Ya estoy harto de que me despierten con alarmas a las 3 de la ma\u00f1ana. El departamento comercial de all\u00ed est\u00e1 llamando fren\u00e9ticamente para preguntar por qu\u00e9 no se puede abrir el sitio web, y el de operaci\u00f3n y mantenimiento de aqu\u00ed est\u00e1 mirando la pantalla de monitorizaci\u00f3n y diciendo que el tr\u00e1fico se est\u00e1 desbordando de nuevo: la guerra de ataque y defensa en la industria financiera es tan simple y aburrida. Pero el mayor dolor de cabeza no es anti-hacker, es tanto para cumplir con ese mont\u00f3n de indicadores duros, pero tambi\u00e9n tienen que dejar que los usuarios reales acceder a la velocidad de la mosca para arriba, la dificultad es comparable a dejar que los elefantes saltar ballet.<\/p>\n
El a\u00f1o pasado, un cliente del banco sobre el tercer nivel de protecci\u00f3n igual, la agencia de evaluaci\u00f3n directamente vertido palabras: \u201cUsted no hace el aislamiento y la aceleraci\u00f3n de los recursos est\u00e1ticos, DDoS estrategia de mitigaci\u00f3n no ha visto el ajuste din\u00e1mico, realmente se encuentran con ataques masivos sin duda no puede sostener.\u201d Como resultado, se vieron obligados a utilizar la alta defensa tradicional durante el per\u00edodo de rectificaci\u00f3n, las quejas de los usuarios sobre la latencia se dispar\u00f3, y el departamento financiero calcul\u00f3 el costo del tr\u00e1fico casi vomit\u00f3 sangre - esta \u201cseguridad\u201d a expensas de la experiencia es simplemente autoenga\u00f1o.<\/p>\n
La seguridad y la experiencia en los servicios financieros no son una cuesti\u00f3n de elecci\u00f3n<\/strong>La igualdad de protecci\u00f3n 2.0 exige expl\u00edcitamente \u201ccontinuidad del negocio y capacidad de control de recursos\u201d. Igualdad de protecci\u00f3n 2.0 en los claros requisitos de \u201ccontinuidad del negocio y la capacidad de control de recursos\u201d, la luz para llevar la lucha no es suficiente, sino tambi\u00e9n para garantizar el acceso sin problemas a los usuarios normales. He probado varios vendedores programa, encontr\u00f3 que muchos de los llamados \"CDN de alta defensa\" es en realidad una c\u00e1scara de limpieza, nodo menos, la programaci\u00f3n r\u00edgida, la transmisi\u00f3n cifrada y la presi\u00f3n de optimizaci\u00f3n de cach\u00e9 no lo hizo bien.<\/p>\n M\u00e1s tarde, nuestro equipo lanz\u00f3 un plan, la idea central es: programaci\u00f3n inteligente del tr\u00e1fico de ataque al centro de limpieza, los usuarios normales conectados directamente al nodo de aceleraci\u00f3n; recursos est\u00e1ticos todos los bordes de almacenamiento en cach\u00e9, protocolos de contrabando de solicitud din\u00e1mica de vuelta a la fuente; todo el cifrado TLS 1.3 acoplado con el certificado fijado para evitar el secuestro man-in-the-middle. Medido para llevar 800Gbps de ataques mixtos, mientras que el tiempo de carga de la primera pantalla se redujo en 40%.<\/p>\n En primer lugar, vamos a hablar de los detalles de la aplicaci\u00f3n de los requisitos de la igualdad de protecci\u00f3n. Igualdad de protecci\u00f3n 2.0 en la aplicaci\u00f3n del nivel de seguridad requiere claramente \u201ccapacidad de ataque anti-denegaci\u00f3n de servicio\u201d, pero muchas unidades piensan que comprar una IP de alta defensa en el final de la cuesti\u00f3n - un gran error. Los tipos de ataque son ahora todos los modos mixtos: ataques CC mezclados con TCP Flood, incluso mezclados con ataques HTTP lentos, confiando \u00fanicamente en la limpieza del tr\u00e1fico no se puede prevenir.<\/p>\n Nuestra configuraci\u00f3n debe ser por capas:<\/p>\n La primera capa utiliza la programaci\u00f3n DNS para hacer el triaje de ataques, los segmentos IP maliciosos son conducidos directamente al centro de limpieza, y los usuarios leg\u00edtimos son resueltos en el nodo de aceleraci\u00f3n. No utilice DNS gratuitos aqu\u00ed, el retraso en la resoluci\u00f3n y la estabilidad del TTL le matar\u00e1n. Se recomienda utilizar el DNS inteligente de CDN07, que admite la resoluci\u00f3n subprovincial y suboperadora, y puede conmutarse din\u00e1micamente seg\u00fan el estado de la estaci\u00f3n de origen.<\/p>\n La segunda capa de protecci\u00f3n WAF en los nodos edge, la base de reglas debe actualizarse en tiempo real. Recomiendo encarecidamente reglas personalizadas: por ejemplo, para las interfaces de comercio financiero, limitar el n\u00famero de solicitudes por segundo para una sola IP, y si supera el l\u00edmite, har\u00e1 aparecer el CAPTCHA o lo bloquear\u00e1 directamente. Ejemplo de configuraci\u00f3n (basado en Nginx):<\/p>\n La tercera capa son los certificados y las transferencias cifradas. La protecci\u00f3n igualitaria exige \u201cintegridad de la comunicaci\u00f3n\u201d, TLS 1.3 debe estar activado y los conjuntos de cifrado d\u00e9biles est\u00e1n desactivados. El a\u00f1o pasado se restaron puntos a una empresa de corretaje por utilizar TLS 1.0. Tambi\u00e9n se recomienda a\u00f1adir precarga HSTS para evitar ataques de SSL stripping. Osun nube (08Host) CDN en este sentido para hacer bastante absoluta, el apoyo a la costumbre suite de cifrado y OCSP vinculante, la latencia se puede reducir en m\u00e1s de 20ms.<\/p>\n La optimizaci\u00f3n de la experiencia del usuario es el punto de prueba oculto<\/strong>La soluci\u00f3n tradicional es todo de vuelta a la fuente. Los sitios web financieros no mueven docenas de archivos JS\/CSS, la soluci\u00f3n tradicional todo de vuelta a la fuente, alta latencia y consumo de ancho de banda. Mi programa es: recursos est\u00e1ticos hash cach\u00e9 permanente, archivos HTML con cach\u00e9 de borde 5-10 segundos (teniendo en cuenta las actualizaciones de contenido din\u00e1mico). Medida de la primera carga de pantalla de 3s a 1,2s, ahorro anual de costes de ancho de banda de millones.<\/p>\n La estrategia de almacenamiento en cach\u00e9 debe ser precisa:<\/p>\n Aceleraci\u00f3n din\u00e1mica de esta pieza, utilizamos el protocolo privado de CDN5 de vuelta a la fuente, optimizaci\u00f3n TCP + multiplexaci\u00f3n, dos veces m\u00e1s r\u00e1pido que el HTTP tradicional de vuelta a la fuente. Especialmente para los sitios web de negociaci\u00f3n de valores, cada 100 ms de reducci\u00f3n en el retraso de la interfaz de pedidos puede reducir la tasa de rotaci\u00f3n de usuarios en 7% (datos reales).<\/p>\n No crea en las \u201csoluciones de un clic\u201d.\u201d<\/strong>Un conocido proveedor presume de que su CDN puede adaptarse autom\u00e1ticamente a todos los escenarios. Un conocido proveedor se jacta de que su CDN puede adaptarse autom\u00e1ticamente a todos los escenarios, y como resultado, nos encontramos con que la cobertura de los nodos era insuficiente cuando lo probamos, y los usuarios occidentales eran a menudo enviados a los nodos orientales. Finalmente cambi\u00f3 a utilizar el programa de convergencia CDN07: recursos est\u00e1ticos con 08Host (nodos baratos), la interfaz de transacci\u00f3n principal para ir CDN5 l\u00edneas de alta defensa, la estrategia de programaci\u00f3n con motor de toma de decisiones inteligente de desarrollo propio - la cuota mensual para ahorrar 40%, el efecto contrario es m\u00e1s estable.<\/p>\n La supervisi\u00f3n y el registro tambi\u00e9n deben estar a la altura. A la espera de los requisitos de seguridad de \u201ceventos de seguridad pueden ser rastreados\u201d, hicimos toda la colecci\u00f3n de registro de enlace: desde la capa CDN a la WAF a la estaci\u00f3n de origen, todos los registros de solicitud en el lago en tiempo real, utilizando ELK para analizar el patr\u00f3n de ataque. Una vez encontrado que a las 2:00 de la ma\u00f1ana siempre hay interfaz de escaneo de IP extranjera, la adici\u00f3n oportuna de reglas de autenticaci\u00f3n hombre-m\u00e1quina, para evitar un evento de fuga de datos.<\/p>\n Por \u00faltimo, me gustar\u00eda hablar sobre el caos en la industria: algunos vendedores empaquetados nodos en el extranjero como \u201caceleraci\u00f3n global\u201d, la latencia real se dispar\u00f3 a 300ms +; existen los llamados \u201cprotecci\u00f3n ilimitada\u201d de hecho, ancho de banda sobrevendido, realmente se encontr\u00f3 con un gran ataque directamente agujero negro. Es realmente recomendable que usted construya su propio entorno de prueba para la prueba de presi\u00f3n: simular ataques mixtos para ver el efecto de la mitigaci\u00f3n, y el uso WebPageTest para medir la velocidad de carga de las diferentes regiones.<\/p>\n Para el sector financiero, dedicarse a la CDN de alta defensa es como instalar cristales blindados para los transportes de dinero: ambos deben llevar balas, pero tampoco pueden dejar que los pasajeros se sientan aburridos. El equilibrio radica en: utilizar la arquitectura en capas para desactivar la presi\u00f3n de los ataques, utilizar la computaci\u00f3n de borde para mejorar la experiencia del usuario y utilizar estrategias iterativas basadas en datos. Ahora nuestro programa de clientes se ha estandarizado: peque\u00f1as y medianas plataformas con CDN07 aceleraci\u00f3n de sitio completo + WAF, grandes intercambios con CDN5 alta defensa + 08Host alojamiento de recursos est\u00e1ticos, et al. evaluaci\u00f3n de la prueba una vez m\u00e1s, la queja del usuario cay\u00f3 80%.<\/p>\n El mes pasado surgi\u00f3 un nuevo tipo de ataque por reflexi\u00f3n en Memcached, y de la noche a la ma\u00f1ana ajustamos los umbrales de los par\u00e1metros TCP. La vigilancia y la iteraci\u00f3n continua son el verdadero significado de la seguridad financiera.<\/p>","protected":false},"excerpt":{"rendered":" Ya estoy harto de que me despierten con alarmas a las 3 de la ma\u00f1ana. El departamento comercial de all\u00ed llama fren\u00e9ticamente para preguntar por qu\u00e9 no se puede abrir el sitio web, y el de operaci\u00f3n y mantenimiento de aqu\u00ed mira la pantalla de monitorizaci\u00f3n y dice que el tr\u00e1fico se est\u00e1 desbordando de nuevo: la guerra de ataque y defensa en la industria financiera es tan simple y aburrida. Pero el mayor dolor de cabeza no es anti-hacker, no es s\u00f3lo para cumplir con la evaluaci\u00f3n de ese mont\u00f3n de indicadores duros, pero tambi\u00e9n tienen que dejar que los usuarios reales acceder a la velocidad de vuelo, que es tan dif\u00edcil como dejar que los elefantes saltar ballet. El a\u00f1o pasado, un cliente del banco sobre el tercer nivel de protecci\u00f3n igual, la agencia de evaluaci\u00f3n directamente vertido palabras: \u201cUsted no hace el aislamiento y la aceleraci\u00f3n de los recursos est\u00e1ticos, DDoS estrategia de mitigaci\u00f3n no ha visto el ajuste din\u00e1mico, realmente se encontr\u00f3 con ataques masivos sin duda no puede resistir.\u201d \u00a1Como resultado, se vieron obligados a utilizar la alta defensa tradicional durante el per\u00edodo de rectificaci\u00f3n, y las quejas de los usuarios sobre la latencia se dispararon, y el departamento financiero calcul\u00f3 el costo del tr\u00e1fico y casi vomit\u00f3 sangre - esta \u201cseguridad\u201d a expensas de la experiencia es simplemente autoenga\u00f1o!<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-948","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/948","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=948"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/948\/revisions"}],"predecessor-version":[{"id":1177,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/948\/revisions\/1177"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=948"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=948"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=948"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=948"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}