Recientemente, un cliente lleg\u00f3 a la puerta, dijo que su interfaz de reproducci\u00f3n de la plataforma de v\u00eddeo siempre se est\u00e1 quedando, las quejas de los usuarios estallan, un registro de verificaci\u00f3n, buen tipo, el tr\u00e1fico de ataque CC como una inundaci\u00f3n m\u00e1s, directamente al servidor seco mentira. He encontrado que la prueba real, este a\u00f1o el sitio de v\u00eddeo es realmente una zona de desastre, el atacante elige la interfaz de reproducci\u00f3n para empezar, porque el tr\u00e1fico aqu\u00ed es grande, consumen m\u00e1s recursos, casualmente llegar a un ataque CC puede hacer que el ancho de banda CDN tabla de r\u00e1faga, la factura del proveedor de servicios de volar, la experiencia del usuario a la parte inferior del valle. No creo que el llamado programa de \u201cprotecci\u00f3n universal\u201d, la especificidad de la escena de v\u00eddeo determina que usted tiene que utilizar la defensa precisa, de lo contrario es una p\u00e9rdida de dinero, sino tambi\u00e9n golpeado.<\/p>\n
Cuando se trata de ataques CC, no son tan de fuerza bruta como los DDoS, sino que simulan las peticiones normales de los usuarios y rozan fren\u00e9ticamente las interfaces, como las llamadas frecuentes a las URL de reproducci\u00f3n de v\u00eddeo, lo que provoca el agotamiento de los recursos del servidor. Las interfaces de reproducci\u00f3n de v\u00eddeo son especialmente vulnerables porque suelen implicar grandes transferencias de archivos, comprobaciones de autenticaci\u00f3n y gesti\u00f3n de sesiones, y los atacantes pueden desencadenar f\u00e1cilmente una alta concurrencia simplemente utilizando scripts para hacer peticiones por lotes, disparando la CPU y la memoria. Me he encontrado con una plataforma, el ataque pico QPS se precipit\u00f3 a m\u00e1s de 100.000, los usuarios normales simplemente no pueden cargar el v\u00eddeo, cach\u00e9 CDN est\u00e1n rotos, la estaci\u00f3n de origen back-end directamente 504 tiempo de espera. Este problema se analiza, el n\u00facleo radica en la falta de limitaci\u00f3n de la tasa y la verificaci\u00f3n inteligente de la interfaz, junto con la configuraci\u00f3n de la CDN es demasiado general, no para la ruta de v\u00eddeo para hacer el refinamiento de las reglas.<\/p>\n
Para la soluci\u00f3n, recomiendo utilizar una CDN de alta defensa combinada con reglas WAF personalizadas para lograr una defensa precisa. En primer lugar, hay que aislar la interfaz de reproducci\u00f3n de v\u00eddeo, como todas las solicitudes de ruta `\/api\/video\/play` se manejan por separado, y establecer un estricto control de frecuencia en la CDN. CDN5, por ejemplo, tienen una funci\u00f3n de \u201cprotecci\u00f3n CC inteligente\u201d, he probado, puede basarse en IP, User-Agent y Referer para hacer an\u00e1lisis multidimensional, bloquear autom\u00e1ticamente las solicitudes anormales. Configuraci\u00f3n, he a\u00f1adido una regla en la consola: para la ruta `\/video\/`, m\u00e1s de 50 solicitudes por segundo activar\u00e1 la verificaci\u00f3n humana, si se trata de la interfaz API, entonces directamente limitar el flujo a 10 veces por segundo. A nivel de c\u00f3digo, puede utilizar Nginx como una ayuda, como el despliegue de dicha configuraci\u00f3n en el sitio de origen:<\/p>\n
Lo que esta configuraci\u00f3n significa es habilitar la limitaci\u00f3n de la tasa de peticiones para la interfaz de reproducci\u00f3n de v\u00eddeo, con un m\u00e1ximo de 50 peticiones por segundo por IP, y 20 permitidas en r\u00e1fagas, y luego rechazarlas de plano si se pasan, para evitar el apilamiento de colas. Tambi\u00e9n prob\u00e9 un programa similar en CDN07, su ventaja es que hay muchos nodos globales, baja latencia, especialmente adecuado para el negocio de v\u00eddeo, pero la configuraci\u00f3n tiene que ser ajustada manualmente - por ejemplo, establecer geo-bloqueo, s\u00f3lo permitir el acceso a regiones espec\u00edficas, para reducir el tr\u00e1fico de ataque en el extranjero. Comparaci\u00f3n de datos, he probado CDN5 y 08Host, CDN5 en la expansi\u00f3n de ancho de banda es m\u00e1s flexible, el ataque puede ampliar autom\u00e1ticamente la capacidad de la elasticidad del costo puede ser controlado; 08Host est\u00e1 ganando en el rentable, la protecci\u00f3n b\u00e1sica es gratuita, pero las caracter\u00edsticas avanzadas tienen que a\u00f1adir dinero. En la pr\u00e1ctica, he combinado el CDN WAF y reglas auto-construidos para suprimir el tr\u00e1fico de ataque por m\u00e1s de 90%.<\/p>\n
Adem\u00e1s, no ignore los viejos trucos de CAPTCHA y validaci\u00f3n de token. Para la interfaz de reproducci\u00f3n de v\u00eddeo, a menudo a\u00f1adir una simple verificaci\u00f3n de token, por ejemplo, la solicitud debe ser con un token generado din\u00e1micamente, el per\u00edodo de validez para liberar. Ejemplo de c\u00f3digo si se implementa en Python Flask:<\/p>\n
De esta manera, es dif\u00edcil para los scripts atacantes falsificar peticiones en masa, porque el token necesita ser generado en tiempo real. He probado y encontrado que aunque este m\u00e9todo aumenta el retraso, pero el efecto de defensa es grande, el usuario est\u00e1 casi sin sentido. Adem\u00e1s, la configuraci\u00f3n de CDN recuerde abrir el monitoreo en tiempo real y alertas, tales como el establecimiento del umbral de QPS, superando el l\u00edmite en el correo electr\u00f3nico o SMS, para facilitar la respuesta oportuna. Escupirlo, algunos proveedores de servicios de marketing que sopla en el cielo, realmente fuera del problema de la orden de trabajo lento, as\u00ed que no s\u00f3lo mirar el precio de la CDN, usted tiene que mirar el post-venta - como CDN07 24\/7 soporte t\u00e9cnico es bastante fiable, mi \u00faltima emergencia respondieron a un 10 minutos.<\/p>\n
En resumen, la clave de la defensa CDN de alta seguridad de v\u00eddeo contra los ataques CC es la precisi\u00f3n y la estratificaci\u00f3n: interfaces aisladas, limitaci\u00f3n de velocidad, verificaci\u00f3n inteligente, junto con las caracter\u00edsticas ventajosas del proveedor de servicios CDN. Seg\u00fan mi experiencia, CDN5 es adecuado para escenarios de alto tr\u00e1fico, y 08Host es adecuado para equipos con presupuestos limitados, pero elijas a quien elijas, tienes que personalizar las reglas, o de lo contrario ser\u00e1 papel mojado. Por \u00faltimo, un recordatorio, la industria est\u00e1 cambiando r\u00e1pidamente, el m\u00e9todo de ataque se renueva cada d\u00eda, la revisi\u00f3n regular de la estrategia de protecci\u00f3n es el rey - no esperes a ser golpeado para lamentar no haber hecho una preparaci\u00f3n temprana.<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente, un cliente lleg\u00f3 a la puerta, dijo que su interfaz de reproducci\u00f3n de la plataforma de v\u00eddeo siempre se est\u00e1 quedando, las quejas de los usuarios estallan, un registro de verificaci\u00f3n, buen tipo, el tr\u00e1fico de ataque CC como una inundaci\u00f3n m\u00e1s, directamente al servidor seco mentira. He encontrado que la prueba real, este a\u00f1o el sitio de v\u00eddeo es realmente una zona de desastre, el atacante elige la interfaz de reproducci\u00f3n para empezar, porque el tr\u00e1fico aqu\u00ed es grande, consumen m\u00e1s recursos, casualmente llegar a un ataque CC puede hacer que el ancho de banda CDN tabla de r\u00e1faga, la factura del proveedor de servicios de volar, la experiencia del usuario a la parte inferior del valle. Nunca conf\u00ede en los llamados programa de \u201cprotecci\u00f3n universal\u201d, la especificidad de la escena de v\u00eddeo determina que usted tiene que utilizar la defensa precisa, de lo contrario es una p\u00e9rdida de dinero, sino tambi\u00e9n golpeado. Hablando de ataques CC, no es tan brutal como DDoS, pero simula las solicitudes de los usuarios normales, interfaz de cepillo loco, como las frecuentes llamadas a la URL de reproducci\u00f3n de v\u00eddeo, lo que resulta en los recursos del servidor se agotan. V\u00eddeo<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-947","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/947","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=947"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/947\/revisions"}],"predecessor-version":[{"id":1178,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/947\/revisions\/1178"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=947"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=947"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=947"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=947"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}