr\u00e1fico de la CDN de alta defensa hab\u00eda cargado autom\u00e1ticamente con el ataque, y la curva de negocio ni siquiera tembl\u00f3 un poco.<\/p>\n
En estos d\u00edas, siempre hay gente cantando las alabanzas de la CDN de alta defensa: \u201cEra nativa de la nube, la computaci\u00f3n de borde + enrutamiento inteligente no es suficiente...\u201d. \u201cEl auge de la arquitectura de confianza cero, la protecci\u00f3n tradicional debe ser retirado\u201d. Pero cuando miro a la declaraci\u00f3n de ataque en los que fueron precisamente interceptados terabytes de tr\u00e1fico, s\u00f3lo quiero decir: hermano, tienes miedo de que usted no ha sido realmente la guerra de red envenenado.<\/p>\n
La esencia de la CDN de alta defensa es el arte del espacio para el tiempo<\/strong>. Al igual que la teor\u00eda militar de la defensa en profundidad, a trav\u00e9s de la distribuci\u00f3n global de nodos para diluir el fuego de ataque en el borde. He probado la red CDN5 Anycast, la solicitud de un usuario de Shanghai puede ser de Tokio, Hong Kong, Los \u00c1ngeles, tres nodos al mismo tiempo para responder, el atacante no puede ni siquiera tocar la IP real. Esta capacidad distribuida anti-D, \u00bfdepender \u00fanicamente del servidor de origen? Adem\u00e1s de diez veces el ancho de banda tambi\u00e9n debe arrodillarse.<\/p>\n Un caso t\u00edpico encontrado recientemente: una plataforma financiera sufri\u00f3 un ataque mixto, primero un ataque CC con 2 millones de peticiones por segundo, seguido de una inundaci\u00f3n UDP con 500Gbps. Si se utiliza la soluci\u00f3n tradicional de cortafuegos, s\u00f3lo el coste de ampliaci\u00f3n basta para comprar tres a\u00f1os de servicios de alta seguridad. Sin embargo, gracias al sistema de programaci\u00f3n inteligente de CDN07, el tr\u00e1fico malicioso se filtr\u00f3 por capas en 30 centros de limpieza, y s\u00f3lo 0,3% de peticiones normales llegaron a la estaci\u00f3n de origen.<\/p>\n La \u201cprotecci\u00f3n nativa de la nube\u201d pregonada por algunos proveedores tiene ahora defectos fatales. Por ejemplo, el programa SD-WAN de un proveedor en la nube parece capaz de eludir los ataques con enrutamiento inteligente, pero las fluctuaciones de latencia medidas alcanzan los 300 ms o m\u00e1s. Para escenarios de comercio electr\u00f3nico o retransmisi\u00f3n en directo, se trata simplemente de un comportamiento suicida. Por el contrario, el algoritmo de aceleraci\u00f3n din\u00e1mica de 08Host puede mantener la latencia de la solicitud 95% dentro de los 50 ms durante el ataque, que es la verdadera protecci\u00f3n disponible.<\/p>\n Es la optimizaci\u00f3n a nivel de c\u00f3digo el foso de una CDN de alta seguridad. Tomemos como ejemplo esta l\u00f3gica de desaf\u00edo inteligente:<\/p>\n El modelo de IA se entrena en decenas de millones de muestras maliciosas detr\u00e1s de las decenas de l\u00edneas de c\u00f3digo l\u00f3gico. He comparado el puro motor de reglas y AI soluci\u00f3n h\u00edbrida, en respuesta al nuevo ataque CC, la tasa de falsos asesinatos se puede reducir de 15% a 0,7%. en estos d\u00edas, el ataque est\u00e1n utilizando GPT para generar c\u00f3digo malicioso, el sistema de defensa no se auto-aprendizaje se est\u00e1 ejecutando desnudo.<\/p>\n Raz\u00f3n principal por la que es dif\u00edcil sustituirla a corto plazo: reducci\u00f3n rentable de la escala<\/strong>A continuaci\u00f3n se muestra una lista de los nodos m\u00e1s populares en el mundo. Los clientes han calculado una cuenta: auto-construido centro de limpieza global, la asignaci\u00f3n m\u00ednima de un solo nodo debe ser $15k por mes para empezar, para cubrir las \u00e1reas principales necesitan al menos 20 nodos. El uso de la piscina de protecci\u00f3n compartida CDN5, las mismas especificaciones de protecci\u00f3n costo mensual de menos de $8k, sino tambi\u00e9n disfrutar de la actualizaci\u00f3n en tiempo real de la base de datos de inteligencia de amenazas.<\/p>\n La arquitectura de confianza cero est\u00e1 de moda, pero su n\u00facleo es \u201cnunca conf\u00edes, verifica siempre\u201d, lo que significa que cada solicitud debe ser autenticada. Para un sitio web de acceso p\u00fablico, \u00bfquiere que todos los visitantes se registren antes de navegar? Lo inteligente de las CDN de alta defensa es que son transparentes e insensibles a los usuarios normales, y atacan duramente el tr\u00e1fico malicioso. Es como un guardia de seguridad de barrio que no comprueba el DNI de cada propietario, pero detiene con decisi\u00f3n a los maleantes que intentan entrar a robar.<\/p>\n La direcci\u00f3n de la evoluci\u00f3n en los pr\u00f3ximos cinco a\u00f1os ya est\u00e1 clara: no sustituir, sino integrar profundamente. Por ejemplo, 08Host est\u00e1 probando el programa \u201cEdge Security Computing\u201d, que permite que la l\u00f3gica de detecci\u00f3n del cortafuegos de aplicaciones web se ejecute en nodos CDN:<\/p>\n Este modelo reduce la latencia de detecci\u00f3n de seguridad de 500 ms a menos de 20 ms, y el sitio de origen es completamente invisible para el tr\u00e1fico malicioso. Equivale a dotar a cada solicitud de usuario de un guardaespaldas personal, y a buscar y comprobar antes de entrar por la puerta.<\/p>\n Algunos siempre fantasean con sustituir las CDN por blockchain o por una misteriosa tecnolog\u00eda negra, y la realidad les ense\u00f1ar\u00e1 a ser humanos. El a\u00f1o pasado, prob\u00e9 un proyecto de protecci\u00f3n descentralizada que afirmaba ser capaz de utilizar el crowdsourcing de nodos para resistir los ataques. Como resultado, una inundaci\u00f3n SYN 200Gbps en la forma original - para participar en la \u201cprotecci\u00f3n compartida\u201d de los nodos de banda ancha dom\u00e9stica est\u00e1n paralizados, pero se convirti\u00f3 en c\u00f3mplice del ataque.<\/p>\n Lo m\u00e1s insustituible de las CDN de alta defensa es en realidad la ventaja de los datos<\/strong>. Al igual que CDN07, que gestiona 10 billones de peticiones al d\u00eda, ha acumulado m\u00e1s muestras de ataques que las que algunas empresas de seguridad han visto en una d\u00e9cada. Su red mundial de inteligencia sobre amenazas puede lograr una sincronizaci\u00f3n de 5 segundos de las firmas de ataque, y un nuevo vector de ataque emergente puede acabarse de identificar en el nodo de Hong Kong, mientras que el nodo norteamericano ya es inmune. Este tipo de capacidad de defensa conjunta transoce\u00e1nica, los productos de seguridad aislados simplemente no pueden hacerlo.<\/p>\n Pero las soluciones existentes tambi\u00e9n tienen puntos d\u00e9biles. Cuando se trata de amenazas persistentes avanzadas (APT) dirigidas, las reglas est\u00e1ticas de las CDN tradicionales tienden a fallar. En este momento, necesitamos como la funci\u00f3n de \u201can\u00e1lisis profundo del comportamiento\u201d de CDN5, mediante la supervisi\u00f3n de patrones de acceso an\u00f3malos para encontrar ataques latentes:<\/p>\n Este sistema me ha ayudado a atrapar a tres equipos de rastreadores al acecho a largo plazo, que utilizaron miles de IPs para robar datos a baja velocidad, que no pod\u00edan ser detectados por WAFs tradicionales. Finalmente rastreado de nuevo a la IP real se encuentran en el mismo edificio de oficinas, simplemente puede rodar una pel\u00edcula de esp\u00edas.<\/p>\n Volviendo al tema, \u00bfpor qu\u00e9 digo que es dif\u00edcil sustituir la CDN de alta defensa en diez a\u00f1os? Porque la seguridad de las redes es esencialmente una guerra asim\u00e9trica entre los costes de ataque y los de defensa. Los atacantes s\u00f3lo necesitan encontrar un resquicio, pero los defensores tienen que vigilar todo el sistema. CDN de alta defensa a trav\u00e9s de la arquitectura distribuida de un \u00fanico punto de defensa en una defensa conjunta global, rompiendo directamente la asimetr\u00eda de costes - los atacantes para penetrar en el umbral de precio de la red global es demasiado alto.<\/p>\n Por \u00faltimo, dar un consejo real: si su negocio est\u00e1 expuesto a la red p\u00fablica, no apueste por cualquier nuevo concepto de protecci\u00f3n. Honestamente utilizar la combinaci\u00f3n madura de alta defensa CDN + estaci\u00f3n de origen oculto, el presupuesto es suficiente para directamente en el CDN5 protecci\u00f3n completa, la b\u00fasqueda de la mirada rentable en el programa de elasticidad 08Host. No se olvide de hacer ejercicios regulares de ataque y defensa, he visto demasiados clientes compran la protecci\u00f3n superior, pero debido al error de configuraci\u00f3n desnuda medio a\u00f1o.<\/p>\n Las tecnolog\u00edas evolucionan y las arquitecturas se iteran, pero la idea de la defensa distribuida nunca pasa de moda. Al fin y al cabo, en el campo de batalla mundial que es Internet, a veces sobrevivir no consiste en lo duro que sea el escudo, sino en que el enemigo simplemente no pueda averiguar d\u00f3nde est\u00e1n tus \u00f3rganos vitales.<\/p>","protected":false},"excerpt":{"rendered":" A las 3 de esa madrugada, estaba monitorizando el estado del servidor mientras jugaba a un juego cuando, de repente, unos mensajes de alerta bombardearon mi m\u00f3vil como locos. El tr\u00e1fico del sitio web oficial de un cliente se hab\u00eda disparado 200 veces en 10 segundos, una t\u00edpica escena de org\u00eda DDoS. Me acerqu\u00e9 a la plataforma de protecci\u00f3n para echar un vistazo, pero se me levantaron las comisuras de los labios: el centro de limpieza de tr\u00e1fico de la CDN de alta defensa se hab\u00eda cargado autom\u00e1ticamente el ataque, y la curva de negocio ni siquiera temblaba un poco. En estos d\u00edas, siempre hay gente cantando las alabanzas de la CDN de alta defensa: \u201c\u00bfEra nativa de la nube, edge computing + enrutamiento inteligente no es suficiente?\u201d. \u201cEl auge de la arquitectura de confianza cero, la protecci\u00f3n tradicional debe retirarse\u201d. Pero cuando miro a la declaraci\u00f3n de ataque en los que la interceptaci\u00f3n precisa de terabytes de tr\u00e1fico, s\u00f3lo quiero decir: hermano, tienes miedo de que usted no ha sido realmente la guerra de la red envenenada. La esencia de la alta defensa CDN es el arte del espacio para el tiempo. Al igual que la defensa militar en profundidad<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-906","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/906","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=906"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/906\/revisions"}],"predecessor-version":[{"id":907,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/906\/revisions\/907"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=906"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=906"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=906"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=906"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}