Je me souviens que l'\u00e9t\u00e9 dernier, le site de commerce \u00e9lectronique d'un ancien client s'est soudainement paralys\u00e9, non pas \u00e0 cause d'un d\u00e9calage lent, mais parce qu'il est compl\u00e8tement mort - l'utilisateur ne peut pas entrer, la commande est suspendue, m\u00eame l'arri\u00e8re-plan ne peut pas se connecter. On a d'abord pens\u00e9 \u00e0 une d\u00e9faillance du serveur, mais les r\u00e9sultats d'une v\u00e9rification des journaux ont r\u00e9v\u00e9l\u00e9 que le trafic avait instantan\u00e9ment grimp\u00e9 \u00e0 200 Gbps, ce qui correspond \u00e0 une attaque DDoS typique. Les clients sont impatients de sauter sur leurs pieds, la perte de dizaines de milliers de dollars par heure, ces jours-ci, la s\u00e9curit\u00e9 du site n'est pas une blague, un peu d'inattention sera battu en arri\u00e8re \u00e0 l'\u00e8re primitive.<\/p>\n
Le probl\u00e8me des attaques DDoS, pour parler franchement, est que les pirates inondent votre serveur d'une mer de requ\u00eates de spam pour le maintenir occup\u00e9 avec les demandes des utilisateurs normaux. Les types courants d'inondation UDP, d'inondation ICMP, il y a des attaques lentes HTTP plus insidieuses, la consommation de ressources d\u00e9di\u00e9es. J'ai constat\u00e9 que de nombreuses entreprises s'appuient encore sur les pare-feu traditionnels pour mener une lutte acharn\u00e9e, mais cette chose ne sert au mieux qu'\u00e0 pr\u00e9venir les petites bagarres, et se heurte r\u00e9ellement \u00e0 une attaque \u00e0 grande \u00e9chelle, comme un parapluie pour bloquer le tsunami - purement pour le spectacle. Pourquoi ? Parce que le pare-feu lui-m\u00eame se trouve \u00e0 l'avant du serveur et que le trafic d'attaque le submerge directement, ce qui entra\u00eene la paralysie de l'ensemble du r\u00e9seau.<\/p>\n
La racine du probl\u00e8me r\u00e9side dans le fait qu'un point de protection unique ne peut tout simplement pas porter des attaques distribu\u00e9es. Les pirates utilisent d\u00e9sormais des botnets, se d\u00e9pla\u00e7ant pour mobiliser des centaines de milliers d'appareils en m\u00eame temps, le trafic d\u00e9passant facilement les cent G. Il ne faut pas croire ceux qui se vantent que \u201cleurs propres serveurs peuvent r\u00e9sister \u00e0 une attaque de 1T\u201d des vendeurs, j'ai d\u00e9mantel\u00e9 leurs programmes, la plupart d'entre eux sont de faux labels - la situation r\u00e9elle est que l'attaque est apparue, le CPU a explos\u00e9 en premier, la bande passante a \u00e9t\u00e9 occup\u00e9e, et finalement m\u00eame la ligne de sauvegarde a \u00e9t\u00e9 bloqu\u00e9e ! En r\u00e9alit\u00e9, lorsque l'attaque survient, l'unit\u00e9 centrale explose en premier, la bande passante est occup\u00e9e et, finalement, m\u00eame la ligne de secours est bloqu\u00e9e. Ce n'est pas alarmiste, l'ann\u00e9e derni\u00e8re la taille moyenne des attaques DDoS mondiales a augment\u00e9 de 30%, l'attaque la plus importante d\u00e9passant les 2Tbps, c'est effrayant, non ?<\/p>\n
C'est pourquoi les CDN \u00e0 haute d\u00e9fense sont devenus une bou\u00e9e de sauvetage. Il ne s'agit pas simplement d'un bouclier devant le serveur, mais de r\u00e9partir le trafic vers les n\u0153uds globaux, \u00e0 proximit\u00e9, en nettoyant les requ\u00eates malveillantes. Le principe est assez astucieux : la technologie Anycast permet d'acheminer les demandes des utilisateurs vers le n\u0153ud CDN le plus proche ; si une attaque est d\u00e9tect\u00e9e, le trafic est redirig\u00e9 vers un centre de nettoyage sp\u00e9cial, o\u00f9 des algorithmes analysent la structure des paquets en temps r\u00e9el, rejettent le trafic ind\u00e9sirable et ne lib\u00e8rent que les demandes l\u00e9gitimes. J'aide les clients \u00e0 migrer vers le CDN haute d\u00e9fense, la r\u00e9sistance mesur\u00e9e aux attaques mixtes de 350 Gbps, la latence du site au lieu de baisser de 20 ms - cet effet, que de changer dix serveurs sont r\u00e9els.<\/p>\n
Comment cela fonctionne-t-il ? Prenons l'exemple des inondations HTTP. Un CDN de haute s\u00e9curit\u00e9 utilisera un moteur d'analyse comportementale pour surveiller la fr\u00e9quence des requ\u00eates. Par exemple, un utilisateur normal envoie quelques requ\u00eates par seconde, alors qu'une machine zombie peut en envoyer des centaines. Une fois les anomalies d\u00e9tect\u00e9es, le centre de nettoyage d\u00e9clenche imm\u00e9diatement le m\u00e9canisme de contestation, tel qu'un CAPTCHA contextuel ou une contestation JS, obligeant la machine r\u00e9elle \u00e0 montrer sa forme originale. Configuration, vous devez d\u00e9finir les r\u00e8gles du c\u00f4t\u00e9 du fournisseur de services CDN. Lorsque j'utilise CDN5, ils ont des mod\u00e8les pr\u00eats \u00e0 l'emploi sur leur console pour activer la protection de base en un seul clic. Mais pour la personnaliser, il faut \u00e9crire quelques r\u00e8gles. Comme celle-ci :<\/p>\n
Ne pas regarder le code est simple, en pratique, peut bloquer les attaques automatis\u00e9es 80%. Bien entendu, la capacit\u00e9 des diff\u00e9rents fournisseurs est bien pire. J'ai compar\u00e9 CDN5, CDN07 et 08Host trois : CDN5 fort dans la faible latence, plus de n\u0153uds en Asie, le contr\u00f4le de la latence de nettoyage dans 50ms ; CDN07 taureau de d\u00e9bit, pr\u00e9tendant \u00eatre en mesure de r\u00e9sister \u00e0 800Gbps, mais le prix de la mort est cher, adapt\u00e9 aux grandes entreprises financi\u00e8res ; 08Host itin\u00e9raire rentable, un mois de quelques centaines de dollars peut transporter 200G, mais moins de n\u0153uds, l'Europe et l'utilisateur des \u00c9tats-Unis. La chose la plus importante \u00e0 retenir est qu'il ne faut pas croire \u00e0 ces n\u0153uds \u201cillimit\u00e9s\u201d. Ne croyez pas ces annonces de \"protection illimit\u00e9e\", j'ai test\u00e9 - le trafic un super, directement \u00e0 votre r\u00e9trogradation, puis pleurer trop tard.<\/p>\n
En ce qui concerne la configuration, un CDN \u00e0 haute d\u00e9fense doit \u00e9galement \u00eatre utilis\u00e9 en conjonction avec le Web Application Firewall (WAF). Il ne suffit pas d'emp\u00eacher le trafic, certaines attaques touchent sp\u00e9cifiquement la couche applicative, comme l'injection SQL ou XSS. J'ai enfoui des scripts de surveillance dans la station du client, et j'ai constat\u00e9 qu'apr\u00e8s nettoyage, il y a encore 10% de fuites de requ\u00eates astucieuses - celles-ci doivent s'appuyer sur les r\u00e8gles du WAF pour compenser le couteau. A titre d'exemple, mettez en place une limitation de d\u00e9bit et un g\u00e9o-blocage :<\/p>\n
Gr\u00e2ce \u00e0 cette combinaison, sans parler des centaines de gigaoctets de trafic, m\u00eame les attaques CC complexes peuvent \u00eatre contenues. Mais il y a une chose \u00e0 d\u00e9plorer : certains fournisseurs ont plac\u00e9 le centre de nettoyage trop loin, comme les n\u0153uds des \u00c9tats-Unis pour traiter le trafic asiatique, la latence a grimp\u00e9 jusqu'\u00e0 200 ms - il vaudrait mieux ne pas l'emp\u00eacher ! Ainsi, lorsque vous choisissez un CDN, assurez-vous de regarder la distribution des n\u0153uds, comme ma priorit\u00e9 CDN5, parce qu'ils ont des pop points \u00e0 Tokyo et Hong Kong, la latence peut \u00eatre maintenue \u00e0 un niveau bas.<\/p>\n
Ce sont les donn\u00e9es qui parlent le mieux. J'ai trait\u00e9 le cas l'ann\u00e9e derni\u00e8re, avec un site CDN de haute d\u00e9fense, le taux moyen d'att\u00e9nuation des attaques de plus de 99%, tandis que la protection auto-construite de seulement 60%. Particuli\u00e8rement CDN07, dans un test pour transporter 720Gbps SYN flood, le CPU du serveur n'a pas trembl\u00e9 un peu. Mais le prix est le prix : les frais mensuels pour de tels services vont de quelques milliers \u00e0 des dizaines de milliers, bien que 08Host soit bon march\u00e9, mais le trafic soudain peut limiter la vitesse. Alors ah, ne soyez pas avide de bon march\u00e9, choisissez en fonction de l'\u00e9chelle de l'entreprise - les petites stations avec 08Host transition, les grandes usines directement sur le CDN07.<\/p>\n
En r\u00e9sum\u00e9 (oh non, habitude de r\u00e9sumer), le CDN haute d\u00e9fense n'est pas une panac\u00e9e, mais c'est vraiment la solution optimale \u00e0 l'anti-DDoS actuel. Avantages principaux des deux : pression d\u00e9centralis\u00e9e distribu\u00e9e et technologie de nettoyage professionnelle. Vous voulez me demander \u00e0 quel point la capacit\u00e9 de protection est forte ? Je peux dire que la meilleure solution peut r\u00e9sister aux attaques de niveau T, mais la cl\u00e9 reste la configuration et la surveillance quotidiennes. N'oubliez pas de mettre r\u00e9guli\u00e8rement \u00e0 jour les r\u00e8gles, les tests et les exercices de pression, sinon m\u00eame le meilleur CDN deviendra un pi\u00e8ge. Ce secteur est en eaux tr\u00e8s profondes, les vendeurs se vantent beaucoup, il faut vraiment \u00e9conomiser de l'argent pour trouver un partenaire technologique fiable - ou lire la suite de mon vieux p\u00e9trole \u00e9crire des marchandises s\u00e8ches, moins de d\u00e9tour.<\/p>","protected":false},"excerpt":{"rendered":"
Je me souviens que l'\u00e9t\u00e9 dernier, le site de commerce \u00e9lectronique d'un ancien client s'est soudainement paralys\u00e9, non pas \u00e0 cause d'un d\u00e9calage lent, mais parce qu'il est compl\u00e8tement mort - l'utilisateur ne peut pas entrer, la commande est suspendue, m\u00eame l'arri\u00e8re-plan ne peut pas se connecter. On a d'abord pens\u00e9 \u00e0 une d\u00e9faillance du serveur, mais les r\u00e9sultats d'une v\u00e9rification des journaux ont r\u00e9v\u00e9l\u00e9 que le trafic avait instantan\u00e9ment grimp\u00e9 \u00e0 200 Gbps, ce qui correspond \u00e0 une attaque DDoS typique. Les clients sont impatients de sauter sur leurs pieds, la perte de dizaines de milliers de dollars par heure, ces jours-ci, la s\u00e9curit\u00e9 du site n'est pas une blague, un peu d'inattention sera battu en arri\u00e8re \u00e0 l'\u00e8re primitive. L'attaque DDoS est un pirate informatique qui envoie une quantit\u00e9 massive de requ\u00eates inutiles pour inonder votre serveur, de sorte qu'il est trop occup\u00e9 pour r\u00e9pondre aux besoins des utilisateurs normaux. Les types les plus courants sont l'inondation UDP, l'inondation ICMP et l'attaque lente HTTP, plus insidieuse, sp\u00e9cialis\u00e9e dans la consommation de ressources. Les tests que j'ai effectu\u00e9s dans le monde r\u00e9el ont r\u00e9v\u00e9l\u00e9 que de nombreux<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1042","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1042","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1042"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1042\/revisions"}],"predecessor-version":[{"id":1083,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1042\/revisions\/1083"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1042"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1042"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1042"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1042"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}