Récemment, plusieurs copains de sociétés de jeux m'ont trouvé en train de troller, disant que le serveur chaque jour par le DDoS frappé la vie ne peut pas prendre soin d'eux-mêmes, le nouveau projet n'est pas chaud sur la paralysie, les joueurs maudissent, le patron gifle la table, l'opération et l'équipe de maintenance 24 heures par jour ou ne peut pas être transporté. De nos jours, faire le jeu, c'est tout simplement courir nu sous le feu des hackers, en particulier ces concurrents aux yeux rouges, embaucher des gens pour faire face au trafic sans argent.
Pour être honnête, les solutions traditionnelles de haute sécurité ne sont tout simplement pas suffisantes dans un scénario de jeu. La spécificité des protocoles de jeu est trop forte, le trafic mixte TCP/UDP, les exigences en matière de temps réel sont extrêmement élevées, les pare-feu ordinaires bloquent les joueurs normaux ou la latence est si élevée que les joueurs abandonnent directement la fosse. J'ai vu la situation la plus scandaleuse : un fabricant équipé de pare-feu matériels traditionnels a rencontré Syn Flood qui a directement déclenché les règles de l'ensemble du segment IP de la salle des serveurs pour l'interdire, et les vrais joueurs ont été abattus - ce n'est pas pour empêcher les pirates informatiques, mais pour empêcher leurs propres employés d'agir.
Ce n'est pas pour rien que l'industrie du jeu a été la cible de DDoS. Le coût de l'attaque est ridiculement bas : la location d'un botnet pour une heure coûte quelques dizaines de dollars, mais la perte de joueurs et l'effondrement du bouche-à-oreille peuvent représenter une perte d'un million de dollars. Ce qui est encore plus dégoûtant, c'est que les types d'attaques sont de plus en plus diversifiés, depuis les traditionnelles attaques ICMP Flood et NTP amplification jusqu'aux attaques CC ciblant la couche logique du jeu, l'occupation des connexions factices, et même les attaques lentes ciblant spécifiquement la salle de connexion et le service de matchmaking, qui ne peuvent pas être défendues et s'effondrent directement.
J'ai testé les solutions de défense de sept ou huit CDN sur le marché et j'ai constaté que de nombreux fournisseurs ne comprennent tout simplement pas le jeu. Certains appliquent aveuglément les règles de protection du Web, les résultats des paquets de jeu étant des requêtes malveillantes à pincer ; d'autres se contentent de transporter le trafic en dur, rencontrant directement des attaques stupides de la couche d'application. Le véritable programme doit commencer par les caractéristiques du protocole de jeu - non seulement pour transporter 500G + impact du trafic, mais aussi pour assurer que le retard des opérations normales du joueur ne dépasse pas 30ms.
Tout d'abord, j'aimerais vous donner une leçon de morale : ne croyez pas les vendeurs qui vous promettent une “défense illimitée”. L'année dernière, pour aider une société de jeux SLG à choisir le type de jeu, un fournisseur a fait une déclaration fracassante, le résultat de l'attaque est revenu directement à la source, la station source a été instantanément transpercée. Il s'est avéré par la suite que leur “défense illimitée” représentait en fait plus de 500 G de trafic, tous rejetés, et que les joueurs et les attaquants ont été mis hors ligne en même temps. Le véritable programme fiable doit être doté d'une planification intelligente, le trafic d'attaque dans les nœuds de bordure sera nettoyé, le trafic normal sera acheminé plus rapidement.
L'avantage principal du CDN de haute défense pour les jeux est l'anti-D distribué. Prenons l'exemple de l'architecture du CDN5, qui a déployé plus de 80 nœuds d'accélération de jeux dans le monde, et chaque nœud est équipé d'une capacité de nettoyage indépendante de plus de 300G. Le trafic d'attaque est identifié et détourné au niveau du nœud périphérique le plus proche, et le moteur d'analyse du protocole fait la distinction entre les vrais joueurs et le trafic malveillant. L'élément le plus critique est leur pile de protocole spécifique au jeu, qui effectue une vérification de la signature sur les paquets UDP, et les faux paquets sont directement rejetés et ne passent pas du tout à la couche informatique.
L'optimisation du protocole est l'application qui tue pour les CDN de jeux. L'approche de CDN07 est très délicate - ils ont développé leur propre pile QUIC, encapsulant les paquets de jeu dans un canal crypté, et les attaquants ne peuvent même pas identifier le type de protocole. Lors du test réel de l'attaque 300G, la fluctuation du délai des joueurs normaux ne dépasse pas 5 ms, ce qui est plus rentable que d'ajouter de la bande passante au serveur.
La stratégie de nettoyage doit prendre en compte les caractéristiques du jeu. Par exemple, les jeux MOBA ont des priorités complètement différentes pour les paquets de combat et les paquets de mise à jour des mini-cartes. La solution de 08Host effectue une inspection approfondie des paquets (DPI), où les paquets de commande de combat sont transmis en priorité, et les paquets de mise à jour des cartes sont autorisés à être légèrement retardés. Des routes alternatives sont automatiquement activées en cas d'attaque, ce qui garantit que les commandes critiques ne perdent jamais de paquets. Ces détails sont tout simplement inimaginables pour ceux qui n'ont pas fait le jeu.
Les exemples de configuration sont importants, mais de nombreux fournisseurs proposent des modèles génériques. Les règles de protection du jeu vraiment efficaces doivent être adaptées de cette manière :
La situation des jeux mobiles est encore pire, car les mises à jour des clients et le trafic des jeux doivent être gérés séparément. Beaucoup d'équipes essaient de gagner du temps en utilisant directement le stockage dans le nuage pour envoyer des paquets, ce qui fait qu'elles ne peuvent même pas entrer dans le jeu lorsque les paquets de mise à jour sont victimes d'un DDoS. Une approche fiable consiste à utiliser le système de multidistribution de CDN07 : le trafic du jeu est acheminé vers la ligne de haute défense et les paquets de mise à jour vers la bande passante bon marché, ce qui n'affecte pas les services principaux, même s'ils sont touchés. Sa technologie d'ajustement dynamique de la bande passante a permis d'économiser 30% ou plus de coûts de bande passante.
La comparaison des données est le meilleur moyen d'illustrer le problème. L'année dernière, pour aider à la migration d'un jeu FPS, les frais mensuels du programme traditionnel de la salle de serveurs s'élevaient à 120 000, pour supporter une attaque de 200G avec une perte de paquets de 30% ou plus. Après avoir opté pour le CDN haute défense de 08Host, les frais mensuels étaient de 80 000 RMB, mais les frais mensuels étaient de 80 000 RMB, mais les frais mensuels étaient de 80 000 RMB, mais les frais mensuels étaient de 80 000 RMB, mais les frais mensuels étaient de 80 000 RMB. Le plus important est que leur réseau Anycast fait passer le délai des joueurs d'Asie du Sud-Est de 180 ms à 60 ms, et cette amélioration de l'expérience se reflète directement dans le taux de fidélisation du lendemain.
Il y a des nids-de-poule que l'on ne peut connaître qu'en marchant dessus. Par exemple, la protection DNS est souvent ignorée, et de nombreuses équipes ne protègent que les serveurs de jeu, mais oublient la résolution des noms de domaine. Une fois qu'un projet a été touché par une inondation de requêtes DNS, le joueur ne peut pas résoudre l'IP du jeu. Maintenant, la solution haut de gamme avec une défense DNS élevée, comme l'architecture CDN5 DNSSEC + Anycast, les demandes de résolution sont automatiquement envoyées au nœud qui n'est pas attaqué avec l'optimisation TTL ne peut pas être touché.
Le reporting en temps réel est très important. Le tableau de bord de 08Host indique directement le type d'attaque, le segment IP source et les 10 principaux ports d'attaque, et déduit même les outils utilisés par les attaquants. Une fois que l'on a vu le rapport “détection d'un DDoS sur les caractéristiques de la plateforme”, la valeur de cette information est comparable à celle du rapport sur les menaces de l'entreprise de sécurité.
Enfin, une théorie de la tempête : le budget de défense élevé de l'équipe de jeu 99% est dépensé au mauvais endroit. Ajouter aveuglément de la bande passante est la chose la plus stupide à faire, maintenant le coût des attaques au-dessus de 500G n'est que de quelques milliers de dollars, mais vous devez acheter 500G de bande passante pour brûler des millions de dollars par mois. L'argent doit être dépensé intelligemment dans la programmation intelligente - en utilisant l'informatique périphérique pour partager la pression de calcul, l'optimisation des protocoles pour réduire la demande de bande passante, et l'analyse comportementale pour réduire le taux de fausses attaques. Une excellente protection consiste à faire en sorte que les joueurs ne se rendent même pas compte qu'ils sont attaqués.
Lorsque vous choisissez un prestataire de services, vous devez vous assurer qu'il connaît le jeu. Lors des tests, le fournisseur de services déchargera directement un client de jeu et le laissera correspondre aux règles sur place. Si vous ne pouvez même pas faire la différence entre les protocoles d'Unreal Engine et d'Unity, vous pouvez les passer directement, et l'équipe technique de CDN07 a en fait créé un service de test de jeu par elle-même, et ils ont une compréhension claire des protocoles de tous les types de moteurs, de sorte que ce type de service est vraiment fiable.
Soyons honnêtes, la sécurité des jeux est devenue une véritable course à l'armement. Mais la bonne nouvelle, c'est que les techniques d'attaque évoluent et que les solutions de protection sont mises à jour. La tendance la plus récente que nous avons observée est celle des attaques par prédiction de l'IA - en analysant les modèles de comportement des joueurs pour identifier à l'avance les caractéristiques des botnets, et en bloquant les connexions avant que l'attaque ne soit lancée. cdn5 a déjà mis en œuvre cette fonctionnalité, et a mesuré qu'elle pouvait réduire le temps de réponse de plusieurs minutes à quelques secondes.
J'ai oublié de mentionner les pièges liés au prix. Certains fournisseurs appliquent le modèle “bande passante garantie + facturation élastique”, apparemment bon marché, mais en cas d'attaque, la facture peut effrayer les gens jusqu'à la mort. Il faut choisir le forfait “défense garantie + bande passante élastique illimitée”, le forfait 9999 yuans de 08Host comprend 200G de défense garantie + bande passante élastique illimitée, en cas d'attaque à 1T il n'y aura pas de supplément à payer, c'est adapté à l'entreprise de jeux.
En bref (tsk, j'ai failli utiliser à nouveau les mots de l'IA), le CDN de haute défense n'est pas simplement l'achat de nettoyage de trafic, mais la reconstruction de l'ensemble de l'architecture technique. De l'optimisation des protocoles à la planification intelligente, de l'analyse comportementale au déploiement global, chaque lien doit être adapté à la profondeur de la scène du jeu. Si l'on choisit le bon programme, les joueurs attaqués peuvent encore se battre jusqu'à la fin ; si l'on choisit le mauvais programme, le serveur se transforme directement en brique. De nos jours, même le CDN doit “empêcher les coéquipiers”, il est donc préférable de trouver un partenaire de protection qui comprenne vraiment le jeu.
