R\u00e9cemment, j'ai aid\u00e9 quelques clients \u00e0 effectuer des tests de p\u00e9n\u00e9tration, j'ai retourn\u00e9 les journaux du CDN, je suis content - bon gars, le trafic d'attaque est presque d\u00e9bordant, la strat\u00e9gie de protection est encore coinc\u00e9e dans le \u201cblocage de l'IP\u201d \u00e0 ce stade primitif. De nos jours, m\u00eame le CDN doit \u201cpr\u00e9venir les co\u00e9quipiers\u201d, vous d\u00e9pensez beaucoup d'argent pour acheter des services de d\u00e9fense de haut niveau, si vous ne regardez pas les logs, cela \u00e9quivaut en fait aux pirates de r\u00e9pandre de l'argent.<\/p>\n
J'ai vu trop d'\u00e9quipes consid\u00e9rer le CDN de haute d\u00e9fense comme une \u201cbo\u00eete noire\u201d, pensant qu'il suffit d'activer la protection pour \u00eatre tranquille. En fait, les journaux du CDN sont plus riches en indices d'attaques que les alarmes du pare-feu. Mais une question se pose : face \u00e0 des centaines de gigaoctets de fichiers journaux, quels sont finalement les champs dont il faut se pr\u00e9occuper ? Quelles sont les donn\u00e9es qui constituent des signaux vraiment dangereux ? Ne vous inqui\u00e9tez pas, aujourd'hui je vais utiliser l'exp\u00e9rience du monde r\u00e9el pour vous aider \u00e0 d\u00e9monter.<\/p>\n
Tout d'abord, un malentendu classique : beaucoup de gens viennent pour regarder le pic de bande passante. Les pics de bande passante sont bien s\u00fbr \u00e0 surveiller, mais maintenant l'attaque CC a appris depuis longtemps - les gens avec un faible d\u00e9bit lent frappent, chaque demande IP seulement quelques fois par seconde, en choisissant votre interface dynamique pour commencer. J'ai test\u00e9 le syst\u00e8me de journalisation de CDN5, leurs diagrammes de distribution QPS sont beaucoup plus sensibles que les diagrammes de bande passante, souvent 20 minutes \u00e0 l'avance pour capturer la mont\u00e9e anormale.<\/p>\n
Les mesures vraiment accablantes sont cach\u00e9es dans le code d'\u00e9tat HTTP.<\/strong> Ne vous contentez pas de regarder les erreurs 404\/500, il peut s'agir d'un bogue du programme. Concentrez-vous sur les erreurs 499 (d\u00e9connexion \u00e0 l'initiative du client) et 429 (limite de fr\u00e9quence). La derni\u00e8re fois qu'une station de commerce \u00e9lectronique a recueilli des informations, l'attaquant a utilis\u00e9 un grand nombre d'adresses IP pour lancer la demande d'interface de paiement, puis a imm\u00e9diatement annul\u00e9, et le journal est rempli de 499 :<\/p>\n Laissez directement tomber la demande d'exception 90%.<\/p>\n L'analyse de l'agr\u00e9gation d'URL est le meilleur moyen d'exploiter les logs. M\u00eame les pirates les plus rus\u00e9s laisseront des mod\u00e8les - tels qu'un grand nombre de requ\u00eates pour des chemins sensibles comme `\/wp-admin.php` et `\/api\/v1\/user\/login` en m\u00eame temps. Le panneau de logs de 08Host a une fonctionnalit\u00e9 g\u00e9niale : il signale automatiquement la fr\u00e9quence d'acc\u00e8s \u00e0 des URL similaires, et peut regrouper et afficher les requ\u00eates qui ont \u00e9t\u00e9 cod\u00e9es d'une mani\u00e8re qui est contourn\u00e9e. M\u00eame les demandes de variantes de codage contourn\u00e9es peuvent \u00eatre regroup\u00e9es et affich\u00e9es. Je recommande souvent \u00e0 mes clients de mettre en place des alertes de seuil pour les avertir par SMS lorsqu'une seule URL d\u00e9passe 2 000 requ\u00eates par minute.<\/p>\n Lorsqu'il s'agit d'analyser le comportement des IP, il ne faut pas croire que le blocage d'une seule IP r\u00e9soudra le probl\u00e8me. Les attaques avanc\u00e9es reposent sur l'interrogation d'un pool d'adresses IP, o\u00f9 chaque adresse IP n'est utilis\u00e9e que quelques fois. Mais une machine reste une machine, et il y a toujours des failles. Regardez ce cas r\u00e9el : dans un DDoS, bien que toutes les IP soient nouvelles, j'ai trouv\u00e9 que les User-Agents \u00e9taient tous `Go-http-client\/2.0`, ce qui \u00e9tait manifestement un script Go. Ajouter une r\u00e8gle directement au backend CDN5 :<\/p>\n Supprimez instantan\u00e9ment 70% de trafic ind\u00e9sirable.<\/p>\n Les cartes de distribution g\u00e9ographique constituent \u00e9galement un tr\u00e9sor d'outils. L'acc\u00e8s normal de l'utilisateur a une concentration g\u00e9ographique (par exemple, le trafic de l'entreprise nationale 90% \u00e0 partir du territoire), mais le trafic d'attaque fait souvent un bond en avant au niveau mondial. La semaine derni\u00e8re, une station d'affaires a soudainement vu appara\u00eetre un grand nombre de visites sud-africaines. Plus tard, ils ont ouvert un contr\u00f4le d'acc\u00e8s g\u00e9ographique sur CDN07, et le trafic non professionnel a \u00e9t\u00e9 directement rejet\u00e9, ce qui a fait chuter la pression sur le serveur.<\/p>\n Enfin, parlons d'une technique avanc\u00e9e : la corr\u00e9lation de la chronologie du journal. Si l'on se contente d'observer les pics instantan\u00e9s, on risque de passer \u00e0 c\u00f4t\u00e9 d'attaques lentes ; il faut donc \u00e9tirer la chronologie pour voir la tendance. Par exemple, si l'interface API est habituellement acc\u00e9d\u00e9e 100 fois par minute, puis devient soudainement 500 fois et dure 10 minutes - c'est plus dangereux qu'une rafale instantan\u00e9e de 5 000 fois, car cela ressemble plus \u00e0 une p\u00e9n\u00e9tration \u00e0 basse fr\u00e9quence contr\u00f4l\u00e9e artificiellement. Un bon CDN (tel que 08Host) devrait supporter des alertes personnalis\u00e9es par fen\u00eatre de temps, et pas seulement les statistiques par d\u00e9faut de 5 minutes.<\/p>\n En fait, l'optimisation de la strat\u00e9gie de d\u00e9fense repose sur trois points essentiels : avant les points enfouis (champs de journalisation \u00e0 lire tous), en mati\u00e8re de corr\u00e9lation (analyse crois\u00e9e multidimensionnelle), et apr\u00e8s l'automatisation (blocage des liens d'alarme). De nombreuses entreprises sont bloqu\u00e9es \u00e0 la premi\u00e8re \u00e9tape : m\u00eame Referrer, X-Forwarded-For, ces champs de base, ne sont pas enregistr\u00e9s, et il n'y a aucun moyen de commencer l'analyse ult\u00e9rieure.<\/p>\n Pour vous donner un exemple de configuration, voici le format des journaux qui doivent \u00eatre enregistr\u00e9s en plus du c\u00f4t\u00e9 de Nginx :<\/p>\n N'oubliez pas que les logs CDN ne sont pas des bases de donn\u00e9es \u00e0 archiver, mais des cartes de combat en temps r\u00e9el. Ne regardez pas certains fournisseurs qui explosent, un tr\u00e8s bon syst\u00e8me de journalisation doit prendre en charge : les t\u00e9l\u00e9chargements de journaux originaux, les requ\u00eates API en temps r\u00e9el, les tableaux de bord personnalis\u00e9s. CDN5 est tr\u00e8s performant \u00e0 cet \u00e9gard, m\u00eame le temps de la poign\u00e9e de main TCP peut \u00eatre retir\u00e9 pour effectuer une analyse de latence, afin d'aider les clients \u00e0 d\u00e9couvrir un grand nombre d'attaques lentes.<\/p>\n En fin de compte, la plus grande valeur d'un CDN \u00e0 haute d\u00e9fense n'est pas de transporter le trafic avec force, mais de vous donner les munitions pour l'analyser. La prochaine fois que vous consulterez les journaux, essayez mon ensemble de combinaisons : d'abord la fr\u00e9quence des URL du TOP100, puis une analyse crois\u00e9e du code de l'\u00c9tat et de la distribution g\u00e9ographique, et enfin l'utilisation des fonctions User-Agent pour effectuer le filtrage secondaire - afin de vous assurer que vous pouvez d\u00e9terrer ces demandes \u201cpseudo-normales\u201d cach\u00e9es en profondeur. \"Requ\u00eates.<\/p>\n L'attaque et la d\u00e9fense en mati\u00e8re de s\u00e9curit\u00e9 sont essentiellement une confrontation de co\u00fbts. Si vous supprimez les co\u00fbts de main-d'\u0153uvre d'un attaquant gr\u00e2ce \u00e0 une analyse automatis\u00e9e, il ne peut pas gagner. Allez v\u00e9rifier votre configuration de journalisation CDN maintenant, et ne dites pas que je ne vous ai pas pr\u00e9venu - il y a des nids de poule qu'il faut attendre qu'ils s'\u00e9croulent avant de penser \u00e0 les remplir.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 quelques clients \u00e0 effectuer des tests de p\u00e9n\u00e9tration, j'ai retourn\u00e9 les journaux du CDN, je suis content - bon gars, le trafic d'attaque est presque d\u00e9bordant, la strat\u00e9gie de protection est encore coinc\u00e9e dans le \u201cblocage de l'IP\u201d \u00e0 ce stade primitif. De nos jours, m\u00eame le CDN doit \u201cpr\u00e9venir les co\u00e9quipiers\u201d, vous d\u00e9pensez beaucoup d'argent pour acheter des services de haute d\u00e9fense, si vous ne regardez pas les logs, c'est comme si les hackers pouvaient r\u00e9pandre de l'argent. J'ai vu trop d'\u00e9quipes consid\u00e9rer le CDN de haute d\u00e9fense comme une \u201cbo\u00eete noire\u201d, pensant qu'ouvrir la protection leur permettrait de se reposer tranquillement. En fait, les journaux de CDN cachent des indices d'attaques que l'alarme du pare-feu est riche. Mais la question se pose : des centaines de gigaoctets de fichiers journaux, en fin de compte, quels sont les champs dont il faut se pr\u00e9occuper ? Quelles sont les donn\u00e9es qui constituent des signaux vraiment dangereux ? Ne vous inqui\u00e9tez pas, aujourd'hui je vais utiliser l'exp\u00e9rience du monde r\u00e9el pour vous aider \u00e0 d\u00e9monter. Tout d'abord, je crache sur un malentendu classique : beaucoup de gens viennent pour fixer le pic de bande passante. Il faut certes se m\u00e9fier des pics de bande passante, mais la tendance actuelle est \u00e0 la baisse.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1031","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1031","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1031"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1031\/revisions"}],"predecessor-version":[{"id":1094,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1031\/revisions\/1094"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1031"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1031"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1031"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1031"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}