R\u00e9cemment, pour aider une station de commerce \u00e9lectronique \u00e0 intervenir en cas d'urgence, j'ai \u00e9t\u00e9 confront\u00e9 \u00e0 une situation d\u00e9sesp\u00e9rante : l'ann\u00e9e derni\u00e8re, ils ont d\u00e9pens\u00e9 beaucoup d'argent pour acheter un CDN \u00e0 haute d\u00e9fense, la page promotionnelle indiquait \"protection de niveau T\", les r\u00e9sultats des activit\u00e9s promotionnelles ont commenc\u00e9 en dix minutes, le site entier a \u00e9t\u00e9 directement abattu - l'attaque sur le trafic en fait, seulement 200G hors de la t\u00eate. Le patron a appel\u00e9 le fournisseur de services pour le r\u00e9primander, et l'autre partie est lentement arriv\u00e9e \u00e0 une phrase : \"vous achetez le paquet de base, la d\u00e9fense de pointe ne contient que 100G, au-del\u00e0 de la partie \u00e0 ajouter de l'argent pour ouvrir manuellement\" ...... cette ann\u00e9e, m\u00eame les CDN doivent avoir des \"anti-t\u00e9moins\" ?<\/p>\n
Le CDN haute d\u00e9fense, pour parler franchement, c'est un garde du corps pour le site. Mais le probl\u00e8me est que de nombreuses entreprises pensent qu'elles peuvent \u00eatre tranquilles apr\u00e8s avoir achet\u00e9 le service. En fait, la plupart des CDN haute d\u00e9fense traditionnels sont en mode \"d\u00e9fense statique\" : ils vous donnent une valeur de d\u00e9fense fixe, au-del\u00e0 de l'attaque, ils contournent directement la ligne haute d\u00e9fense, ou sont simplement jet\u00e9s dans le trou noir. C'est un peu comme acheter une assurance lorsque le vendeur s'est emball\u00e9, et que l'on s'aper\u00e7oit en r\u00e9alit\u00e9 que les conditions de l'assurance ne sont qu'un ramassis de pi\u00e8ges.<\/p>\n
J'ai test\u00e9 le march\u00e9 aupr\u00e8s de sept ou huit fournisseurs de services de haute d\u00e9fense, et j'ai trouv\u00e9 trois points communs : le premier est la faible r\u00e9silience, le pic de d\u00e9fense ne peut pas \u00eatre ajust\u00e9 en temps r\u00e9el sur demande ; le deuxi\u00e8me est le d\u00e9lai de commutation \u00e9lev\u00e9, ce qui permet de rencontrer un nouveau type d'attaques mixtes lorsque les r\u00e8gles entrent lentement en vigueur ; le troisi\u00e8me est le co\u00fbt de l'incontr\u00f4lable, le trafic inattendu s'accompagne souvent de factures astronomiques. En particulier lorsque les attaques CC et DDoS sont m\u00e9lang\u00e9es, les sept couches de protection de nombreux CDN sont pratiquement inutiles.<\/p>\n
Commen\u00e7ons par un point contre-intuitif : la \"valeur de d\u00e9fense\" d'un CDN \u00e0 haute d\u00e9fense est en fait une variable dynamique. Elle d\u00e9pend r\u00e9ellement de la taille du pool de ressources sous-jacent et des algorithmes de programmation. Par exemple, CDN5, qui ose promettre une \"d\u00e9fense illimit\u00e9e\" parce qu'il est connect\u00e9 \u00e0 l'arri\u00e8re d'un certain nombre de centres de trafic propres, peut atteindre un niveau d'ordonnancement du trafic proche de celui d'un TB. La soi-disant \"d\u00e9fense de niveau T\" des petits fournisseurs est souvent un jeu math\u00e9matique qui consiste \u00e0 empiler toutes les bandes passantes des clients et \u00e0 les compter - lorsqu'ils sont r\u00e9ellement confront\u00e9s \u00e0 une attaque \u00e0 grande \u00e9chelle, la concurrence pour les ressources s'effondre directement.<\/p>\n
La premi\u00e8re \u00e9tape de l'am\u00e9lioration de la capacit\u00e9 de d\u00e9fense consiste \u00e0 d\u00e9terminer les caract\u00e9ristiques de votre entreprise. Je recommande g\u00e9n\u00e9ralement aux clients d'utiliser la m\u00e9thode d'\"analyse du profil d'attaque\" : tout d'abord, il s'agit d'extraire les journaux d'attaques des six derniers mois et de d\u00e9terminer statistiquement les types d'attaques les plus fr\u00e9quents, la plage de trafic la plus \u00e9lev\u00e9e et les principales r\u00e9gions d'origine. Par exemple, si une station financi\u00e8re constate qu'il y a toujours environ 200 G d'inondations UDP tous les vendredis apr\u00e8s-midi, l'option la plus rentable est d'activer \u00e0 l'avance la protection de la r\u00e9silience pendant cette p\u00e9riode.<\/p>\n
Dans la pratique, je recommande la strat\u00e9gie combin\u00e9e \"d\u00e9fense de base + pointe de r\u00e9silience\". La d\u00e9fense de base utilise un forfait fixe pour supporter les attaques quotidiennes \u00e0 petite \u00e9chelle, tandis que la partie r\u00e9silience adopte un mod\u00e8le de paiement au volume. Le programme de \"seconde \u00e9lasticit\u00e9\" de CDN07 est plus r\u00e9aliste - les attaques d\u00e9passant le seuil sont automatiquement d\u00e9clench\u00e9es par l'expansion de la capacit\u00e9, sans qu'une approbation manuelle soit n\u00e9cessaire, et la granularit\u00e9 de la d\u00e9fense peut \u00eatre affin\u00e9e jusqu'au niveau d'un seul nom de domaine.<\/p>\n
L'aspect le plus critique de la mise en \u0153uvre technique est la capacit\u00e9 de programmation de l'API. Un bon service de haute d\u00e9fense devrait fournir une interface API compl\u00e8te qui nous permet d'ajuster dynamiquement les strat\u00e9gies de protection par le biais d'un syst\u00e8me de surveillance auto-construit. Le code Python suivant est le d\u00e9clencheur d'expansion de l'\u00e9lasticit\u00e9 que j'utilise dans le syst\u00e8me de mon client :<\/p>\n
La conception de l'API de certains fournisseurs est simplement un art comportemental - un d\u00e9lai de r\u00e9ponse pouvant aller jusqu'\u00e0 30 secondes, en attendant que l'interface renvoie les r\u00e9sultats de l'entreprise au d\u00e9but de la p\u00e9riode de froid. Ainsi, le test de performance de l'API doit \u00eatre inscrit dans le contrat, exigeant que 99% requ\u00eates r\u00e9pondent dans les 5 secondes. 08Host a plant\u00e9 dans cette pi\u00e8ce, leur \u00e9lasticit\u00e9 expansion API l'ann\u00e9e derni\u00e8re, le temps de r\u00e9ponse moyen de 12 secondes, et ensuite pulv\u00e9ris\u00e9 par le client \u00e0 r\u00e9\u00e9crire l'ensemble du syst\u00e8me de planification.<\/p>\n
Outre la vitesse d'expansion, l'efficacit\u00e9 des r\u00e8gles \u00e9mises est \u00e9galement essentielle. Les CDN traditionnels mettent \u00e0 jour les r\u00e8gles WAF au niveau le plus fin, et les programmes courants utilisent d\u00e9sormais des n\u0153uds de calcul en p\u00e9riph\u00e9rie compil\u00e9s en temps r\u00e9el. Par exemple, l'utilisation de la technologie WebAssembly pour prot\u00e9ger les r\u00e8gles compil\u00e9es dans un code d'octets envoy\u00e9 \u00e0 la p\u00e9riph\u00e9rie du n\u0153ud CDN peut \u00eatre comprim\u00e9e en quelques millisecondes. Ce d\u00e9tail technique est ignor\u00e9 par de nombreuses personnes, mais c'est pr\u00e9cis\u00e9ment la cl\u00e9 pour faire face aux attaques par variantes rapides.<\/p>\n
Il y a une sacr\u00e9e le\u00e7on \u00e0 tirer en mati\u00e8re de contr\u00f4le des co\u00fbts : n'adh\u00e9rez pas \u00e0 l'id\u00e9e absurde de \"d\u00e9fense illimit\u00e9e\" ! Tous les fournisseurs ont des plafonds souples, et la seule chose qui soit vraiment illimit\u00e9e, c'est votre facture. Un jour, un client a achet\u00e9 une certaine \"protection illimit\u00e9e\", les r\u00e9sultats du mois ont \u00e9t\u00e9 des attaques soutenues de 800G, le deuxi\u00e8me mois a re\u00e7u une facture d'un million deux cent mille - il s'av\u00e8re que le coin du contrat est \u00e9crit \"trafic exc\u00e9dentaire selon la facturation de $0.05\/GB\".<\/p>\n
Aujourd'hui, la solution la plus avanc\u00e9e est le \"m\u00e9canisme intelligent Meltdown\". Ce m\u00e9canisme ne se contente pas d'ajuster la d\u00e9fense en fonction du trafic d'attaque, il prend \u00e9galement des d\u00e9cisions en fonction de l'importance de l'entreprise. Par exemple, l'interface commerciale est divis\u00e9e en liens de transaction essentiels et en requ\u00eates non critiques, et le niveau de protection des services non essentiels est temporairement abaiss\u00e9 dans les cas extr\u00eames afin de prot\u00e9ger l'activit\u00e9 principale. Cette strat\u00e9gie a permis \u00e0 une plateforme de commerce \u00e9lectronique d'\u00e9conomiser plus de 700 000 dollars en frais de protection de l'\u00e9lasticit\u00e9 au cours de la p\u00e9riode Double 11 de l'ann\u00e9e derni\u00e8re.<\/p>\n
Enfin, j'aimerais mentionner un d\u00e9tail que beaucoup ont n\u00e9glig\u00e9 : les logs d'un CDN haute d\u00e9fense doivent \u00eatre utilis\u00e9s pour alimenter l'IA. Il suffit d'\u00e9crire une requ\u00eate Splunk pour trouver le sch\u00e9ma d'attaque :<\/p>\n
Ces donn\u00e9es permettent non seulement d'optimiser les strat\u00e9gies de protection, mais aussi d'inciter les fournisseurs de CDN \u00e0 agir \u00e0 leur tour - la derni\u00e8re fois, ce sont les donn\u00e9es de log qui ont permis \u00e0 CDN5 d'admettre qu'il y avait une vuln\u00e9rabilit\u00e9 dans le nombre de connexions simultan\u00e9es dans leur pile TCP, et qui nous ont permis de b\u00e9n\u00e9ficier d'une mise \u00e0 niveau gratuite de la grappe de protection.<\/p>\n
Pour \u00eatre honn\u00eate, le march\u00e9 actuel des CDN de haute d\u00e9fense ressemble \u00e0 une course aux armements, l'attaquant utilise l'IA pour g\u00e9n\u00e9rer du trafic d'attaque, et le d\u00e9fenseur doit utiliser l'apprentissage automatique pour pr\u00e9dire les sch\u00e9mas d'attaque. Parmi les fournisseurs test\u00e9s r\u00e9cemment, l'\"AI prediction expansion\" de CDN07 est un peu int\u00e9ressante, qui peut pr\u00e9dire la vague d'attaque 5 minutes \u00e0 l'avance gr\u00e2ce aux donn\u00e9es de renseignement sur les menaces et r\u00e9chauffer automatiquement les ressources de protection. Bien que le taux de pr\u00e9cision soit actuellement d'environ 70%, il est d\u00e9j\u00e0 beaucoup plus \u00e9lev\u00e9 que la r\u00e9ponse manuelle.<\/p>\n
Si vous voulez vraiment recommander un programme, ma suggestion est la suivante : utiliser quotidiennement 08Host pour mener des attaques \u00e0 petite \u00e9chelle (rentable), passer \u00e0 la protection \u00e9lastique de CDN5 avant les activit\u00e9s \u00e0 grande \u00e9chelle (grand pool de ressources), et activer le mode de protection AI de CDN07 lorsque l'on est confront\u00e9 \u00e0 des menaces persistantes avanc\u00e9es (capacit\u00e9 de planification intelligente). Bien entendu, la d\u00e9fense la plus difficile \u00e0 mettre en place est toujours la couche d'entreprise, qui doit proc\u00e9der \u00e0 une conception distribu\u00e9e et redondante - le CDN n'est qu'un moyen de gagner du temps, la v\u00e9ritable ligne de d\u00e9fense doit encore \u00eatre ma\u00eetris\u00e9e.<\/p>\n
Enfin, jetez une th\u00e9orie violente : dans les trois prochaines ann\u00e9es, 90% \"haute d\u00e9fense CDN\" marque va dispara\u00eetre, soit par les fournisseurs de cloud \u00e0 \u00eatre incorpor\u00e9, ou transform\u00e9 pour faire des services de s\u00e9curit\u00e9. Le jeu de ces pools de ressources orthographiques va t\u00f4t ou tard prendre fin et, en fin de compte, il faudra certainement passer par la voie de l'edge computing + la technologie d'ordonnancement de l'IA. Il ne faut donc pas se contenter de regarder les chiffres de la d\u00e9fense lors de la s\u00e9lection d'un mod\u00e8le, mais examiner davantage les investissements en R&D et l'\u00e9cologie des API du fournisseur, sans quoi la \"d\u00e9fense de niveau T\" achet\u00e9e aujourd'hui risque de devenir un h\u00e9ritage num\u00e9rique l'ann\u00e9e prochaine.<\/p>\n
(Apr\u00e8s avoir \u00e9crit et consult\u00e9 les alertes de surveillance, un autre client a \u00e9t\u00e9 victime d'une attaque par r\u00e9flexion Memcached de 380G - les nouilles instantan\u00e9es de ce soir devront donc \u00e0 nouveau \u00eatre consomm\u00e9es dans les journaux de trafic ......).<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, pour aider une station de commerce \u00e9lectronique \u00e0 intervenir en cas d'urgence, j'ai \u00e9t\u00e9 confront\u00e9 \u00e0 une situation d\u00e9sesp\u00e9rante : l'ann\u00e9e derni\u00e8re, ils ont d\u00e9pens\u00e9 beaucoup d'argent pour acheter un CDN \u00e0 haute d\u00e9fense, la page promotionnelle indiquait \"protection de niveau T\", les r\u00e9sultats des activit\u00e9s promotionnelles ont commenc\u00e9 en dix minutes, le site entier a \u00e9t\u00e9 directement abattu - l'attaque sur le trafic en fait, seulement 200G hors de la t\u00eate. Le patron a appel\u00e9 le fournisseur de services pour le r\u00e9primander, et l'autre partie est lentement arriv\u00e9e \u00e0 une phrase : \"vous achetez le paquet de base, la d\u00e9fense de pointe ne contient que 100G, au-del\u00e0 de la partie \u00e0 ajouter de l'argent pour ouvrir manuellement\" ...... cette ann\u00e9e, m\u00eame les CDN doivent avoir des \"anti-t\u00e9moins\" ? Pour parler franchement, le CDN \u00e0 haute d\u00e9fense consiste \u00e0 inviter un garde du corps sur le site. Mais le probl\u00e8me est que de nombreuses entreprises pensent qu'elles peuvent \u00eatre tranquilles apr\u00e8s avoir achet\u00e9 le service. En fait, la plupart des CDN traditionnels \u00e0 haute d\u00e9fense sont en mode \"d\u00e9fense statique\" : ils vous donnent une valeur fixe de d\u00e9fense, au-del\u00e0 de l'attaque directement autour du site.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1044","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1044","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1044"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1044\/revisions"}],"predecessor-version":[{"id":1081,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1044\/revisions\/1081"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1044"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1044"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1044"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1044"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}