Lorsque j'ai pris en charge un projet financier pour la première fois, le patron s'est tapoté la poitrine et a dit : “Nous avons ce volume, qui viendra se battre ? À trois heures du matin, j'ai reçu un message d'alarme, l'ensemble du groupe d'entreprises est complètement paralysé, le pic de trafic est monté en flèche jusqu'à 200 fois plus que d'habitude - cette fois, j'ai compris que le CDN de haute défense n'est pas facultatif, mais qu'il est une paille qui sauve la vie.
De nos jours, les attaques DDoS ont été développées industriellement depuis longtemps, il suffit de trouver un marché souterrain, 500 $ peuvent acheter des attaques de trafic non-stop pendant 24 heures. Vous pensez qu'un ensemble de Cloudflare en version gratuite pourra dormir sur ses deux oreilles ? Je ne suis pas sûr de pouvoir le faire, mais je vais pouvoir le faire. L'année dernière, un échange a utilisé un CDN bon marché, a été pénétré par une inondation TCP, l'attaquant a même été arrogant jusqu'au site web officiel pour accrocher un message de chantage. Ne croyez jamais à la propagande mensongère de la “défense illimitée”. En cas d'impact considérable sur le trafic, la première réaction de nombreux fournisseurs de services est de vous donner un itinéraire vide.
Ceux qui ont vraiment vécu la vraie bataille savent que pour faire face aux attaques du trafic de niveau T, il faut utiliser des stratégies de défense à plusieurs niveaux. Tout comme la défense de la ville antique, la ville extérieure est tombée et l'urne, l'urne est brisée et la ville intérieure. J'ai testé et trouvé la structure la plus fiable : couche de planification intelligente → couche de nettoyage des bords → couche de protection de la station source, un lien à trois couches afin de jouer une défense parfaite.
C'est la programmation intelligente du premier niveau qui est l'angle mort de la plupart des gensLa première chose à faire est d'acheter un bon nœud de nettoyage et tout ira bien. De nombreuses équipes pensent qu'en achetant un bon nœud de nettoyage, tout ira bien, mais elles ne savent pas que si la stratégie de planification ne fonctionne pas, le trafic d'attaque peut directement submerger le lien vers la source. L'année dernière, lorsque j'ai utilisé l'équilibrage de charge global du CDN5, j'ai mis en place une politique de planification du trafic basée sur l'ASN afin de planifier automatiquement le trafic provenant de zones soupçonnées d'être des sources d'attaque vers des nœuds de haute défense :
Cet ensemble de règles m'a aidé à bloquer les tentatives d'attaques 70%, en particulier les demandes provenant du segment ASN d'un réseau de zombies typique, qui ont été redirigées directement vers le cluster de haute défense pour être traitées. Il est intéressant de noter que l'attaquant a ensuite changé pour utiliser les segments IP du fournisseur de cloud pour lancer des attaques, j'ai ajouté les règles de détection basées sur les caractéristiques de l'en-tête HTTP - la route est haute, le diable est haut ah.
Le choix technique de la couche de nettoyage des bords détermine directement le plafond de défense.La première chose que j'aimerais dire est que je ne sais pas ce que je peux faire. Ne regardez pas les vendeurs de CDN qui se vantent d'avoir une capacité de nettoyage de combien de T, mais mettez-les vraiment à l'épreuve lorsque les performances sont très différentes. L'année dernière, lorsque j'ai sélectionné les fournisseurs, j'ai pris CDN5, CDN07 et 08Host pour effectuer un véritable test de trafic :
En simulant une attaque HTTP Flood de 500 000 QPS par seconde, la charge CPU de CDN07 a soudainement grimpé à plus de 90%, et la latence s'est détériorée de 35 ms à 800 ms ; 08Host a directement déclenché le mécanisme meltdown, et a également sauté le CAPTCHA pour les utilisateurs normaux ; au contraire, la performance de CDN5 m'a stupéfié ---. Leur détection dynamique des empreintes digitales peut en fait maintenir la latence de l'activité normale à moins de 50 ms.
La principale différence réside dans l'algorithme de nettoyage. La détection traditionnelle basée sur des seuils (par exemple, déclenchée lorsque le nombre de requêtes par seconde dépasse la limite) est trop facilement contournée, et les attaques avancées simulent désormais le comportement normal de l'utilisateur. La meilleure solution consiste à utiliser des modèles d'apprentissage automatique pour effectuer une analyse comportementale, comme la détection des traces de mouvements de souris, des anomalies dans les séquences d'accès à l'API, etc. C'est la raison pour laquelle le CDN professionnel à haute défense est trois fois plus cher que la propre protection du fournisseur de services en nuage - les gens ont vraiment fait mouche avec l'algorithme.
La bande passante élastique est l'ultime défense physiqueLa première chose que je voudrais dire, c'est que je ne vais pas pouvoir le faire. Quel algorithme, quelle stratégie, rencontrer des attaques de niveau T, regarder en fin de compte la puissance de la bande passante. Mais acheter une bande passante fixe, c'est payer une taxe sur le QI, généralement 95% du temps d'inactivité à brûler de l'argent. J'ai comparé trois programmes d'élasticité :
CDN5 adopte le modèle “garanti + rafale”, en payant des frais de base mensuels de 2G, la bande passante rafale à $0,12/GB de facturation. 08Host s'est engagé dans un programme de mise en commun de la bande passante, 100 clients se partagent des clusters de 10T, ce qui est généralement moins cher, mais un certain nombre de clients se sont retrouvés en même temps au moment de l'attaque, ce qui peut entraîner un embrouillement des ressources. Le cas le plus pitoyable est celui d'un fournisseur bien connu de services en nuage, dont le contrat est rédigé en termes d“”expansion de la capacité élastique", mais qui est vraiment touché lorsque vous devez lever manuellement l'application de travail - les attaquants n'attendront pas que vous passiez par le processus d'approbation !
C'est l'occultation de la station source qui est le coup fatal que beaucoup de gens négligent.. J'ai vu trop d'équipes acheter un CDN à haute défense mais exposer la tragédie de l'IP de la station source. Les attaquants obtiennent l'IP réelle grâce aux enregistrements DNS historiques, au reniflage des certificats SSL et même à la recherche inversée des serveurs de boîtes aux lettres, en contournant directement la défense élevée pour pénétrer dans la station source. Vous devez faire le lien complet pour vous cacher :
Cet ensemble de combinaisons de coups de poing vers le bas, l'année dernière nous avons porté une attaque record de 1,2Tbps, la latence de l'entreprise n'a augmenté que de 20ms. Après le groupe d'attaque dans Telegram a craché : “ce nœud CDN5 avec l'oignon comme, peler une couche il y a une couche”.
Pour choisir le modèle, je vais donner la priorité à trois points : les capacités d'ordonnancement global (au moins 30 nœuds de nettoyage), la flexibilité et la raisonnabilité de la facturation (on ne peut pas se retrouver avec des factures astronomiques), le degré d'automatisation de l'API (si l'on peut intégrer le système de surveillance auto-construit). CDN07 a récemment été testé dans la région Asie-Pacifique. Les performances sont bonnes, mais la latence des nœuds européens est élevée ; 08Host est rentable pour les startups, mais la stabilité des flux importants doit être observée.
Enfin, un point important : il n'existe pas de système sécurisé 100%, le CDN à haute défense ne sert qu'à augmenter le coût de l'attaque pour l'autre partie qui ne peut pas se le permettre. Nous avons maintenant fixé le seuil de défense à 800Gbps - non pas pour empêcher les plus grands, mais mesuré le coût des attaquants pour louer ce niveau de botnet a dépassé la valeur de nos pertes d'affaires. La sécurité est essentiellement une question d'économie, alors n'oubliez pas de faire les calculs.
