R\u00e9cemment, pour aider des amis \u00e0 v\u00e9rifier l'anomalie de la charge du serveur, une v\u00e9rification a r\u00e9v\u00e9l\u00e9 que l'IP source \u00e9tait manqu\u00e9e, le trafic d'attaque contournait directement le CDN de haute d\u00e9fense et passait par le serveur. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d - vous pensez que l'ensemble des CDN se porte bien ? La fuite des minutes de l'IP source vous apprend \u00e0 \u00eatre une personne.<\/p>\n
J'ai vu trop d'\u00e9quipes faire aveugl\u00e9ment confiance aux fournisseurs de CDN et demander une validation secondaire. Le test r\u00e9el a r\u00e9v\u00e9l\u00e9 que plus de 60% de l'\u00e9v\u00e9nement d'exposition de la station source n'est pas du tout le CDN a \u00e9t\u00e9 cass\u00e9, mais l'omission de configuration ou le bord de l'affaire a conduit \u00e0. Ne croyez pas \u00e0 l'absurdit\u00e9 de la \u201cs\u00e9curit\u00e9 par d\u00e9faut\u201d, la s\u00e9curit\u00e9 doit toujours reposer sur ses propres couches de verrouillage.<\/p>\n
Pourquoi la dissimulation de l'adresse IP source est-elle si dangereuse ?<\/strong> Une fois que les attaquants obtiennent l'IP r\u00e9elle, quelle d\u00e9fense \u00e9lev\u00e9e, quel WAF est devenu un probl\u00e8me. Frapper directement la station source, c'est comme abattre les murs de la ville pour se battre, le flot de trafic submerge instantan\u00e9ment le serveur. Ce qui est encore plus d\u00e9go\u00fbtant, c'est que certains pirates se consacrent \u00e0 l'analyse de l'ensemble du r\u00e9seau de n\u0153uds CDN, \u00e0 la d\u00e9rivation inverse de l'IP source - cet ensemble de cha\u00eenes industrielles a m\u00eame \u00e9t\u00e9 instrumentalis\u00e9.<\/p>\n Les pi\u00e8ges courants de la fuite d'IP source sont plus nombreux qu'on ne l'imagine : les enregistrements DNS historiques sont des crawlers qui creusent des tombes, les serveurs de messagerie se connectent directement au site source, le service Websocket ne passe pas le CDN, et m\u00eame la fuite d'informations du certificat SSL ...... J'ai audit\u00e9 un projet de commerce \u00e9lectronique l'ann\u00e9e derni\u00e8re, simplement parce que le d\u00e9veloppement de l'environnement de test pour appeler l'API de production, l'IP source \u00e9tait de 1,5 million d'euros. outils statistiques tiers inclus.<\/p>\n \u00c9tape 1 : Isolation compl\u00e8te au niveau du DNS<\/strong><\/p>\n N'utilisez plus d'enregistrements A pour r\u00e9soudre directement le site source ! Tous les domaines publics doivent faire l'objet d'un CNAME vers un domaine prot\u00e9g\u00e9 fourni par le fournisseur de CDN. Mais cela ne suffit pas : vous devez vous assurer que le domaine source est compl\u00e8tement s\u00e9par\u00e9 du domaine professionnel. J'avais l'habitude d'enregistrer le site source avec un nom de domaine compl\u00e8tement diff\u00e9rent, comme internal-domain.com, afin d'\u00e9liminer compl\u00e8tement les mauvaises r\u00e9solutions.<\/p>\n Le test r\u00e9el recommande cet ensemble de configurations : le domaine commercial cdn.example.com CNAME vers le n\u0153ud de protection de CDN07, le site source exclusivement un nom de domaine froid origin-xxx.example.net, et ce nom de domaine n'appara\u00eet jamais dans aucun enregistrement DNS public. Les CDN Premium comme CDN5 prennent m\u00eame en charge les domaines back-to-source d\u00e9di\u00e9s, ce qui permet de crypter automatiquement le processus de r\u00e9solution.<\/p>\n Op\u00e9ration critique : le pare-feu du site source ne lib\u00e8re que les IP des n\u0153uds CDN<\/strong>. N'autorisez jamais 0.0.0.0\/0 ! Dans le cas de Cloudflare, par exemple, la liste officielle des n\u0153uds est mise \u00e0 jour r\u00e9guli\u00e8rement et il est pr\u00e9f\u00e9rable de la synchroniser dynamiquement \u00e0 l'aide de l'API :<\/p>\n Les fournisseurs nationaux tels que CDN07 disposent d'une gamme plus large d'IP de n\u0153uds et il est recommand\u00e9 de g\u00e9n\u00e9rer des scripts iptables directement dans leur console.08Host's Enterprise Edition fournit m\u00eame un agent pour maintenir automatiquement une liste blanche, ce qui est adapt\u00e9 aux sc\u00e9narios d'IP dynamiques.<\/p>\n \u00c9tape 2 : Sous-op\u00e9ration anti-fuite de la couche d'application<\/strong><\/p>\n De nombreuses fuites se produisent \u00e0 des endroits inattendus : les pages d'erreur du site web renvoient \u00e0 l'IP du serveur, l'en-t\u00eate de r\u00e9ponse de l'API contient X-Backend-Server, ou m\u00eame la fonction de t\u00e9l\u00e9chargement d'images n'a pas \u00e9t\u00e9 acc\u00e9l\u00e9r\u00e9e par le CDN. L'ann\u00e9e derni\u00e8re, la vuln\u00e9rabilit\u00e9 d'une plateforme sociale est due au fait que l'application mobile se connecte directement \u00e0 l'IP source pour transf\u00e9rer des fichiers vid\u00e9o.<\/p>\n Forcer tout le trafic \u00e0 aller vers le CDN : Refuser le trafic non-CDN dans la configuration Nginx source, valider les requ\u00eates en fonction du segment IP de retour :<\/p>\n Conseil bonus : Filtrez les informations serveur globalement dans votre code. N'oubliez pas de d\u00e9sactiver expose_php pour les projets PHP et de supprimer l'en-t\u00eate Server response pour les projets Java. J'ai utilis\u00e9 les r\u00e8gles suivantes pour combler les vuln\u00e9rabilit\u00e9s d'Apache :<\/p>\n \u00c9tape 3 : Strat\u00e9gies de dissimulation d'ordre sup\u00e9rieur<\/strong><\/p>\n Lorsque l'on est en pr\u00e9sence d'une menace persistante de haut niveau, il faut sortir les grands moyens.obscurcissement des ports<\/strong>Le port HTTP source doit \u00eatre remplac\u00e9 par un port non standard, tel que 8080 ou 8443, et le port doit \u00eatre sp\u00e9cifi\u00e9 lorsque le CDN retourne \u00e0 la source. De cette mani\u00e8re, m\u00eame si l'attaquant obtient l'IP, l'analyse par d\u00e9faut ne trouvera pas le service.<\/p>\n technologie IP dynamique<\/strong>La solution d'entreprise de 08Host prend en charge la rotation horaire des IP sources et la mise \u00e0 jour dynamique du CDN vers l'adresse source via l'API. Bien que le co\u00fbt soit \u00e9lev\u00e9, il vaut la peine d'investir dans cette solution pour les projets financiers.<\/p>\n Faux pi\u00e8ge de station source<\/strong>Le syst\u00e8me de pots de miel que j'ai con\u00e7u pour une bourse d'\u00e9change a d\u00e9tect\u00e9 trois attaques cibl\u00e9es et a r\u00e9ussi \u00e0 retarder la progression de l'infiltration des pirates. Le syst\u00e8me de pot de miel que j'ai con\u00e7u pour un \u00e9change a captur\u00e9 trois attaques cibl\u00e9es et a r\u00e9ussi \u00e0 retarder la progression de l'infiltration des pirates.<\/p>\n Enfin, je dois dire que certains fournisseurs utilisent des pools d'IP partag\u00e9s pour \u00e9conomiser de l'argent, ce qui \u00e9quivaut \u00e0 partager un masque avec des inconnus. La ligne de retour d\u00e9di\u00e9e de CDN5 est ch\u00e8re mais fiable, tandis que CDN07 est bon march\u00e9 mais vous devez v\u00e9rifier que leurs segments d'IP sont parfaits.<\/p>\n Le masquage de l'IP source n'est pas une action ponctuelle, il doit \u00eatre surveill\u00e9 en permanence. Utilisez r\u00e9guli\u00e8rement des outils pour analyser les ressources publiques \u00e0 la recherche d'IP compromises, tels que Shodan pour rechercher des domaines et v\u00e9rifier les informations des certificats SSL. L'ann\u00e9e derni\u00e8re, nous sommes m\u00eame tomb\u00e9s sur un ing\u00e9nieur qui soumettait l'IP d'un serveur \u00e0 la Search Console de Google, ce qui constituait une d\u00e9fense totale.<\/p>\n Une architecture v\u00e9ritablement s\u00e9curis\u00e9e suppose par d\u00e9faut que tous les liens sont susceptibles de tomber en panne. Un CDN \u00e0 haute d\u00e9fense n'est qu'une pi\u00e8ce du puzzle, combin\u00e9e \u00e0 un WAF, \u00e0 la furtivit\u00e9 des ports et \u00e0 l'obscurcissement du trafic pour construire une d\u00e9fense en profondeur. N'oubliez pas que les pirates informatiques sont toujours \u00e0 la recherche du point le plus faible - et le site source expos\u00e9 est le seul point de blessure fatal qui brise l'ensemble du tableau.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, pour aider des amis \u00e0 v\u00e9rifier l'anomalie de la charge du serveur, une v\u00e9rification a r\u00e9v\u00e9l\u00e9 que l'IP source \u00e9tait manqu\u00e9e, le trafic d'attaque contournant directement le CDN de haute d\u00e9fense et passant par le serveur. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d - vous pensez que l'ensemble des CDN se porte bien ? La fuite des minutes de l'IP source vous apprend \u00e0 \u00eatre une personne. J'ai vu trop d'\u00e9quipes faire aveugl\u00e9ment confiance aux fournisseurs de services CDN, sans faire la deuxi\u00e8me v\u00e9rification. Le test r\u00e9el a r\u00e9v\u00e9l\u00e9 que plus de 60% de l'\u00e9v\u00e9nement d'exposition de la station source n'est pas du tout le CDN \u00e9tait cass\u00e9, mais l'omission de configuration ou les cas limites. Ne croyez pas \u00e0 l'absurdit\u00e9 de la \u201cs\u00e9curit\u00e9 par d\u00e9faut\u201d, la s\u00e9curit\u00e9 doit toujours reposer sur ses propres couches de verrouillage. Pourquoi la dissimulation de l'IP source est-elle si mortelle ? Une fois que l'attaquant obtient l'IP r\u00e9elle, la haute s\u00e9curit\u00e9 et le WAF ne sont plus qu'un leurre. Frapper directement la station source revient \u00e0 d\u00e9molir les murs de la ville pour combattre, l'inondation du trafic submerge instantan\u00e9ment le serveur. Pire encore<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1002","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1002","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1002"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1002\/revisions"}],"predecessor-version":[{"id":1123,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1002\/revisions\/1123"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1002"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1002"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1002"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1002"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}