\u00c0 3 heures du matin, un appel d'urgence de l'\u00e9quipe O&M m'a r\u00e9veill\u00e9. Une plateforme de services de l'administration locale a \u00e9t\u00e9 soudainement paralys\u00e9e, la page a ouvert tous les d\u00e9fis CAPTCHA, les gens ne peuvent tout simplement pas faire des affaires. Le pic du trafic d'attaque a atteint 300 Gbps, le pare-feu traditionnel ressemblant \u00e0 du papier m\u00e2ch\u00e9. Apr\u00e8s cet incident, j'ai tout \u00e0 fait compris que le CDN du syst\u00e8me de services gouvernementaux n'est pas un outil d'acc\u00e9l\u00e9ration, mais une ligne de d\u00e9fense de vie ou de mort.<\/p>\n
Un site web gouvernemental et un site web commercial ordinaire sont deux concepts compl\u00e8tement diff\u00e9rents. Ce \u00e0 quoi vous \u00eates confront\u00e9 peut \u00eatre une organisation APT offshore qui regarde les donn\u00e9es, ou un script kiddie qui s'exerce. Mais le pire, c'est que - attendez la conformit\u00e9 de l'assurance - c'est clairement \u00e9crit : tous les syst\u00e8mes impliquant des donn\u00e9es priv\u00e9es de citoyens doivent \u00eatre dot\u00e9s de capacit\u00e9s anti-DDoS, d'une protection des applications Web et d'un cryptage int\u00e9gral des liens. Il en manque un ? L'acceptation vous donnera directement un carton rouge.<\/p>\n
J'ai vu trop d'unit\u00e9s se faire berner par des vendeurs peu scrupuleux. Si l'on ach\u00e8te un CDN commercial ordinaire et que l'on ose l'installer dans le syst\u00e8me gouvernemental, il faut attendre l'\u00e9valuation de la s\u00e9curit\u00e9 pour constater que m\u00eame les journaux d'attaques ne peuvent pas \u00eatre extraits. La phrase de l'auditeur \"la capacit\u00e9 de protection ne peut pas \u00eatre v\u00e9rifi\u00e9e\" vous laisse directement la moiti\u00e9 d'une ann\u00e9e de travail pour rien. Ce qui est encore pire, c'est que certains n\u0153uds de fournisseurs de CDN ne sont pas eux-m\u00eames conformes et que les donn\u00e9es sont transf\u00e9r\u00e9es en dehors du pays, de sorte que le troisi\u00e8me niveau de protection \u00e9gale devient directement un niveau z\u00e9ro.<\/p>\n
Il faut r\u00e9soudre trois probl\u00e8mes en m\u00eame temps : le premier est le nombre consid\u00e9rable d'attaques, le deuxi\u00e8me est l'int\u00e9grit\u00e9 de la cha\u00eene de preuves de conformit\u00e9, et le troisi\u00e8me est l'\u00e9chec des cas extr\u00eames d'auto-gu\u00e9rison. Ne regardez pas les nombreuses marques de CDN sur le march\u00e9, elles peuvent faire ces trois choses en comptant sur les doigts de la main.<\/p>\n
Commen\u00e7ons par la capacit\u00e9 anti-D. Les attaques CC les plus courantes et les inondations TCP sur les sites web du gouvernement, s'appuyer sur le seul nettoyage du trafic n'est tout simplement pas suffisant. J'ai constat\u00e9 que de nombreux fournisseurs se vantaient d'une protection de niveau T, mais qu'il y avait de l'eau dans leur vin - ils ne comptent que la bande passante de sortie de la salle des serveurs, mais la capacit\u00e9 d'un seul n\u0153ud peut \u00eatre inf\u00e9rieure \u00e0 50 G. Le v\u00e9ritable programme de niveau gouvernemental doit \u00eatre utilis\u00e9 comme le nettoyage multi-niveaux CDN5 : les n\u0153uds de bordure commencent par lutter contre les attaques \u00e0 petite \u00e9chelle, le trafic \u00e0 grande \u00e9chelle avant d'\u00eatre programm\u00e9 pour le centre de la haute d\u00e9fense. L'ann\u00e9e derni\u00e8re, lorsqu'un bureau de s\u00e9curit\u00e9 sociale d'une ville a \u00e9t\u00e9 touch\u00e9, le trafic d'attaque s'est instantan\u00e9ment pr\u00e9cipit\u00e9 \u00e0 470 G. Il est difficile de s'appuyer sur cette conception en couches.<\/p>\n
La protection des applications web est le v\u00e9ritable point sensible. Il y a beaucoup de vieux middleware dans le syst\u00e8me gouvernemental, et la vuln\u00e9rabilit\u00e9 de Struts2 est en train de devenir un art traditionnel. Une bonne base de r\u00e8gles WAF doit contenir des caract\u00e9ristiques gouvernementales, telles que la protection contre les ruptures violentes pour l'interface d'interrogation de la s\u00e9curit\u00e9 sociale et la base de caract\u00e9ristiques d'injection SQL pour le syst\u00e8me d'approbation administrative. Certains fournisseurs utilisent directement des r\u00e8gles g\u00e9n\u00e9riques pour faire des b\u00eatises, ce qui a pour cons\u00e9quence de bloquer les demandes de d\u00e9claration normales - les personnes qui t\u00e9l\u00e9chargent une carte d'identit\u00e9 avec photo d\u00e9clenchent en fait une alerte de \"vuln\u00e9rabilit\u00e9 de t\u00e9l\u00e9chargement de fichier\", ce qui n'arr\u00eate pas l'activit\u00e9 de l'entreprise ?<\/p>\n
Le respect de la p\u00e9r\u00e9quation est le principal \u00e9cueil. Les agences d'\u00e9valuation veulent voir vos journaux de s\u00e9curit\u00e9, vos statistiques d'interception des attaques et vos dossiers d'intervention d'urgence pour une p\u00e9riode d'au moins six mois. De nombreux fournisseurs de CDN sont tout simplement incapables de produire un format de rapport qui r\u00e9ponde aux exigences de la garantie d'\u00e9galit\u00e9 en arri\u00e8re-plan. Ce qui est encore plus scandaleux, c'est que certains n\u0153uds, pour \"optimiser la vitesse\", placent m\u00eame le d\u00e9cryptage du certificat HTTPS sur le traitement du serveur offshore. Si l'on d\u00e9couvre que la transmission des donn\u00e9es se fait \u00e0 l'\u00e9tranger, l'ensemble du projet se verra directement opposer un veto.<\/p>\n
La stabilit\u00e9 est quelque chose que je peux cracher pendant trois jours et trois nuits. L'ann\u00e9e derni\u00e8re, un fournisseur bien connu s'est lanc\u00e9 dans l'\"optimisation des n\u0153uds\", \u00e0 minuit, en ajustant secr\u00e8tement la strat\u00e9gie de routage, ce qui a entra\u00een\u00e9 un retard collectif dans les sept provinces du mini-programme gouvernemental. Le trafic gouvernemental est le plus tabou en ce qui concerne la programmation inattendue - on ne sait jamais quand un dirigeant se r\u00e9unira pour faire une d\u00e9monstration du syst\u00e8me. J'ai choisi de me pencher sur la conception de l'isolation des d\u00e9faillances, comme la \"reprise apr\u00e8s sinistre cellulaire\" de CDN07 : en cas de panne d'un n\u0153ud physique, le trafic n'est pas redispatch\u00e9 sur l'ensemble du r\u00e9seau, mais contr\u00f4l\u00e9 dans la m\u00eame ville au sein de la commutation de l'unit\u00e9 de vie double, l'activit\u00e9 est tout simplement insens\u00e9e.<\/p>\n
Il existe d'autres failles au niveau de la configuration. De nombreuses \u00e9quipes pensent que l'activation du WAF est suffisante, alors qu'en r\u00e9alit\u00e9, les r\u00e8gles par d\u00e9faut ne permettent m\u00eame pas d'assurer une protection de base. Le syst\u00e8me gouvernemental doit \u00eatre dot\u00e9 de r\u00e8gles personnalis\u00e9es, telles que la limitation de la m\u00eame IP \u00e0 une seule demande d'interface de v\u00e9rification d'identit\u00e9 toutes les 10 secondes :<\/p>\n
N'oubliez pas la gestion des certificats. Le syst\u00e8me gouvernemental doit utiliser le certificat d'algorithme secret d'\u00c9tat, mais de nombreux fournisseurs de CDN ne prennent pas en charge SM2\/SM3. L'ann\u00e9e derni\u00e8re, une ville a eu un accident - l'utilisation du CDN de fournisseurs am\u00e9ricains, le certificat SSL a \u00e9t\u00e9 soudainement r\u00e9voqu\u00e9, ce qui a entra\u00een\u00e9 la paralysie du syst\u00e8me d'assurance maladie de la ville pendant deux heures. Aujourd'hui, je me tourne vers le fournisseur pour lui demander trois choses en premier lieu : un soutien secret d'\u00c9tat ? Le certificat peut-il \u00eatre g\u00e9r\u00e9 de mani\u00e8re ind\u00e9pendante ? La cl\u00e9 prend-elle en charge l'h\u00e9bergement de machines de cryptage mat\u00e9riel ?<\/p>\n
En ce qui concerne le choix de la marque, le march\u00e9 r\u00e9pond en fait aux besoins du gouvernement en trois cat\u00e9gories : la premi\u00e8re est CDN5, comme l'\u00e9quipe nationale, la conformit\u00e9 est imbattable, mais le prix est douloureux ; la deuxi\u00e8me est CDN07, ce type de technologie, la planification intelligente est vraiment g\u00e9niale, mais il faut une personnalisation approfondie ; la troisi\u00e8me est 08Host, ce type de guerriers prix-performance, les fonctionnalit\u00e9s de base sont solides, mais les fonctionnalit\u00e9s avanc\u00e9es doivent augmenter l'argent. Ne croyez pas \u00e0 l'absurdit\u00e9 du \"paquet complet\" - j'ai vu le contrat le plus pitoyable \"requ\u00eate de journal en temps r\u00e9el\" compt\u00e9 comme services \u00e0 valeur ajout\u00e9e, soit 200 000 euros de plus par an.<\/p>\n
Enfin, une le\u00e7on de larmes : toujours garder le canal d'urgence de la station source. Apr\u00e8s qu'une unit\u00e9 a coup\u00e9 tout le trafic vers le CDN, le fournisseur a soudainement mis \u00e0 jour le syst\u00e8me, ce qui a entra\u00een\u00e9 une d\u00e9faillance de la r\u00e9solution DNS. Le fonctionnement et la maintenance de l'IP de la station source se cachent trop profond\u00e9ment, leurs propres employ\u00e9s ne peuvent pas trouver un programme d'acc\u00e8s de secours. En fin de compte, nous n'avons pu que regarder le syst\u00e8me tomber en panne pendant 6 heures. Maintenant, mon \u00e9quipe a des exigences obligatoires : tout programme CDN doit \u00eatre configur\u00e9 avec un CNAME de sauvegarde, et une fois par mois pour la station source directement connect\u00e9e \u00e0 l'exercice.<\/p>\n
Les caract\u00e9ristiques de circulation du syst\u00e8me gouvernemental sont \u00e9galement tr\u00e8s particuli\u00e8res. De 9 \u00e0 11 heures, c'est le pic d'acc\u00e8s \u00e0 la s\u00e9curit\u00e9 sociale et \u00e0 l'assurance maladie, de 14 \u00e0 16 heures, c'est l'approbation administrative centralis\u00e9e, et \u00e0 la fin du mois, les diff\u00e9rents syst\u00e8mes de d\u00e9claration sont pleins. Un bon CDN devrait \u00eatre capable de pr\u00e9voir ces pics et de proc\u00e9der \u00e0 une expansion \u00e9lastique. Certains vendeurs de \"l'expansion illimit\u00e9e de la capacit\u00e9\" est en fait un gadget - vraiment \u00e0 la flamb\u00e9e du trafic lorsque vous dites de \"d\u00e9clencher le principe de l'utilisation \u00e9quitable\" directement limiter le flux. Le contrat doit donc \u00eatre r\u00e9dig\u00e9 de mani\u00e8re \u00e0 garantir les pics de bande passante et le temps de r\u00e9ponse de l'extension.<\/p>\n
Les indicateurs de suivi devraient \u00eatre plus s\u00e9rieux. Le syst\u00e8me gouvernemental doit surveiller le niveau op\u00e9rationnel : combien de fois par seconde l'interface de v\u00e9rification de l'identit\u00e9 est r\u00e9ussie, le temps de r\u00e9ponse moyen du syst\u00e8me de documents officiels, le taux de rebond de la page de d\u00e9claration en ligne. J'ai test\u00e9 la console d'un fournisseur, qui pr\u00e9tendait assurer un suivi en temps r\u00e9el, mais en fait il y a un d\u00e9lai de 3 minutes - ce d\u00e9lai, en cas d'attaque, est suffisant pour que le syst\u00e8me tombe en panne huit fois.<\/p>\n
En fait, le c\u0153ur du probl\u00e8me reste la r\u00e9partition des responsabilit\u00e9s. Syst\u00e8me gouvernemental dans le nuage \u2260 responsabilit\u00e9 dans le nuage. Il fut un temps o\u00f9 certains fournisseurs jetaient l'\u00e9ponge en disant : \"Nous ne garantissons que la s\u00e9curit\u00e9 de la couche r\u00e9seau, et les attaques de la couche application ne sont pas consid\u00e9r\u00e9es comme faisant partie de la port\u00e9e du service\". Aujourd'hui, avant de signer le contrat, je laisse le service juridique ajouter cette phrase : \"Tout le trafic entrant par le n\u0153ud CDN, quelle que soit la couche de l'attaque dans l'OSI, fait partie de l'\u00e9tendue de la protection\". Ne pensez pas que c'est une grosse affaire, mais lorsque quelque chose se produit vraiment, cette clause est salvatrice.<\/p>\n
En fait, la s\u00e9lection doit s'appuyer sur trois principes : premi\u00e8rement, examiner le rapport d'\u00e9valuation de la garantie \u00e9quivalente ; deuxi\u00e8mement, effectuer le test de pression du trafic r\u00e9el (ne pas croire que le vendeur fournit un environnement de test) ; troisi\u00e8mement, v\u00e9rifier la clause de non-responsabilit\u00e9 du contrat ; il n'y a pas de mine enfouie. D'ailleurs, j'aimerais vous donner un conseil : connectez-vous \u00e0 la console du fournisseur apr\u00e8s 22 heures, si le graphique de surveillance des n\u0153uds montre de nombreux points d'arr\u00eat, cela signifie qu'ils sont secr\u00e8tement en train de faire de la maintenance, et que cela ne peut absolument pas \u00eatre utilis\u00e9 dans le nouveau syst\u00e8me de service.<\/p>\n
Il n'y a jamais de solution miracle en mati\u00e8re de technologie. R\u00e9cemment, j'ai aid\u00e9 un minist\u00e8re \u00e0 moderniser son architecture, et j'ai constat\u00e9 que m\u00eame si j'utilisais un CDN de haut niveau et de haute d\u00e9fense, je devais toujours former une architecture de nuage hybride avec des n\u0153uds de p\u00e9riph\u00e9rie auto-construits. Pour l'\u00e9change de donn\u00e9es particuli\u00e8rement sensibles, nous utilisons CDN07 pour acc\u00e9l\u00e9rer le contenu statique + un canal crypt\u00e9 auto-construit pour transmettre le programme de donn\u00e9es commerciales, \u00e0 la fois pour r\u00e9pondre aux exigences d'\u00e9gale protection et pour garantir l'exp\u00e9rience de l'utilisateur. Il n'est pas possible d'\u00e9conomiser de l'argent et certaines architectures doivent \u00eatre redondantes - c'est la loi d'airain de l'exploitation et de la maintenance des syst\u00e8mes gouvernementaux.<\/p>\n
D\u00e9sormais, chaque fois que vous verrez le logo \"National Team Certification\" flotter au bas d'un site web gouvernemental, vous saurez que derri\u00e8re ce logo se cachent au moins trois couches d'architecture de haute d\u00e9fense. Les gens ne se soucieront pas de ce que vous utilisez la technologie noire, mais la page tra\u00eene pendant une seconde pour se plaindre de l'appel t\u00e9l\u00e9phonique \u00e0 la hotline du maire. Pour \u00eatre honn\u00eate : choisir le bon CDN n'est pas un probl\u00e8me technique, c'est une question de conscience politique - apr\u00e8s tout, qui ne veut pas tomber de la cha\u00eene \u00e0 cause du fournisseur, demain avec un rapport de rectification pour aller boire le th\u00e9 au bureau de la direction, n'est-ce pas ?<\/p>","protected":false},"excerpt":{"rendered":"
\u00c0 3 heures du matin, un appel d'urgence de l'\u00e9quipe O&M m'a r\u00e9veill\u00e9. Une plateforme de services de l'administration locale a \u00e9t\u00e9 soudainement paralys\u00e9e, la page a ouvert tous les d\u00e9fis CAPTCHA, les gens ne peuvent tout simplement pas faire des affaires. Le pic du trafic d'attaque a atteint 300 Gbps, et le pare-feu traditionnel s'est transform\u00e9 en papier m\u00e2ch\u00e9. Apr\u00e8s cet incident, j'ai bien compris que le CDN du syst\u00e8me gouvernemental n'est pas du tout un \"outil d'acc\u00e9l\u00e9ration\", mais une ligne de d\u00e9fense de vie ou de mort. Les sites web gouvernementaux et les sites web d'entreprises ordinaires sont deux concepts compl\u00e8tement diff\u00e9rents. Ce \u00e0 quoi vous \u00eates confront\u00e9 peut \u00eatre une organisation APT \u00e9trang\u00e8re qui regarde les donn\u00e9es, ou un script boy qui s'entra\u00eene. Mais le pire, c'est que c'est clairement \u00e9crit dans la garantie \u00e9gale de conformit\u00e9 : tous les syst\u00e8mes impliquant des donn\u00e9es priv\u00e9es de citoyens doivent avoir une capacit\u00e9 anti-DDoS, une protection d'application Web, un cryptage de lien complet. Il en manque un ? L'acceptation vous donnera directement un carton rouge. J'ai vu trop d'unit\u00e9s se faire avoir par des vendeurs peu scrupuleux. Acheter<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1047","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1047","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1047"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1047\/revisions"}],"predecessor-version":[{"id":1078,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1047\/revisions\/1078"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1047"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1047"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1047"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1047"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}