R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 faire face \u00e0 un DDoS qui a frapp\u00e9 une station suspendue, je me suis connect\u00e9 au serveur pour voir l'organigramme - bon gars, le pic a directement grimp\u00e9 \u00e0 300 Gbps, les vendeurs de nuages de protection gratuite sont une imposture. L'autre partie a utilis\u00e9 l'attaque par amplification de r\u00e9flexion la moins ch\u00e8re, \u00e0 faible co\u00fbt et \u00e0 bon effet, en choisissant le site qui n'a pas fait de protection de haut niveau. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d, sans parler des gangs de chantage \u00e0 feu ouvert et \u00e0 fl\u00e8ches sombres.<\/p>\n
Beaucoup de gens pensent qu'un ensemble de CDN suffira, mais en fait, face aux attaques \u00e0 haute fr\u00e9quence, un CDN ordinaire n'est qu'un morceau de papier. Pour pouvoir r\u00e9ellement faire face aux attaques DDoS modernes, il faut s'appuyer sur un CDN sp\u00e9cial \u00e0 haute d\u00e9fense, qui ne se contente pas de mettre en cache le contenu, mais qui va de la couche de liaison \u00e0 la couche d'application d'un ensemble de combinaisons. J'ai test\u00e9 trois ou quatre fournisseurs, l'\u00e9cart entre l'effet de d\u00e9fense est beaucoup plus important que pr\u00e9vu.<\/p>\n
La logique de base d'un CDN de haute d\u00e9fense est la suivanteUne d\u00e9fense \u00e0 plusieurs niveaux<\/strong>.. Le premier obstacle est toujours le centre de nettoyage du trafic. Toutes les demandes d'acc\u00e8s atteignent d'abord un cluster de nettoyage distribu\u00e9, o\u00f9 les sommes de contr\u00f4le pr\u00e9liminaires de SYN Flood et les abandons de paquets malform\u00e9s sont effectu\u00e9s. Les n\u0153uds de nettoyage tels que CDN5 sont dot\u00e9s d'un module d'analyse de protocole capable d'identifier directement les paquets caract\u00e9ristiques de la r\u00e9flexion SSDP et des attaques Memcached, et d'abandonner directement les paquets \u00e0 la p\u00e9riph\u00e9rie, de sorte que m\u00eame la p\u00e9riph\u00e9rie des serveurs d'entreprise ne puisse pas \u00eatre touch\u00e9e.<\/p>\n Cependant, il ne suffit pas de compter sur le seul centre de nettoyage. L'ann\u00e9e derni\u00e8re, j'ai test\u00e9 un centre de nettoyage domestique \u00e0 haute d\u00e9fense, d'une capacit\u00e9 nominale de 600 G. Les r\u00e9sultats ont montr\u00e9 qu'une attaque par impulsion avait en fait manqu\u00e9 30% de trafic ind\u00e9sirable. On a d\u00e9couvert par la suite que le m\u00e9canisme d'apprentissage des empreintes digitales de leur pile TCP \u00e9tait trop lent. Aujourd'hui, de bons fournisseurs tels que CDN07 ont utilis\u00e9 le mode de pr\u00e9diction par apprentissage automatique - bas\u00e9 sur l'historique du comportement de l'IP, la valeur de d\u00e9viation du protocole et la pente du trafic, 500 millisecondes \u00e0 l'avance pour d\u00e9clencher la strat\u00e9gie de protection \u00e9lastique.<\/p>\n Le deuxi\u00e8me niveau est essentiel :Interception intelligente<\/strong>. Ici, la diff\u00e9rence est \u00e9norme. Les fournisseurs les plus faibles s'appuient encore sur une base de r\u00e8gles artificielles, les plus avanc\u00e9s utilisent l'analyse s\u00e9mantique + la mod\u00e9lisation comportementale. J'ai vu la fa\u00e7on la plus sauvage d'utiliser la technologie \u201cempreinte digitale dynamique\u201d de 08Host : chaque demande g\u00e9n\u00e8re une empreinte JS l\u00e9g\u00e8re, combin\u00e9e au trac\u00e9 de la souris et \u00e0 la s\u00e9quence d'appels \u00e0 l'API pour d\u00e9terminer le comportement de l'homme et de l'ordinateur. Bien que cela ait un faible impact sur le r\u00e9f\u00e9rencement, les attaques anti-CC sont vraiment difficiles, le taux de faux positifs peut \u00eatre ramen\u00e9 \u00e0 0,1% ou moins.<\/p>\n En ce qui concerne les attaques CC, nous devons rejeter le gadget de la \u201cprotection illimit\u00e9e\u201d de certains fournisseurs. Les gangs CC vraiment avanc\u00e9s que nous avons rencontr\u00e9s, plus de dix mille requ\u00eates par seconde pour imiter des utilisateurs normaux, la base de r\u00e8gles ne peut tout simplement pas suivre. \u00c0 l'heure actuelle, nous devons nous appuyer sur des mod\u00e8les d'apprentissage profond pour regrouper et analyser en temps r\u00e9el. Par exemple, le module d'intelligence artificielle de CDN5 peut d\u00e9tecter les \u201crequ\u00eates \u00e0 faible fr\u00e9quence et \u00e0 haut risque\u201d - cela ressemble \u00e0 un appel API ordinaire, mais l'intervalle entre les requ\u00eates et la distribution de la longueur des messages est manifestement anormale. Ce syst\u00e8me, que j'ai recueilli dans les journaux, a un taux de fausses alarmes d'environ 3%, mais la couverture de l'attaque peut atteindre 99,7%.<\/p>\n Il existe un autre \u00e9cueil dans les d\u00e9tails techniques : les performances du d\u00e9lestage SSL. Si le CDN haute d\u00e9fense ne proc\u00e8de pas au d\u00e9cryptage du certificat au niveau du n\u0153ud p\u00e9riph\u00e9rique, tout le trafic crypt\u00e9 retourne \u00e0 la source vers la salle des serveurs, puis est d\u00e9crypt\u00e9, ce qui \u00e9quivaut \u00e0 transf\u00e9rer la pression vers la station source. Une bonne solution devrait \u00eatre comme CDN07, qui compl\u00e8te la poign\u00e9e de main TLS et la validation du certificat dans le centre de nettoyage et prend en charge l'acc\u00e9l\u00e9ration mat\u00e9rielle de la carte SSL. Il s'agit l\u00e0 d'un co\u00fbt r\u00e9el, de sorte que la d\u00e9fense \u00e9lev\u00e9e et bon march\u00e9 est certainement quelque chose de louche.<\/p>\n Exemples de configuration de cette pi\u00e8ce, prenez l'API de haute d\u00e9fense de Nginx comme exemple :<\/p>\n Ne croyez pas \u00e0 une \u201cprotection enti\u00e8rement automatis\u00e9e\u201d lorsque vous la d\u00e9ployez r\u00e9ellement. Une fois, j'ai \u00e9t\u00e9 paresseux et je n'ai pas configur\u00e9 le r\u00e9f\u00e9rentiel IP, j'ai donc laiss\u00e9 le gang des reptiles s'en tirer \u00e0 bon compte - ils recherchaient des attaques en utilisant des IP proxy r\u00e9sidentielles, et le syst\u00e8me les laissait faire comme s'il s'agissait d'utilisateurs normaux. Aujourd'hui, ma pratique standard est de forcer le g\u00e9oblocage + le filtrage des num\u00e9ros ASN :<\/p>\n En outre, l'int\u00e9gration du WAF est le corps complet du CDN de haute d\u00e9fense. La solution de 08Host est plus ing\u00e9nieuse, la base de r\u00e8gles ModSecurity int\u00e9gr\u00e9e dans le n\u0153ud de p\u00e9riph\u00e9rie, correspondant aux caract\u00e9ristiques de l'attaque directement bloqu\u00e9e et enregistr\u00e9e sur la plateforme de renseignement sur les menaces. L'augmentation de la latence mesur\u00e9e pour l'interception d'une attaque XSS est inf\u00e9rieure \u00e0 2 millisecondes.<\/p>\n En ce qui concerne les comparaisons de donn\u00e9es, prenez l'efficacit\u00e9 de la d\u00e9fense des trois fournisseurs et dites la v\u00e9rit\u00e9 :<\/p>\n Le point fort de CDN5 est le nettoyage du m\u00e9ga-flux, qui a d\u00e9j\u00e0 fait l'objet d'une attaque par inondation DNS de 800 Gbps, mais la protection CC doit \u00eatre compl\u00e9t\u00e9e par l'achat de la version avanc\u00e9e ; la planification intelligente de CDN07 permet de faire un bon travail de commutation automatique des lignes de nettoyage et de perdre rarement le trafic normal ; 08Host est rentable, 200 Gbps en dessous de l'attaque peuvent \u00eatre pratiquement sans souci, mais les m\u00e9ga-attaques sont occasionnellement tu\u00e9es par erreur.<\/p>\n Enfin, j'ai tir\u00e9 une le\u00e7on douloureuse : le CDN \u00e0 haute d\u00e9fense n'est pas une solution miracle. Avant le programme de d\u00e9ploiement d'un client financier, il suffit de se concentrer sur la protection de la couche r\u00e9seau, le r\u00e9sultat est que les gens frappent directement l'interface de l'application - \/login path 20 000 requ\u00eates par seconde, le pool de connexion de la base de donn\u00e9es a directement \u00e9clat\u00e9. Aujourd'hui, ma pratique standard est la suivanteQuatre couches de nettoyage + sept couches de v\u00e9rification humaine + restriction des flux au niveau de l'entreprise<\/strong>Les trois axes, dont l'un est manquant, peuvent \u00eatre renvers\u00e9s.<\/p>\n Un CDN haute d\u00e9fense vraiment fiable doit \u00e9plucher le trafic d'attaque couche par couche, comme un oignon. De la v\u00e9rification du protocole \u00e0 l'analyse comportementale, des r\u00e8gles statiques aux mod\u00e8les dynamiques, le reste du trafic propre est finalement renvoy\u00e9 au serveur. Ne croyez pas \u00e0 ces absurdit\u00e9s de \u201cprotection illimit\u00e9e\u201d, l'effet de la d\u00e9fense d\u00e9pend en fin de compte du mat\u00e9riel technique et des comp\u00e9tences en mati\u00e8re d'exploitation et de maintenance. Aujourd'hui, le chantage utilise l'IA pour g\u00e9n\u00e9rer du trafic d'attaque, le syst\u00e8me de d\u00e9fense n'est plus une mise \u00e0 niveau intelligente, il attend d'\u00eatre une poule mouill\u00e9e.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 faire face \u00e0 un DDoS qui a frapp\u00e9 une station suspendue, je me suis connect\u00e9 au serveur pour voir l'organigramme - bon gars, le pic a directement grimp\u00e9 \u00e0 300 Gbps, les vendeurs de nuages de protection gratuite sont une imposture. L'autre partie a utilis\u00e9 l'attaque par amplification de r\u00e9flexion la moins ch\u00e8re, \u00e0 faible co\u00fbt et \u00e0 bon effet, en choisissant le site qui n'a pas fait de protection de haut niveau. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d, sans parler des gangs de chantage \u00e0 feu ouvert et \u00e0 fl\u00e8ches sombres. Beaucoup de gens pensent que l'ensemble des CDN sera tr\u00e8s bien, en fait, un CDN ordinaire face aux attaques r\u00e9elles \u00e0 haute fr\u00e9quence n'est qu'un morceau de papier. Pour pouvoir r\u00e9ellement faire face aux attaques DDoS modernes, il faut s'appuyer sur un CDN sp\u00e9cial \u00e0 haute d\u00e9fense - qui ne se contente pas de mettre en cache le contenu, mais qui va de la couche de liaison \u00e0 la couche d'application d'un ensemble de coups de poing combin\u00e9s. J'ai test\u00e9 trois ou quatre fournisseurs, et l'\u00e9cart entre les effets de d\u00e9fense est beaucoup plus important que pr\u00e9vu. La logique de base du CDN haute d\u00e9fense est une d\u00e9fense en couches.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1015","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1015","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1015"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1015\/revisions"}],"predecessor-version":[{"id":1110,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1015\/revisions\/1110"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1015"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1015"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1015"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1015"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}