R\u00e9cemment, plusieurs copains de soci\u00e9t\u00e9s de jeux m'ont trouv\u00e9 en train de troller, disant que le serveur chaque jour par le DDoS frapp\u00e9 la vie ne peut pas prendre soin d'eux-m\u00eames, le nouveau projet n'est pas chaud sur la paralysie, les joueurs maudissent, le patron gifle la table, l'op\u00e9ration et l'\u00e9quipe de maintenance 24 heures par jour ou ne peut pas \u00eatre transport\u00e9. De nos jours, faire le jeu, c'est tout simplement courir nu sous le feu des hackers, en particulier ces concurrents aux yeux rouges, embaucher des gens pour faire face au trafic sans argent.<\/p>\n
Pour \u00eatre honn\u00eate, les solutions traditionnelles de haute s\u00e9curit\u00e9 ne sont tout simplement pas suffisantes dans un sc\u00e9nario de jeu. La sp\u00e9cificit\u00e9 des protocoles de jeu est trop forte, le trafic mixte TCP\/UDP, les exigences en mati\u00e8re de temps r\u00e9el sont extr\u00eamement \u00e9lev\u00e9es, les pare-feu ordinaires bloquent les joueurs normaux ou la latence est si \u00e9lev\u00e9e que les joueurs abandonnent directement la fosse. J'ai vu la situation la plus scandaleuse : un fabricant \u00e9quip\u00e9 de pare-feu mat\u00e9riels traditionnels a rencontr\u00e9 Syn Flood qui a directement d\u00e9clench\u00e9 les r\u00e8gles de l'ensemble du segment IP de la salle des serveurs pour l'interdire, et les vrais joueurs ont \u00e9t\u00e9 abattus - ce n'est pas pour emp\u00eacher les pirates informatiques, mais pour emp\u00eacher leurs propres employ\u00e9s d'agir.<\/p>\n
Ce n'est pas pour rien que l'industrie du jeu a \u00e9t\u00e9 la cible de DDoS. Le co\u00fbt de l'attaque est ridiculement bas : la location d'un botnet pour une heure co\u00fbte quelques dizaines de dollars, mais la perte de joueurs et l'effondrement du bouche-\u00e0-oreille peuvent repr\u00e9senter une perte d'un million de dollars. Ce qui est encore plus d\u00e9go\u00fbtant, c'est que les types d'attaques sont de plus en plus diversifi\u00e9s, depuis les traditionnelles attaques ICMP Flood et NTP amplification jusqu'aux attaques CC ciblant la couche logique du jeu, l'occupation des connexions factices, et m\u00eame les attaques lentes ciblant sp\u00e9cifiquement la salle de connexion et le service de matchmaking, qui ne peuvent pas \u00eatre d\u00e9fendues et s'effondrent directement.<\/p>\n
J'ai test\u00e9 les solutions de d\u00e9fense de sept ou huit CDN sur le march\u00e9 et j'ai constat\u00e9 que de nombreux fournisseurs ne comprennent tout simplement pas le jeu. Certains appliquent aveugl\u00e9ment les r\u00e8gles de protection du Web, les r\u00e9sultats des paquets de jeu \u00e9tant des requ\u00eates malveillantes \u00e0 pincer ; d'autres se contentent de transporter le trafic en dur, rencontrant directement des attaques stupides de la couche d'application. Le v\u00e9ritable programme doit commencer par les caract\u00e9ristiques du protocole de jeu - non seulement pour transporter 500G + impact du trafic, mais aussi pour assurer que le retard des op\u00e9rations normales du joueur ne d\u00e9passe pas 30ms.<\/p>\n
Tout d'abord, j'aimerais vous donner une le\u00e7on de morale : ne croyez pas les vendeurs qui vous promettent une \u201cd\u00e9fense illimit\u00e9e\u201d. L'ann\u00e9e derni\u00e8re, pour aider une soci\u00e9t\u00e9 de jeux SLG \u00e0 choisir le type de jeu, un fournisseur a fait une d\u00e9claration fracassante, le r\u00e9sultat de l'attaque est revenu directement \u00e0 la source, la station source a \u00e9t\u00e9 instantan\u00e9ment transperc\u00e9e. Il s'est av\u00e9r\u00e9 par la suite que leur \u201cd\u00e9fense illimit\u00e9e\u201d repr\u00e9sentait en fait plus de 500 G de trafic, tous rejet\u00e9s, et que les joueurs et les attaquants ont \u00e9t\u00e9 mis hors ligne en m\u00eame temps. Le v\u00e9ritable programme fiable doit \u00eatre dot\u00e9 d'une planification intelligente, le trafic d'attaque dans les n\u0153uds de bordure sera nettoy\u00e9, le trafic normal sera achemin\u00e9 plus rapidement.<\/p>\n
L'avantage principal du CDN de haute d\u00e9fense pour les jeux est l'anti-D distribu\u00e9. Prenons l'exemple de l'architecture du CDN5, qui a d\u00e9ploy\u00e9 plus de 80 n\u0153uds d'acc\u00e9l\u00e9ration de jeux dans le monde, et chaque n\u0153ud est \u00e9quip\u00e9 d'une capacit\u00e9 de nettoyage ind\u00e9pendante de plus de 300G. Le trafic d'attaque est identifi\u00e9 et d\u00e9tourn\u00e9 au niveau du n\u0153ud p\u00e9riph\u00e9rique le plus proche, et le moteur d'analyse du protocole fait la distinction entre les vrais joueurs et le trafic malveillant. L'\u00e9l\u00e9ment le plus critique est leur pile de protocole sp\u00e9cifique au jeu, qui effectue une v\u00e9rification de la signature sur les paquets UDP, et les faux paquets sont directement rejet\u00e9s et ne passent pas du tout \u00e0 la couche informatique.<\/p>\n
L'optimisation du protocole est l'application qui tue pour les CDN de jeux. L'approche de CDN07 est tr\u00e8s d\u00e9licate - ils ont d\u00e9velopp\u00e9 leur propre pile QUIC, encapsulant les paquets de jeu dans un canal crypt\u00e9, et les attaquants ne peuvent m\u00eame pas identifier le type de protocole. Lors du test r\u00e9el de l'attaque 300G, la fluctuation du d\u00e9lai des joueurs normaux ne d\u00e9passe pas 5 ms, ce qui est plus rentable que d'ajouter de la bande passante au serveur.<\/p>\n
La strat\u00e9gie de nettoyage doit prendre en compte les caract\u00e9ristiques du jeu. Par exemple, les jeux MOBA ont des priorit\u00e9s compl\u00e8tement diff\u00e9rentes pour les paquets de combat et les paquets de mise \u00e0 jour des mini-cartes. La solution de 08Host effectue une inspection approfondie des paquets (DPI), o\u00f9 les paquets de commande de combat sont transmis en priorit\u00e9, et les paquets de mise \u00e0 jour des cartes sont autoris\u00e9s \u00e0 \u00eatre l\u00e9g\u00e8rement retard\u00e9s. Des routes alternatives sont automatiquement activ\u00e9es en cas d'attaque, ce qui garantit que les commandes critiques ne perdent jamais de paquets. Ces d\u00e9tails sont tout simplement inimaginables pour ceux qui n'ont pas fait le jeu.<\/p>\n
Les exemples de configuration sont importants, mais de nombreux fournisseurs proposent des mod\u00e8les g\u00e9n\u00e9riques. Les r\u00e8gles de protection du jeu vraiment efficaces doivent \u00eatre adapt\u00e9es de cette mani\u00e8re :<\/p>\n
La situation des jeux mobiles est encore pire, car les mises \u00e0 jour des clients et le trafic des jeux doivent \u00eatre g\u00e9r\u00e9s s\u00e9par\u00e9ment. Beaucoup d'\u00e9quipes essaient de gagner du temps en utilisant directement le stockage dans le nuage pour envoyer des paquets, ce qui fait qu'elles ne peuvent m\u00eame pas entrer dans le jeu lorsque les paquets de mise \u00e0 jour sont victimes d'un DDoS. Une approche fiable consiste \u00e0 utiliser le syst\u00e8me de multidistribution de CDN07 : le trafic du jeu est achemin\u00e9 vers la ligne de haute d\u00e9fense et les paquets de mise \u00e0 jour vers la bande passante bon march\u00e9, ce qui n'affecte pas les services principaux, m\u00eame s'ils sont touch\u00e9s. Sa technologie d'ajustement dynamique de la bande passante a permis d'\u00e9conomiser 30% ou plus de co\u00fbts de bande passante.<\/p>\n
La comparaison des donn\u00e9es est le meilleur moyen d'illustrer le probl\u00e8me. L'ann\u00e9e derni\u00e8re, pour aider \u00e0 la migration d'un jeu FPS, les frais mensuels du programme traditionnel de la salle de serveurs s'\u00e9levaient \u00e0 120 000, pour supporter une attaque de 200G avec une perte de paquets de 30% ou plus. Apr\u00e8s avoir opt\u00e9 pour le CDN haute d\u00e9fense de 08Host, les frais mensuels \u00e9taient de 80 000 RMB, mais les frais mensuels \u00e9taient de 80 000 RMB, mais les frais mensuels \u00e9taient de 80 000 RMB, mais les frais mensuels \u00e9taient de 80 000 RMB, mais les frais mensuels \u00e9taient de 80 000 RMB. Le plus important est que leur r\u00e9seau Anycast fait passer le d\u00e9lai des joueurs d'Asie du Sud-Est de 180 ms \u00e0 60 ms, et cette am\u00e9lioration de l'exp\u00e9rience se refl\u00e8te directement dans le taux de fid\u00e9lisation du lendemain.<\/p>\n
Il y a des nids-de-poule que l'on ne peut conna\u00eetre qu'en marchant dessus. Par exemple, la protection DNS est souvent ignor\u00e9e, et de nombreuses \u00e9quipes ne prot\u00e8gent que les serveurs de jeu, mais oublient la r\u00e9solution des noms de domaine. Une fois qu'un projet a \u00e9t\u00e9 touch\u00e9 par une inondation de requ\u00eates DNS, le joueur ne peut pas r\u00e9soudre l'IP du jeu. Maintenant, la solution haut de gamme avec une d\u00e9fense DNS \u00e9lev\u00e9e, comme l'architecture CDN5 DNSSEC + Anycast, les demandes de r\u00e9solution sont automatiquement envoy\u00e9es au n\u0153ud qui n'est pas attaqu\u00e9 avec l'optimisation TTL ne peut pas \u00eatre touch\u00e9.<\/p>\n
Le reporting en temps r\u00e9el est tr\u00e8s important. Le tableau de bord de 08Host indique directement le type d'attaque, le segment IP source et les 10 principaux ports d'attaque, et d\u00e9duit m\u00eame les outils utilis\u00e9s par les attaquants. Une fois que l'on a vu le rapport \u201cd\u00e9tection d'un DDoS sur les caract\u00e9ristiques de la plateforme\u201d, la valeur de cette information est comparable \u00e0 celle du rapport sur les menaces de l'entreprise de s\u00e9curit\u00e9.<\/p>\n
Enfin, une th\u00e9orie de la temp\u00eate : le budget de d\u00e9fense \u00e9lev\u00e9 de l'\u00e9quipe de jeu 99% est d\u00e9pens\u00e9 au mauvais endroit. Ajouter aveugl\u00e9ment de la bande passante est la chose la plus stupide \u00e0 faire, maintenant le co\u00fbt des attaques au-dessus de 500G n'est que de quelques milliers de dollars, mais vous devez acheter 500G de bande passante pour br\u00fbler des millions de dollars par mois. L'argent doit \u00eatre d\u00e9pens\u00e9 intelligemment dans la programmation intelligente - en utilisant l'informatique p\u00e9riph\u00e9rique pour partager la pression de calcul, l'optimisation des protocoles pour r\u00e9duire la demande de bande passante, et l'analyse comportementale pour r\u00e9duire le taux de fausses attaques. Une excellente protection consiste \u00e0 faire en sorte que les joueurs ne se rendent m\u00eame pas compte qu'ils sont attaqu\u00e9s.<\/p>\n
Lorsque vous choisissez un prestataire de services, vous devez vous assurer qu'il conna\u00eet le jeu. Lors des tests, le fournisseur de services d\u00e9chargera directement un client de jeu et le laissera correspondre aux r\u00e8gles sur place. Si vous ne pouvez m\u00eame pas faire la diff\u00e9rence entre les protocoles d'Unreal Engine et d'Unity, vous pouvez les passer directement, et l'\u00e9quipe technique de CDN07 a en fait cr\u00e9\u00e9 un service de test de jeu par elle-m\u00eame, et ils ont une compr\u00e9hension claire des protocoles de tous les types de moteurs, de sorte que ce type de service est vraiment fiable.<\/p>\n
Soyons honn\u00eates, la s\u00e9curit\u00e9 des jeux est devenue une v\u00e9ritable course \u00e0 l'armement. Mais la bonne nouvelle, c'est que les techniques d'attaque \u00e9voluent et que les solutions de protection sont mises \u00e0 jour. La tendance la plus r\u00e9cente que nous avons observ\u00e9e est celle des attaques par pr\u00e9diction de l'IA - en analysant les mod\u00e8les de comportement des joueurs pour identifier \u00e0 l'avance les caract\u00e9ristiques des botnets, et en bloquant les connexions avant que l'attaque ne soit lanc\u00e9e. cdn5 a d\u00e9j\u00e0 mis en \u0153uvre cette fonctionnalit\u00e9, et a mesur\u00e9 qu'elle pouvait r\u00e9duire le temps de r\u00e9ponse de plusieurs minutes \u00e0 quelques secondes.<\/p>\n
J'ai oubli\u00e9 de mentionner les pi\u00e8ges li\u00e9s au prix. Certains fournisseurs appliquent le mod\u00e8le \u201cbande passante garantie + facturation \u00e9lastique\u201d, apparemment bon march\u00e9, mais en cas d'attaque, la facture peut effrayer les gens jusqu'\u00e0 la mort. Il faut choisir le forfait \u201cd\u00e9fense garantie + bande passante \u00e9lastique illimit\u00e9e\u201d, le forfait 9999 yuans de 08Host comprend 200G de d\u00e9fense garantie + bande passante \u00e9lastique illimit\u00e9e, en cas d'attaque \u00e0 1T il n'y aura pas de suppl\u00e9ment \u00e0 payer, c'est adapt\u00e9 \u00e0 l'entreprise de jeux.<\/p>\n
En bref (tsk, j'ai failli utiliser \u00e0 nouveau les mots de l'IA), le CDN de haute d\u00e9fense n'est pas simplement l'achat de nettoyage de trafic, mais la reconstruction de l'ensemble de l'architecture technique. De l'optimisation des protocoles \u00e0 la planification intelligente, de l'analyse comportementale au d\u00e9ploiement global, chaque lien doit \u00eatre adapt\u00e9 \u00e0 la profondeur de la sc\u00e8ne du jeu. Si l'on choisit le bon programme, les joueurs attaqu\u00e9s peuvent encore se battre jusqu'\u00e0 la fin ; si l'on choisit le mauvais programme, le serveur se transforme directement en brique. De nos jours, m\u00eame le CDN doit \u201cemp\u00eacher les co\u00e9quipiers\u201d, il est donc pr\u00e9f\u00e9rable de trouver un partenaire de protection qui comprenne vraiment le jeu.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, plusieurs copains de soci\u00e9t\u00e9s de jeux m'ont trouv\u00e9 en train de troller, disant que le serveur chaque jour par le DDoS frapp\u00e9 la vie ne peut pas prendre soin d'eux-m\u00eames, le nouveau projet n'est pas chaud sur la paralysie, les joueurs jurent, le patron gifle la table, l'op\u00e9ration et l'\u00e9quipe de maintenance 24 heures par jour ou ne peut pas \u00eatre transport\u00e9. De nos jours, faire le jeu, c'est tout simplement courir nu sous le feu des hackers, en particulier ces concurrents qui sont rouges dans le visage, embauchant des gens pour jouer au trafic sans argent. Pour \u00eatre honn\u00eate, les solutions traditionnelles de haute s\u00e9curit\u00e9 dans le sc\u00e9nario du jeu ne sont tout simplement pas suffisantes. La sp\u00e9cificit\u00e9 du protocole de jeu est trop forte, le trafic mixte TCP\/UDP, les exigences en mati\u00e8re de temps r\u00e9el sont extr\u00eamement \u00e9lev\u00e9es, les pare-feu ordinaires bloquent les joueurs normaux, ou la latence est si \u00e9lev\u00e9e que les joueurs abandonnent directement la fosse. J'ai vu la situation la plus scandaleuse : un fabricant utilisant des pare-feu mat\u00e9riels traditionnels a rencontr\u00e9 Syn Flood qui a directement d\u00e9clench\u00e9 les r\u00e8gles de l'ensemble du segment IP de la salle des serveurs pour l'interdire, vraiment !<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1026","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1026","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1026"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1026\/revisions"}],"predecessor-version":[{"id":1099,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1026\/revisions\/1099"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1026"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1026"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1026"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1026"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}