Recientemente, he estado ayudando a varias startups con su negocio online, y descubr\u00ed que muchas de ellas sufr\u00edan ataques DDoS nada m\u00e1s empezar su negocio, y se quedaban paralizadas en cuanto recib\u00edan el impacto. El jefe estaba tan ansioso que se puso en pie de un salto: \u201c\u00a1Utilizamos un proveedor en la nube con su propia protecci\u00f3n!\u201d. Desembale la configuraci\u00f3n y eche un vistazo, buen chico, la versi\u00f3n b\u00e1sica de la capacidad de limpieza de 5Gbps, no es suficiente para que los hackers se calienten.<\/p>\n
Los ciberataques hace tiempo que se han industrializado. La oferta de atacar un sitio web tiene un precio expl\u00edcito de 50 d\u00f3lares por dejar su negocio fuera de servicio durante una hora. \u00bfEsperar una protecci\u00f3n b\u00e1sica de un proveedor de la nube? Es el equivalente a bloquear una Gatling con un escudo de papel.<\/p>\n
En los casos de ataques de tr\u00e1fico pesado de los que me he ocupado, el equipo de 90% cometi\u00f3 un error fatal: esperar a quedarse paralizado antes de apresurarse a encontrar una soluci\u00f3n. Interrupci\u00f3n de la actividad durante tres horas, la p\u00e9rdida es suficiente para comprar tres a\u00f1os de servicios de alta defensa. Las lecciones de sangre nos lo dicen: el acceso a CDN de alta defensa debe convertirse en una acci\u00f3n est\u00e1ndar antes del lanzamiento, en lugar de una medida correctiva a posteriori.<\/p>\n
El valor fundamental de las CDN de alta defensa no es la aceleraci\u00f3n, sino el camuflaje<\/strong>. Es como llevar una m\u00e1scara antibalas al servidor - la IP real se oculta detr\u00e1s, y todo el tr\u00e1fico pasa primero por el nodo de limpieza global. Los hackers siempre golpear\u00e1n los nodos CDN, y su estaci\u00f3n de origen se esconde en la oscuridad y estable.<\/p>\n S\u00f3lo ayudar a la estaci\u00f3n de comercio electr\u00f3nico para llevar 380Gbps de ataques mixtos, la prueba encontr\u00f3 que la CDN configurado correctamente puede filtrar 99% de tr\u00e1fico basura. Hoy en d\u00eda, de la manera m\u00e1s sencilla, el proceso de configuraci\u00f3n de CDN de alta defensa para desmantelar entender. Siga la operaci\u00f3n, media hora ser\u00e1 capaz de dejar que el sitio de llevar un chaleco antibalas.<\/p>\n En primer lugar, echemos un jarro de agua fr\u00eda: no te creas esos anuncios de \u201cprotecci\u00f3n con un clic\u201d. He probado las funciones de autoconfiguraci\u00f3n de tres grandes proveedores, y ninguna de ellas se adapta perfectamente a los escenarios empresariales. O bien las reglas de almacenamiento en cach\u00e9 no son razonables, o bien la pol\u00edtica de protecci\u00f3n es demasiado laxa o estricta. La configuraci\u00f3n manual es siempre la mejor soluci\u00f3n.<\/p>\n El primer paso en la selecci\u00f3n de los m\u00e1s picados. En el mercado hay tres grandes escuelas de productos de alta defensa:Tradicional Tipo de fabricante<\/strong>(CDN5, CDN07),Estereotipos de vinculaci\u00f3n de proveedores de servicios en nube<\/strong>(un tal Riyun, una tal nube Tencent),Protecci\u00f3n especializada<\/strong>(08Host, etc.). Es interesante ver c\u00f3mo se comparan los datos medidos:<\/p>\n Los nodos de los proveedores tradicionales tienen una amplia cobertura, pero el grado de personalizaci\u00f3n es bajo. la latencia de los nodos de Asia-Pac\u00edfico de CDN5 puede reducirse a menos de 80 ms, pero la capacidad de limpieza europea es escasa; el algoritmo de aceleraci\u00f3n TCP de CDN07 es realmente r\u00e1pido, pero el fondo de configuraci\u00f3n es antihumano.<\/p>\n El mayor escollo de los estereotipos del proveedor de la nube es que - usted piensa que usted est\u00e1 comprando una alta defensa independiente, pero en realidad sigue siendo un cl\u00faster compartido. Los periodos punta pueden ser \u201cclientes de oro\u201d para apoderarse de los recursos. El a\u00f1o pasado Double Eleven, una empresa de comercio electr\u00f3nico sufri\u00f3 esta p\u00e9rdida.<\/p>\n Tipo de protecci\u00f3n especializada como 08Host, ganando en la estrategia de protecci\u00f3n bien. Apoyar plantillas de protecci\u00f3n personalizados por tipo de negocio (comercio electr\u00f3nico \/ juegos \/ finanzas), pero el precio suele ser caro 30%.<\/p>\n Mis sugerencias para elegir son<\/strong>El negocio principal en Asia-Pac\u00edfico elegir CDN5, negocio global con CDN07, la protecci\u00f3n a nivel financiero debe considerar 08Host. no creo que el golpe de ventas \u201cprotecci\u00f3n ilimitada\u201d, todos los vendedores tienen umbrales invisibles.<\/p>\n Determine el fabricante y vaya directamente a la consola. C\u00e9ntrate en cuatro par\u00e1metros:fuente m\u00e9todo de retorno<\/strong>\u3001Reglas de cach\u00e9<\/strong>\u3001clase de protecci\u00f3n<\/strong>\u3001l\u00edmite de ancho de banda<\/strong>. Hay minas enterradas en cada opci\u00f3n aqu\u00ed.<\/p>\n Una vez que un cliente configurado al d\u00eda siguiente la estaci\u00f3n de origen fue penetrado, comprobar hasta el final encontr\u00f3 que la selecci\u00f3n de la \u201ctransparente de nuevo a la fuente\u201d - el hacker a trav\u00e9s del nodo CDN contra-verificaci\u00f3n para obtener la IP real. aseg\u00farese de seleccionar el \u201cproxy de nuevo a la fuente\u201d. El \"proxy de vuelta a la fuente\" modo debe ser seleccionado, de modo que el CDN como intermediario para aislar el tr\u00e1fico.<\/p>\n El enlace de vinculaci\u00f3n del nombre de dominio es el detalle que m\u00e1s se comprueba. Mucha gente rellena directamente un CNAME y piensa que ya est\u00e1 hecho, pero se olvida de comprobar el estado de resoluci\u00f3n. La postura correcta deber\u00eda ser:<\/p>\n A continuaci\u00f3n, configure la pol\u00edtica de origen de retorno. La IP de la estaci\u00f3n de origen debe utilizar la IP de la intranet o la IP de la lista blanca del cortafuegos, para evitar la exposici\u00f3n de la IP p\u00fablica. Se han dado casos en los que los hackers han escaneado violentamente IPs de segmentos CDN para contrarrestar el sitio de origen, porque la IP p\u00fablica se utiliz\u00f3 para volver a la fuente.<\/p>\n La configuraci\u00f3n de la cach\u00e9 es cr\u00edtica para el rendimiento. Se recomienda configurar una cach\u00e9 de 30 d\u00edas para los recursos est\u00e1ticos y desactivar la cach\u00e9 para las API din\u00e1micas. Existe un malentendido cl\u00e1sico: algunas personas han almacenado en cach\u00e9 la interfaz de inicio de sesi\u00f3n y, como resultado, todos los inicios de sesi\u00f3n de los usuarios son n\u00fameros de serie. Utiliza esta regla para evitar tragedias:<\/p>\n Las reglas WAF no son tan estrictas como las mejores, he visto a algunas personas abrir el modo estricto completo, el usuario normal tambi\u00e9n est\u00e1 bloqueado. Se recomienda tomar tres pasos:Protecci\u00f3n media para uso inicial<\/strong>\uff0cDocumentaci\u00f3n de las pautas de tr\u00e1fico de aprendizaje<\/strong>\uff0cPasar a una estrategia personalizada al cabo de dos semanas<\/strong>\u3002<\/p>\n Hay tres elementos de protecci\u00f3n obligatorios que deben abrirse:Protecci\u00f3n contra ataques CC<\/strong>(Desafiado autom\u00e1ticamente por solicitudes superiores a 200 por segundo),Cierre geogr\u00e1fico<\/strong>(Bloqueo directo de segmentos IP no comerciales),Interceptaci\u00f3n de bots maliciosos<\/strong>El reconocimiento de Bot de 08Host hace un trabajo particularmente bueno al distinguir entre motores de b\u00fasqueda y rastreadores maliciosos.<\/p>\n Hay un artefacto oculto en los ajustes avanzados:Umbrales de validaci\u00f3n hombre-m\u00e1quina<\/strong>Puede configurar \u201cel mismo acceso IP 50 veces por minuto para activar el c\u00f3digo de autenticaci\u00f3n\u201d. Puede establecer \"el mismo acceso IP 50 veces por minuto para activar el c\u00f3digo de verificaci\u00f3n\", la prueba real puede bloquear 80% CC ataque. Pero no lo pongas demasiado bajo, o los usuarios de m\u00f3viles maldecir\u00e1n.<\/p>\n \u00a1Pruebe siempre al final! Compruebe que la protecci\u00f3n funciona simulando un ataque con la herramienta:<\/p>\n Compruebe el informe de ataque en la consola CDN, normalmente deber\u00eda ver que el tr\u00e1fico de ataque se limpia y la presi\u00f3n del servidor de origen no se mueve. Si ves picos de CPU en el origen, comprueba de nuevo la configuraci\u00f3n de origen.<\/p>\n No olvides activar las alarmas. Se recomienda activar las alarmas de dos umbrales \u201cel tr\u00e1fico de limpieza en 5 minutos supera los 10G\u201d y \u201cel ancho de banda de vuelta al origen supera los 100Mbps\u201d. Si te atacan a las tres de la ma\u00f1ana, a\u00fan podr\u00e1s responder a tiempo.<\/p>\n Despu\u00e9s de estos cinco pasos, su sitio habr\u00e1 podido soportar la mayor\u00eda de los ataques convencionales. Pero recuerde que no existe un sistema de seguridad absoluto. El mes pasado, me encontr\u00e9 con un ataque pervertido: unos hackers utilizaron decenas de miles de IP reales de tel\u00e9fonos m\u00f3viles para lanzar una petici\u00f3n lenta, casi salt\u00e1ndose la pol\u00edtica de alta seguridad. Al final, s\u00f3lo se pudo detener gracias al an\u00e1lisis inteligente del comportamiento de 08Host.<\/p>\n Una CDN de alta defensa esencialmente compra tiempo - arrastrando al hacker a una guerra de desgaste hasta que abandona el ataque. As\u00ed que la reserva de ancho de banda es muy importante. Se recomienda reservar 20% margen de ancho de banda sobre una base diaria, y ampliar temporalmente la capacidad cuando se encuentra con un ataque.expansi\u00f3n de la elasticidad de CDN5 hace un buen trabajo, cinco minutos para a\u00f1adir 1T de ancho de banda de protecci\u00f3n.<\/p>\n Por \u00faltimo, la verdad: el \u00e9xito del ataque de 90% se debe a un error de configuraci\u00f3n. Es m\u00e1s importante auditar regularmente las reglas CDN y comprobar los registros del sitio de origen en busca de accesos directos inusuales que comprar paquetes de protecci\u00f3n demasiado caros. Al fin y al cabo, las fortalezas m\u00e1s fuertes a menudo se vulneran desde dentro.<\/p>\n Ve a comprobar la configuraci\u00f3n de tu CDN ahora. No esperes a que llegue un ataque para arrepentirte: con esto de la seguridad, siempre sobra redundancia en tiempos normales y falta odio cuando las cosas van mal.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, he estado ayudando a varias startups con su negocio online, y descubr\u00ed que muchas de ellas sufr\u00edan ataques DDoS nada m\u00e1s empezar su negocio, y se quedaban paralizadas en cuanto recib\u00edan el impacto. El jefe estaba tan angustiado que se puso en pie de un salto: \u201c\u00a1Utilizamos un proveedor en la nube con su propia protecci\u00f3n!\u201d. La configuraci\u00f3n fue desmontada, y la capacidad de limpieza de 5 Gbps de la versi\u00f3n b\u00e1sica no fue suficiente para que los hackers se calentaran. Hoy en d\u00eda, los ataques a la red hace tiempo que se han industrializado. La oferta de ataque est\u00e1 claramente marcada, 50 yuanes pueden paralizar tu negocio durante una hora. \u00bfEsperar una protecci\u00f3n b\u00e1sica de un proveedor de nube? Es el equivalente a bloquear una Gatling con un escudo de papel. En los casos de ataques de alto tr\u00e1fico que he tratado, el equipo de 90% cometi\u00f3 el error fatal de esperar a estar paralizado para encontrar una soluci\u00f3n a toda prisa. Interrupci\u00f3n de la actividad durante tres horas, la p\u00e9rdida es suficiente para comprar tres a\u00f1os de servicios de alta defensa. La lecci\u00f3n de sangre nos dice: el acceso a CDN de alta defensa debe convertirse en una acci\u00f3n est\u00e1ndar antes de entrar en l\u00ednea.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-953","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/953","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=953"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/953\/revisions"}],"predecessor-version":[{"id":1172,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/953\/revisions\/1172"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=953"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=953"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=953"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=953"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}