Quand il s'agit de la protection des sites web d'\u00e9checs, il faut vraiment que je crache le morceau. De nos jours, les attaques DDoS font partie du quotidien, en particulier les attaques cibl\u00e9es contre l'IP du site source, qui peuvent paralyser toute l'entreprise si l'on n'y prend pas garde. Je me souviens que l'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 un client \u00e0 faire face \u00e0 des probl\u00e8mes, leur plate-forme d'\u00e9checs parce que l'IP de la station source a \u00e9t\u00e9 expos\u00e9e, par un groupe de gangs de chantage pendant trois jours, la perte quotidienne moyenne de plus de 100 000, le t\u00e9l\u00e9phone du service \u00e0 la client\u00e8le est presque tomb\u00e9 en panne. Depuis, j'ai tout compris : il ne suffit pas de s'appuyer sur l'acc\u00e9l\u00e9ration du cache CDN traditionnel, il faut jouer avec le transfert multicouche et le masquage de la station source, afin d'assurer v\u00e9ritablement la s\u00e9curit\u00e9.<\/p>\n
Quel est le probl\u00e8me ? Pour faire simple, l'industrie du jeu d'\u00e9checs est par nature une zone sinistr\u00e9e pour les attaques. Les enjeux \u00e9lev\u00e9s et la concurrence conduisent \u00e0 des mol\u00e9cules de chantage qui cherchent fr\u00e9n\u00e9tiquement des failles, et l'IP de la station source est comme la cl\u00e9 de la porte d\u00e9rob\u00e9e de la maison, une fois que vous l'avez obtenue, les attaques DDoS, CC sont toutes \u00e0 venir. De nombreux webmasters pensent que tout ira bien s'ils utilisent un CDN, mais en fait, si la configuration n'est pas appropri\u00e9e, le CDN deviendra complice de la fuite d'IP. Par exemple, certains services CDN dans la source de retour n'ont pas fait un bon travail d'isolation, ou les param\u00e8tres de r\u00e9solution DNS sont erron\u00e9s, l'attaquant sera en mesure de scanner, de d\u00e9tourner, et m\u00eame des moyens d'ing\u00e9nierie sociale pour d\u00e9terrer la v\u00e9ritable IP. J'ai test\u00e9 quelques cas, et j'ai constat\u00e9 que plus de 60% chess station il y a un risque d'exposition IP, en particulier ceux qui utilisent un CDN bon march\u00e9, la couche de protection est aussi mince que du papier.<\/p>\n
Une analyse plus approfondie montre que la cause premi\u00e8re de l'exposition \u00e0 l'IP r\u00e9side souvent dans l'architecture \u00e0 un seul niveau. Le CDN traditionnel se contente d'effectuer une simple transmission par proxy, l'attaquant dispose d'un peu de technologie, comme l'analyse de l'en-t\u00eate de la r\u00e9ponse, le suivi des enregistrements DNS ou l'utilisation des informations du certificat SSL, qui lui permet de d\u00e9duire \u00e0 rebours l'emplacement de la station d'origine. Pire encore, certains webmasters, pour s'\u00e9pargner des ennuis, renvoient directement le CDN vers l'IP publique, ce qui n'est pas la m\u00eame chose que de s'exposer \u00e0 la porte ? Ne croyez pas \u00e0 ces stratag\u00e8mes marketing de \u201cprotection en un clic\u201d - j'ai vu trop de clients tomber dans ce pi\u00e8ge. Une solution vraiment fiable d\u00e9pend d'un transfert multicouche : plusieurs n\u0153uds interm\u00e9diaires pour disperser le trafic, de sorte que l'attaquant ne puisse pas toucher directement la source. Dans le m\u00eame temps, il faut dissimuler compl\u00e8tement la source, de sorte que l'IP soit comme rev\u00eatue d'une cape d'invisibilit\u00e9, et que m\u00eame ses propres employ\u00e9s soient difficiles \u00e0 trouver.<\/p>\n
Pour y rem\u00e9dier, je recommande une double strat\u00e9gie combinant le transfert multicouche et la dissimulation de la source. Tout d'abord, le transfert multicouche : il ne s'agit pas simplement d'ajouter une couche de CDN, mais de construire un syst\u00e8me de proxy en cha\u00eene. Par exemple, la premi\u00e8re couche de CDN haute d\u00e9fense, telle que CDN5, pour traiter le trafic d'entr\u00e9e, pr\u00e9sente l'avantage d'une forte r\u00e9sistance \u00e0 D. J'ai test\u00e9 sa capacit\u00e9 \u00e0 r\u00e9sister \u00e0 des attaques de 500 Gbps sans s'effondrer. Ensuite, la deuxi\u00e8me couche passe par les n\u0153uds de transmission internes (tels que les serveurs proxy auto-construits) pour acheminer le trafic, et finalement atteindre la source. De cette mani\u00e8re, m\u00eame si l'attaquant franchit la premi\u00e8re couche, il ne verra que l'adresse IP du n\u0153ud interm\u00e9diaire, le site source est toujours en s\u00e9curit\u00e9. La configuration peut \u00eatre r\u00e9alis\u00e9e en utilisant Nginx comme proxy inverse - voici un exemple de mon code habituel :<\/p>\n
Ce param\u00e8tre garantit que le trafic passe par le proxy Nginx avant d'\u00eatre transmis au niveau backend, et que l'IP source est compl\u00e8tement masqu\u00e9e. Notez qu'il est pr\u00e9f\u00e9rable d'utiliser des segments IP priv\u00e9s pour les n\u0153uds interm\u00e9diaires afin d'\u00e9viter une exposition directe au r\u00e9seau public. Lorsque j'ai d\u00e9ploy\u00e9 cette solution pour un client, les tentatives d'attaque ont chut\u00e9 de pr\u00e8s de 90% parce que les attaquants ne pouvaient tout simplement pas comprendre le v\u00e9ritable chemin.<\/p>\n
En ce qui concerne la dissimulation de la station source, la cl\u00e9 se trouve dans le DNS et la strat\u00e9gie de retour de la source. Tout d'abord, n'\u00e9crivez jamais l'IP source dans l'enregistrement DNS - elle doit \u00eatre point\u00e9e vers le CDN avec un CNAME, et l'adresse back-origin du CDN doit \u00eatre r\u00e9gl\u00e9e sur une IP priv\u00e9e ou dynamique.Par exemple, utilisez le service CDN07, qui prend en charge la dissimulation intelligente du back-origin : en randomisant l'IP et le port back-origin, il fait en sorte que chaque demande semble provenir d'un endroit diff\u00e9rent. d'un endroit diff\u00e9rent. J'aime \u00e9galement combiner ce service avec la fonction de r\u00e9seau priv\u00e9 de 08Host, qui place la source sur l'intranet et n'autorise l'acc\u00e8s qu'\u00e0 des n\u0153uds CDN sp\u00e9cifiques. De cette fa\u00e7on, m\u00eame si un attaquant obtient une IP, il s'agit d'un n\u0153ud CDN et non de la source elle-m\u00eame. Comparez les donn\u00e9es : le taux d'exposition \u00e0 l'IP d'un CDN \u00e0 couche unique peut atteindre 30%, mais avec le transfert multicouche, j'ai mesur\u00e9 que la valeur peut \u00eatre supprim\u00e9e \u00e0 moins de 5%.<\/p>\n
En pratique, n'oubliez pas la surveillance et l'analyse des journaux. Je dis toujours que la protection n'est pas une op\u00e9ration ponctuelle - il faut continuer \u00e0 v\u00e9rifier les sch\u00e9mas de trafic pour d\u00e9tecter les analyses inhabituelles. Par exemple, mettez en place des r\u00e8gles d'alerte qui d\u00e9clenchent un blocage imm\u00e9diat lorsqu'une IP tente fr\u00e9quemment de se connecter directement au port source. Des outils comme Wireshark ou des scripts personnalis\u00e9s peuvent \u00eatre utiles. Pour l'anecdote, de nos jours, m\u00eame les CDN doivent \u201cd\u00e9fendre leurs co\u00e9quipiers\u201d, car les fuites dues \u00e0 des erreurs internes sont plus fr\u00e9quentes que les attaques externes. C'est pourquoi il est si important de former votre \u00e9quipe \u00e0 un bon audit de configuration.<\/p>\n
En r\u00e9sum\u00e9, le c\u0153ur du CDN \u00e0 haute d\u00e9fense des \u00e9checs r\u00e9side dans les couches de d\u00e9fense et la dissimulation compl\u00e8te. Gr\u00e2ce au transfert multicouche, vous construisez un labyrinthe qui permet aux attaquants de se perdre dans la cha\u00eene de proxy ; en cachant la station source, vous vous assurez que m\u00eame si le labyrinthe est bris\u00e9, le tr\u00e9sor reste en s\u00e9curit\u00e9. D'apr\u00e8s mon exp\u00e9rience, la combinaison de l'architecture multicouche de CDN5, de la dissimulation intelligente de CDN07 et de l'isolation du r\u00e9seau de 08Host cr\u00e9e une protection presque in\u00e9branlable. Rappelez-vous que la s\u00e9curit\u00e9 n'est pas un co\u00fbt, c'est un investissement - un d\u00e9ploiement minutieux peut vous \u00e9pargner d'innombrables nuits blanches \u00e0 l'avenir. Si vous souhaitez discuter d'un sc\u00e9nario sp\u00e9cifique, n'h\u00e9sitez pas \u00e0 laisser un commentaire et je partagerai avec vous d'autres conseils pratiques \u00e0 tout moment.<\/p>","protected":false},"excerpt":{"rendered":"
Quand il s'agit de la protection des sites web d'\u00e9checs, il faut vraiment que je crache le morceau. De nos jours, les attaques DDoS font partie du quotidien, en particulier les attaques cibl\u00e9es contre l'IP du site source, qui peuvent paralyser toute l'entreprise si l'on n'y prend pas garde. Je me souviens que l'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 un client \u00e0 faire face \u00e0 des probl\u00e8mes, leur plate-forme d'\u00e9checs parce que l'IP de la station source a \u00e9t\u00e9 expos\u00e9e, par un groupe de gangs de chantage pendant trois jours, la perte quotidienne moyenne de plus de 100 000, le t\u00e9l\u00e9phone du service \u00e0 la client\u00e8le est presque tomb\u00e9 en panne. Depuis lors, j'ai tout \u00e0 fait compris : il ne suffit pas de s'appuyer sur l'acc\u00e9l\u00e9ration du cache CDN traditionnel, il faut jouer avec le transfert multicouche et le masquage de la station source, afin de garantir v\u00e9ritablement la s\u00e9curit\u00e9. O\u00f9 est le probl\u00e8me ? Pour dire les choses simplement, l'industrie des \u00e9checs est par nature une zone sinistr\u00e9e pour les attaques. Les enjeux \u00e9lev\u00e9s et la concurrence conduisent \u00e0 des mol\u00e9cules de chantage qui cherchent fr\u00e9n\u00e9tiquement des failles, et l'IP source est comme la cl\u00e9 de la porte arri\u00e8re de la maison, une fois que vous l'avez obtenue, le DDoS est le seul moyen d'assurer la s\u00e9curit\u00e9.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1041","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1041","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1041"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1041\/revisions"}],"predecessor-version":[{"id":1084,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1041\/revisions\/1084"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1041"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1041"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1041"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1041"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}