Recientemente, ayud\u00e9 a un amigo a comprobar una estaci\u00f3n que fue atacada por un cuelgue, y descubr\u00ed que aunque hab\u00edan puesto una CDN de alta defensa, no hab\u00edan verificado si la defensa era efectiva o no. Una vez que lleg\u00f3 el ataque, la IP de la estaci\u00f3n de origen qued\u00f3 directamente expuesta, y la CDN se convirti\u00f3 en un montaje. Hoy en d\u00eda, incluso las CDN tienen que \u201cprevenir a los compa\u00f1eros de equipo\u201d - algunos vendedores no han escrito sus propios documentos de configuraci\u00f3n para entender.<\/p>\n
\u00bfEs cierto que un CDN de alta defensa puede soportar una paliza? No escuches los alardes de los vendedores, tienes que medirlo t\u00fa mismo. He visto demasiadas personas piensan que compraron el servicio para estar tranquilo, el resultado de la primera ola de tr\u00e1fico sobre el desnudo directo. La charla de hoy de los dos m\u00e9todos de prueba, pis\u00e9 el hoyo en los \u00faltimos a\u00f1os sali\u00f3 de la experiencia, e incluso puede a su vez obligar al vendedor a darle la configuraci\u00f3n.<\/p>\n
Empecemos con una ducha fr\u00eda: lo que usted cree que est\u00e1 \u201cen vigor\u201d puede ser una ilusi\u00f3n.<\/strong>Muchos proveedores s\u00f3lo activan la protecci\u00f3n de algunos nodos por defecto, o la pol\u00edtica de cach\u00e9 est\u00e1 tan mal configurada que el tr\u00e1fico ni siquiera llega al centro de limpieza. El n\u00facleo de la prueba es una sola frase:Aseg\u00farese de que todo el tr\u00e1fico de ataque debe pasar por el nodo de limpieza de la CDN, mientras que el sitio de origen es completamente invisible.<\/strong><\/p>\n Los dos m\u00e9todos siguientes, el primero para la verificaci\u00f3n r\u00e1pida y el segundo para la simulaci\u00f3n de alta tensi\u00f3n, se utilizan en combinaci\u00f3n para una verdadera tranquilidad.<\/p>\n M\u00e9todo 1: Prueba de resoluci\u00f3n DNS - b\u00e1sica pero mortal<\/strong><\/p>\n Si no haces bien este paso, todo es en vano. He encontrado que m\u00e1s del 30% de los problemas de configuraci\u00f3n en la resoluci\u00f3n DNS. Muchas personas cambian el CNAME pens\u00f3 que hab\u00eda terminado, pero no saben la cach\u00e9 DNS local, TTL diferencia de tiempo puede dejar que se ejecuta desnudo durante horas.<\/p>\n Recu\u00e9rdalo siempre:En primer lugar, utilice dig o nslookup para comprobar los resultados de la resoluci\u00f3n de su nombre de dominio.<\/strong>Lo ideal es que la IP resuelta sea la IP del nodo del proveedor de CDN. Lo ideal es que la IP resuelta sea la IP de nodo del proveedor de CDN y no la IP de su sitio de origen, como con este comando:<\/p>\n Si el pop-up es su IP de origen, date prisa para comprobar la configuraci\u00f3n de DNS. No te r\u00edas, tambi\u00e9n me encontr\u00e9 con un cliente el mes pasado, el valor del registro CNAME rellenado en la letra equivocada, la resoluci\u00f3n directamente de vuelta a la fuente, duro \u201cfalsa protecci\u00f3n\u201d durante tres meses.<\/p>\n Un movimiento a\u00fan m\u00e1s dif\u00edcil ser\u00edaModificar el archivo Hosts local para forzar la resoluci\u00f3n al nodo CDN<\/strong>. Por ejemplo, apunte el nombre de dominio a la IP de prueba proporcionada por el proveedor de CDN y, a continuaci\u00f3n, visite el sitio web para ver si es normal. Si es normal, significa que el enlace de retorno desde el nodo al sitio de origen ha pasado; si informa de un error, puede haber un problema con la configuraci\u00f3n de retorno (como el encabezado de host o el certificado).<\/p>\n Algunos vendedores, como CDN07, le proporcionar\u00e1n un dominio de prueba dedicado, para que no tenga que esperar a que los DNS surtan efecto para comprobar el estado del nodo. Esta caracter\u00edstica es en realidad bastante pr\u00e1ctica, pero el 80% de los vendedores no tomar\u00e1n la iniciativa de dec\u00edrtelo - despu\u00e9s de todo, m\u00e1s es mejor que menos.<\/p>\n M\u00e9todo 2: Prueba de ataque simulado - Jugar de verdad es fiable<\/strong><\/p>\n No basta con parsear correctamente, hay que demostrar que el nodo puede realmente soportar el ataque. Aqu\u00ed hay dos direcciones recomendadas: simulaci\u00f3n de tr\u00e1fico DDoS y pruebas de ataque CC.<\/p>\n Pruebas DDoS<\/strong>Lo mejor es encontrar un proveedor con el que trabajar. Los proveedores leg\u00edtimos de alta defensa, como CDN5 y 08Host, permiten a los clientes lanzar ataques simulados durante el periodo de prueba (por supuesto, hay que concertar una cita con antelaci\u00f3n). Sus ingenieros vigilar\u00e1n el panel de tr\u00e1fico para ayudarte a analizar el efecto de la limpieza. No luches a ciegas por ti mismo, especialmente aquellas personas imprudentes que compran un VPS y abren hping3 - ten cuidado de ser bloqueado por el segmento de red del operador.<\/p>\n Centrarse en las pruebasVariaci\u00f3n de la latencia y p\u00e9rdida de paquetes<\/strong>. Estado normal de limpieza, las visitas al sitio debe ser casi sin sentido, mientras que el seguimiento de los antecedentes para ver el tr\u00e1fico de limpieza se dispara. Por ejemplo, la \u00faltima vez que med\u00ed 08Host nodo, 200G por segundo inundaci\u00f3n UDP golpe\u00f3 el pasado, la latencia de negocios s\u00f3lo se levant\u00f3 20ms, esto es realmente eficaz.<\/p>\n Prueba de ataque CC<\/strong>Es m\u00e1s adecuado para meterse con uno mismo. Utiliza una herramienta para simular un mont\u00f3n de peticiones normales, como fregar fren\u00e9ticamente alguna p\u00e1gina din\u00e1mica:<\/p>\n Preste atenci\u00f3n a la curva QPS y al c\u00f3digo de estado devuelto por la consola CDN. Si un gran n\u00famero de peticiones vuelven directamente a la fuente o la CPU de la fuente se dispara, significa que las reglas CC no est\u00e1n en vigor. Una buena protecci\u00f3n deber\u00eda ser capaz de interceptar peticiones maliciosas directamente en los nodos de borde, e incluso devolver retos CAPTCHA.<\/p>\n Esto es lo que hay que tener en cuenta: las reglas CC de algunos fabricantes tienen sensibilidades por defecto rid\u00edculamente bajas y hay que darles una paliza antes de que est\u00e9n dispuestos a ajustarlas. As\u00ed que es posible que desee golpear un poco m\u00e1s dif\u00edcil cuando usted lo prueba, y golpear a la derecha hasta el umbral de disparo para conseguir que funcione.<\/p>\n Una acci\u00f3n extra de mal gusto: retropropagar rutas de ataque con registros SSH<\/strong><\/p>\n Si tu servidor fuente tiene SSH activado, ve directamente a los registros \/var\/log\/secure (sistemas Linux). En un ataque real, si la CDN no est\u00e1 activada, ver\u00e1s un mont\u00f3n de intentos de inicio de sesi\u00f3n procedentes de la IP real; si est\u00e1 activada, todas las peticiones deber\u00edan proceder \u00fanicamente del segmento de IP de origen de retorno de la CDN.<\/p>\n Este m\u00e9todo es m\u00e1s preciso que mirar los registros de las empresas porque los hackers siempre barren el puerto 22 a mano, y este tipo de tr\u00e1fico no se almacena en cach\u00e9 y definitivamente volver\u00e1 a la fuente.<\/p>\n Las pruebas no son algo puntual<\/strong><\/p>\n Que funcione hoy no significa que vaya a funcionar ma\u00f1ana. Especialmente cuando su sitio web ha cambiado nuevas caracter\u00edsticas o arquitectura, es probable que algunas interfaces est\u00e9n eludiendo el CDN de nuevo. Se recomienda utilizar el m\u00e9todo anterior para realizar una comprobaci\u00f3n completa cada tres meses, especialmente la resoluci\u00f3n DNS y el riesgo de exposici\u00f3n del sitio de origen.<\/p>\n Una \u00faltima r\u00e9plica:Las profundidades de las CDN de alta defensa no suelen estar en la tecnolog\u00eda, sino en el negocio<\/strong>. Algunos vendedores le venden 10G de protecci\u00f3n, el real puede compartir la piscina de ancho de banda; alegando que se puede prevenir cualquier ataque, el resultado de las normas CC tienen que a\u00f1adir dinero para abrir. Las pruebas no s\u00f3lo verificar el efecto, sino tambi\u00e9n un medio para obligarlos a cumplir sus promesas.<\/p>\n Al fin y al cabo, pagas por seguridad, no por comodidad psicol\u00f3gica.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, ayud\u00e9 a un amigo a comprobar una estaci\u00f3n que fue atacada por un cuelgue, y descubr\u00ed que aunque hab\u00edan puesto una CDN de alta defensa, no hab\u00edan verificado si la defensa era efectiva o no. Una vez que lleg\u00f3 el ataque, la IP de la estaci\u00f3n de origen qued\u00f3 directamente expuesta, y la CDN se convirti\u00f3 en un montaje. Hoy en d\u00eda, incluso los CDN tienen que \u201cprevenir a los compa\u00f1eros de equipo\u201d - algunos vendedores no han escrito sus propios documentos de configuraci\u00f3n para entender. CDN de alta defensa no es realmente capaz de llevar la lucha? No escuches a los fanfarrones de ventas, su propia prueba s\u00f3lo cuenta. He visto demasiadas personas piensan que compraron el servicio para estar tranquilo, los resultados de la primera ola de tr\u00e1fico sobre el desnudo directo. La charla de hoy de los dos m\u00e9todos de prueba, es mis a\u00f1os de pisar el hoyo sali\u00f3 de la experiencia, e incluso puede a su vez obligar al fabricante a ajustar la configuraci\u00f3n para usted. En primer lugar verter ollas de agua fr\u00eda: usted piensa que el \u201cefectivo\u201d puede ser toda ilusi\u00f3n. Muchos vendedores por defecto a s\u00f3lo una parte del nodo para abrir la protecci\u00f3n, o la pol\u00edtica de almacenamiento en cach\u00e9 establecido un mal, el tr\u00e1fico ni siquiera ir a la<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-995","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/995","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=995"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/995\/revisions"}],"predecessor-version":[{"id":1130,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/995\/revisions\/1130"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=995"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=995"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=995"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=995"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}