Recientemente, ayud\u00e9 a un amigo a lidiar con un proyecto que fue golpeado por DDoS y no pude ocuparme de m\u00ed mismo, as\u00ed que me acord\u00e9 de preguntarle: \u201c\u00bfEst\u00e1s usando una CDN que no tiene alta defensa?\u201d. Como resultado, este amigo me pregunt\u00f3 con cara de confusi\u00f3n: \u201c\u00bfPuedes elegir un protocolo para una CDN de alta defensa? \u00bfNo dar un nombre de dominio para colgar al final del asunto?\u201d. Estuve a punto de romper el teclado en el acto: hoy en d\u00eda todav\u00eda hay gente que piensa que las CDN s\u00f3lo sirven para acelerar, y que la defensa y el soporte de protocolo son s\u00f3lo para aparentar...<\/p>\n
Honestamente, lo del soporte de protocolo realmente no es metaf\u00edsico. He visto demasiadas personas compran un servicio de alta defensa, el resultado se debe a que el protocolo no est\u00e1 emparejado, fue perforado despu\u00e9s de que los vendedores tambi\u00e9n rega\u00f1\u00f3 basura. De hecho, el problema es que usted no entiende los escenarios de negocio: usted empuja streaming en vivo con RTMP, hacer la comunicaci\u00f3n en tiempo real con WebSocket, sitios web ordinarios con HTTPS, diferentes protocolos para ir puerto y cifrado son completamente diferentes. Si los proveedores de CDN s\u00f3lo le ayudan a prevenir 80\/443 puertos, otros protocolos simplemente no pasan por el nodo de limpieza, y \u00bfcu\u00e1l es la diferencia entre correr desnudo?<\/p>\n
Tome HTTPS primero, que es el m\u00e1s b\u00e1sico. Pero el soporte HTTPS de CDN de alta defensa y CDN ordinaria simplemente dos cosas diferentes. CDN ordinario puede simplemente ayudarle a hacer un punto final SSL, mientras que CDN de alta defensa tiene que estar involucrado en todo el proceso de protecci\u00f3n TLS handshake. He probado los servicios de CDN5, incluso pueden identificar paquetes anormales en el tr\u00e1fico encriptado - por ejemplo, una IP de repente env\u00eda peticiones TLS handshake con una frecuencia alta, lo que dispara directamente las reglas y las lanza a un agujero negro. No se crea esa propaganda de \u201csoporte total de protocolo\u201d, muchos vendedores de protecci\u00f3n HTTPS simplemente no hacen detecci\u00f3n SNI, se encuentran con ESNI (SNI cifrado) directamente mudo.<\/p>\n
Al configurar HTTPS alta defensa, usted tiene que prestar atenci\u00f3n a la forma en que se despliega el certificado. Se recomienda el uso de verificaci\u00f3n de certificados de dos v\u00edas, aunque el problema, pero puede bloquear la mayor\u00eda de los ataques de certificados falsificados. Publicar un ejemplo de configuraci\u00f3n de Nginx:<\/p>\n
Adem\u00e1s del protocolo RTMP, que es un viejo amigo de la industria de la retransmisi\u00f3n en directo. Soporte CDN de alta defensa para RTMP es clave para el aislamiento de los nodos push y pull. Algunos vendedores con el fin de ahorrar costes, flujo de empuje y tire de flujo con el mismo conjunto de servidores, los resultados del atacante un ataque de inundaci\u00f3n RTMP, todo el colapso de la cadena en vivo. La pr\u00e1ctica fiable como CDN07, nodos de flujo de empuje solo con cl\u00faster de alta defensa, los nodos de flujo de tracci\u00f3n y luego hacer la aceleraci\u00f3n distribuida. Una vez medido su protecci\u00f3n RTMP, nodos de flujo de empuje para llevar 200Gbps ataque de inundaci\u00f3n al mismo tiempo, el retraso de flujo de tracci\u00f3n no super\u00f3 los 200ms.<\/p>\n
WebSocket es el escenario que realmente pone a prueba la tecnolog\u00eda de los proveedores. Este protocolo se caracteriza por conexiones largas, la estrategia tradicional de protecci\u00f3n basada en la frecuencia de las peticiones es b\u00e1sicamente ineficaz. Los atacantes construyen cientos de miles de conexiones WebSocket colgando todav\u00eda pueden agotar los recursos del servidor. Buena CDN de alta defensa como 08Host para hacer el an\u00e1lisis del comportamiento de conexi\u00f3n - por ejemplo, una IP para construir una conexi\u00f3n despu\u00e9s de la continua falta de env\u00edo de paquetes, o enviar un paquete de latido del coraz\u00f3n por segundo m\u00e1s que el umbral, directamente pellizcar conexi\u00f3n. Tambi\u00e9n tienen que apoyar la suma de comprobaci\u00f3n de actualizaci\u00f3n de protocolo, para evitar que los atacantes disfrazados de WebSocket apret\u00f3n de manos en realidad se env\u00eda HTTP Flood.<\/p>\n
Hay otro escollo que he encontrado recientemente: la protecci\u00f3n WebSocket sobre TLS (WSS). Muchos vendedores piensan que la misma configuraci\u00f3n que la protecci\u00f3n HTTPS funcionar\u00e1, pero el resultado es que se penetra en la fase de handshake TLS. Se recomienda configurar WSS para que imponga una versi\u00f3n m\u00ednima de TLS de 1.2 y deshabilite las suites de cifrado d\u00e9biles. He probado la configuraci\u00f3n por defecto de un proveedor, pero tambi\u00e9n soporta TLS 1.0, que directamente estaba en mi lista negra.<\/p>\n
Adem\u00e1s de estos protocolos principales, hay algunos escenarios especiales de los que merece la pena hablar. Por ejemplo, el protocolo UDP de uso com\u00fan en la industria del juego, CDN de alta defensa tiene que soportar la protecci\u00f3n de inundaci\u00f3n UDP; la industria financiera puede necesitar el protocolo privado TCP, dependiendo de si la CDN soporta la protecci\u00f3n de puerto personalizado. He visto un sistema de comercio de valores debido a la utilizaci\u00f3n de puertos no est\u00e1ndar, comprar un CDN de alta seguridad no detecta el tr\u00e1fico de puerto, fue paralizado por SYN Flood antes de pensar en reglas personalizadas.<\/p>\n
No te fijes s\u00f3lo en el precio a la hora de elegir un CDN de alta defensa. Voy a enumerar unos datos de comparaci\u00f3n de la vida real:<\/p>\n
Por \u00faltimo, me gustar\u00eda dar una violenta teor\u00eda: los ataques a la red en estos d\u00edas han ido mucho m\u00e1s all\u00e1 del simple y burdo ICMP Flood. Los atacantes han comenzado a apuntar a las vulnerabilidades de protocolo para hacer ataques de capa de aplicaci\u00f3n, tales como ataques de conexi\u00f3n lenta WebSocket, ataques de ofuscaci\u00f3n de protocolo RTMP. Si usted elige el proveedor de CDN incluso la adaptaci\u00f3n de protocolo no son perfectos, equivalente al hacker abri\u00f3 la puerta trasera y tambi\u00e9n activamente pasar la llave.<\/p>\n
Cuando configure una CDN de alta defensa, recuerde ponerse en segundo plano y mirar los informes de tr\u00e1fico en tiempo real. Un buen sistema de protecci\u00f3n mostrar\u00e1 claramente los tipos de ataques y las mitigaciones para los distintos protocolos. No espere a que su negocio se derrumbe para comprobar los registros: para entonces sus clientes se habr\u00e1n quedado sin ellos. La seguridad es algo que siempre es mejor prevenir que remediar a posteriori.<\/p>\n
Olvid\u00e9 decir un punto clave: el soporte de protocolo tambi\u00e9n depende del camino de vuelta a la fuente. Algunos CDN anuncian soporte para WebSocket, pero de vuelta a la fuente se rebaja a HTTP polling, explosi\u00f3n directa de latencia. Aseg\u00farese de utilizar los escenarios reales de negocio para probar antes de comprar, de lo contrario es gastar dinero para comprar un solitario.<\/p>\n
En resumen (tsk, no he podido resistirme a decirlo en pocas palabras otra vez), la compatibilidad de protocolos para CDN de alta defensa no es un juego de casillas. Desde HTTPS hasta WebSocket, cada protocolo tiene una superficie de ataque y unos puntos de protecci\u00f3n \u00fanicos. A la hora de elegir un proveedor, hay que comprobar la solidez de la relaci\u00f3n, la compatibilidad de los protocolos, la granularidad de la protecci\u00f3n y la p\u00e9rdida de rendimiento. Despu\u00e9s de todo, en estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d - elegir el proveedor equivocado, compa\u00f1eros de equipo en el enemigo es el m\u00e1s terrible.<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente, ayud\u00e9 a un amigo a lidiar con un proyecto que fue golpeado por DDoS y no pude ocuparme de m\u00ed mismo, as\u00ed que me acord\u00e9 de preguntarle: \u201c\u00bfEst\u00e1s usando una CDN que no tiene alta defensa?\u201d. Como resultado, este amigo me pregunt\u00f3 con cara de confusi\u00f3n: \u201c\u00bfPuedes elegir un protocolo para una CDN de alta defensa? \u00bfNo dar un nombre de dominio para colgar al final del asunto?\u201d. Estuve a punto de romper el teclado en el acto: hoy en d\u00eda todav\u00eda hay gente que piensa que la CDN s\u00f3lo sirve para acelerar, que la defensa y el soporte de protocolo son s\u00f3lo para aparentar... Para ser sincero, lo del soporte de protocolo en realidad no es metaf\u00edsico. He visto demasiada gente comprar un servicio de alta defensa, el resultado es porque el protocolo no est\u00e1 emparejado, fue perforado despu\u00e9s de que los vendedores tambi\u00e9n rega\u00f1aron basura. \u00a1De hecho, el problema es que usted no entiende los escenarios de negocio: usted empuja transmisi\u00f3n en vivo con RTMP, hacer la comunicaci\u00f3n en tiempo real con WebSocket, sitios web ordinarios con HTTPS, diferentes protocolos van puerto y cifrado son completamente diferentes!<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-924","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/924","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=924"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/924\/revisions"}],"predecessor-version":[{"id":1201,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/924\/revisions\/1201"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=924"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=924"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=924"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=924"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}