Cuando me hice cargo por primera vez de la operaci\u00f3n y el mantenimiento del sitio web oficial de la empresa, ser despertado en mitad de la noche por mensajes de alarma era algo habitual. Una alerta de inactividad de color rojo sangre en la pantalla, no se puede iniciar sesi\u00f3n en el fondo, el negocio est\u00e1 completamente paralizado... no hace falta adivinarlo, es SYN Flood otra vez. Esta cosa es como un ej\u00e9rcito de zombies en el mundo de la red, con la mitad de conexi\u00f3n apilar su servidor, pero tambi\u00e9n no dejan pruebas completas. Lo m\u00e1s lamentable es que los cortafuegos tradicionales a menudo por error matar a los usuarios reales, este lado del ataque no se detuvo, el otro lado del tel\u00e9fono de quejas de los clientes ha sido reventado.<\/p>\n
M\u00e1s tarde, puse la corriente principal del mercado de alta defensa CDN se prueban una vez, encontr\u00f3 que puede prevenir SYN Flood clave para ver dos puntos: la precisi\u00f3n de detecci\u00f3n de conexi\u00f3n TCP y el mecanismo de verificaci\u00f3n de IP de origen. Algunos proveedores de soplar por las nubes, el encuentro real con los ataques de tr\u00e1fico pesado directamente acostado, no tan bueno como su propio iptables dif\u00edcil de llevar.<\/p>\n
\u00bfD\u00f3nde est\u00e1n las n\u00e1useas de SYN Flood?<\/strong> Se aprovecha de la falla de TCP tres veces handshake para enviar fren\u00e9ticamente solicitudes de media conexi\u00f3n. El handshake normal requiere que el cliente env\u00ede SYN, el servidor SYN-ACK, el cliente ACK, pero el atacante siempre se queda atascado en el segundo paso y no responde. Los recursos del servidor est\u00e1n ocupados por estas \u201dconexiones zombie\u201d, los nuevos usuarios simplemente no pueden entrar. Lo que es a\u00fan mejor es que la IP de origen del ataque es todo falsificado, por lo que ni siquiera se puede encontrar d\u00f3nde est\u00e1 el verdadero enemigo.<\/p>\n En los primeros a\u00f1os, apenas pod\u00edamos hacer frente a esto con el ajuste de par\u00e1metros del n\u00facleo de Linux:<\/p>\n Pero esto s\u00f3lo puede soportar el volumen de ataque de decenas de miles de paquetes por segundo, se encontr\u00f3 con m\u00e1s de 300Gbps DDoS simplemente para nada. Una vez despu\u00e9s de ser penetrado me puse en cuclillas en la sala de servidores mientras se reinicia el servidor mientras maldiciendo, completamente entender que debe estar en el programa profesional.<\/p>\n La detecci\u00f3n de conexiones TCP es el verdadero negocio para las CDN de alta defensa<\/strong>La brecha algoritmo es celestial y terrenal. No mires a todos los llamados \u201dlimpieza inteligente\u201d, brecha algoritmo entre el cielo y la tierra. He probado el sistema de CDN07, que puede identificar las caracter\u00edsticas anormales de paquetes SYN en 3 segundos:<\/p>\n Pero la m\u00e1s despiadada es la tecnolog\u00eda de simulaci\u00f3n de pila de protocolos de 08Host: utilizan algoritmos adaptativos para ajustar din\u00e1micamente el tama\u00f1o de la ventana TCP, el usuario real seguir\u00e1 la especificaci\u00f3n del protocolo para completar el apret\u00f3n de manos, y la herramienta de ataque para enviar un paquete malformado directamente expuesto.<\/p>\n La verificaci\u00f3n de la IP de origen es un poco arriesgada.<\/strong>El enfoque de CDN5 es m\u00e1s inteligente. Algunos proveedores bloquean de forma simple y brusca segmentos IP, a menudo tambi\u00e9n se mata por error la direcci\u00f3n de la puerta de enlace del operador. El enfoque de CDN5 es m\u00e1s inteligente: no inmediatamente despu\u00e9s del descubrimiento de la interceptaci\u00f3n IP sospechosa, sino que primero se desv\u00eda al entorno sandbox para completar la verificaci\u00f3n del desaf\u00edo:<\/p>\n La prueba real encontr\u00f3 que este conjunto de combinaci\u00f3n puede filtrar 99% IP falsificada, el 1% restante a trav\u00e9s de la biblioteca de huellas dactilares TCP cribado secundario. El a\u00f1o pasado, llevamos un SYN Flood de 5,8 millones de QPS en doble once, y la latencia de negocio s\u00f3lo aument\u00f3 en 3 milisegundos.<\/p>\n La esencia de la protecci\u00f3n SYN Flood es el juego de costes entre atacantes y defensores. El atacante alquila una red de bots para decenas de d\u00f3lares por hora, y la CDN de alta defensa tiene que utilizar una enorme cantidad de ancho de banda y aritm\u00e9tica para llevarlo duro.08Host recientemente comprometido en la colaboraci\u00f3n nodo blockchain, los nodos de borde globales juntos para verificar la autenticidad de la IP de origen, el costo del ataque a miles de d\u00f3lares por hora, disuadir directamente a la gran mayor\u00eda de los hackers.<\/p>\n Por supuesto, no existe una soluci\u00f3n perfecta. Una vez bloqueamos el segmento IP de una gran empresa porque los ordenadores de sus empleados estaban infectados con troyanos y se convert\u00edan en nodos zombis. M\u00e1s tarde, a\u00f1adimos un m\u00f3dulo de aprendizaje inteligente y adoptamos una pol\u00edtica indulgente para los segmentos de IP de empresas multinacionales con el fin de reducir la tasa de falsos positivos mediante el an\u00e1lisis del comportamiento en lugar de limitarse al filtrado de IP.<\/p>\n Consejos sinceros para sus compa\u00f1eros<\/strong>Lo mejor es elegir una CDN de alta defensa y no fijarse s\u00f3lo en las cifras de ancho de banda, sino centrarse en probar la compatibilidad de su pila TCP y la precisi\u00f3n de la verificaci\u00f3n de la IP de origen. Lo mejor es que simules t\u00fa mismo el escenario de ataque: utiliza hping3 para enviar paquetes SYN con IPs de origen aleatorias y comprueba con qu\u00e9 frecuencia se activan las reglas de protecci\u00f3n. No olvides comprobar si los servicios HTTPS se ven afectados, las p\u00e1ginas de desaf\u00edo de algunos proveedores romper\u00e1n el handshake SSL.<\/p>\n En estos d\u00edas, incluso el CDN tiene que \u201devitar que los compa\u00f1eros de equipo\u201d - una gran f\u00e1brica se jacta de \u201dprotecci\u00f3n AI\u201d es en realidad l\u00edneas de conmutaci\u00f3n manual de fondo, el ataque lleg\u00f3 a tientas para ajustar la ruta. Todav\u00eda tienen que preparar algunos proveedores de servicios m\u00e1s, utilizamos CDN5 para hacer la aceleraci\u00f3n diaria, 08Host especializada en la realizaci\u00f3n de ataques de tr\u00e1fico pesado, momentos cr\u00edticos realmente puede salvar vidas.<\/p>\n Al fin y al cabo, la protecci\u00f3n contra inundaciones SYN es un proceso de juego continuo. Los algoritmos que funcionan hoy pueden ser descifrados por los hackers el mes que viene, as\u00ed que debemos mantener la tecnolog\u00eda iterativa. Recientemente hemos estado probando una arquitectura de confianza cero combinada con la aleatorizaci\u00f3n de puertos TCP, que convierte los puertos de escucha del servidor en objetivos m\u00f3viles para que los atacantes ni siquiera puedan encontrar un apret\u00f3n de manos. No es posible entrar en detalles sobre algunas de estas cosas, pero recuerde una cosa: piense siempre dos pasos por delante del atacante.<\/p>","protected":false},"excerpt":{"rendered":" Cuando me hice cargo por primera vez de la operaci\u00f3n y el mantenimiento del sitio web oficial de la empresa, ser despertado en mitad de la noche por mensajes de alarma era algo habitual. Una alerta de inactividad de color rojo sangre en la pantalla, no se puede iniciar sesi\u00f3n en el fondo, el negocio est\u00e1 completamente paralizado... no hace falta adivinarlo, es SYN Flood otra vez. Esta cosa es como un ej\u00e9rcito de zombies en el mundo de la red, con la mitad de conexi\u00f3n apilar su servidor, pero tambi\u00e9n no dejan pruebas completas. Lo m\u00e1s lamentable es que los cortafuegos tradicionales a menudo por error matar a los usuarios reales, este lado del ataque no est\u00e1 bloqueado, el tel\u00e9fono de quejas de los clientes ha sido reventado. M\u00e1s tarde puse la corriente principal del mercado de alta defensa CDN se prueban una vez, encontr\u00f3 que puede prevenir SYN Flood clave para ver dos puntos: la precisi\u00f3n de detecci\u00f3n de conexi\u00f3n TCP y el mecanismo de verificaci\u00f3n de IP de origen. Algunos vendedores que sopla por las nubes, el encuentro real con grandes ataques de tr\u00e1fico directamente acostado, no tan bueno como su propio iptables dif\u00edcil de llevar. SYN<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-964","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/964","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=964"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/964\/revisions"}],"predecessor-version":[{"id":1161,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/964\/revisions\/1161"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=964"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=964"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=964"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=964"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}