R\u00e9cemment, j'ai effectu\u00e9 des tests de p\u00e9n\u00e9tration pour quelques clients, et d\u00e8s que je suis arriv\u00e9, j'ai demand\u00e9 : \u201cAvez-vous d\u00e9j\u00e0 utilis\u00e9 un CDN haute-d\u00e9fense ?\u201d R\u00e9sultat, la moiti\u00e9 des personnes m'ont r\u00e9pondu : \u201cAvec ah, mais ne semble pas sentir la diff\u00e9rence ?\u201d. J'ai ri \u00e0 ce moment-l\u00e0 - mon fr\u00e8re, vous avez peur d'acheter une fausse d\u00e9fense \u00e9lev\u00e9e, n'est-ce pas ? De nos jours, m\u00eame les CDN doivent \u00eatre \u201canti-t\u00e9moins\u201d, et pas seulement mettre en place un cache appel\u00e9 \"haute d\u00e9fense\".<\/p>\n
Le CDN \u00e0 haute d\u00e9fense est essentiellement dans le CDN traditionnel bas\u00e9 sur l'empilement de l'armure, pour porter le combat contre les coups doivent encore courir rapidement. Mais beaucoup de gens misent aveugl\u00e9ment sur la haute d\u00e9fense, les r\u00e9sultats de l'argent d\u00e9pens\u00e9, l'attaque est venu comme l'effondrement habituel. J'ai d\u00e9couvert que les besoins en mati\u00e8re de haute s\u00e9curit\u00e9 varient selon les secteurs : les jeux ont besoin d'une faible latence, le commerce \u00e9lectronique craint la cueillette de laine, les donn\u00e9es financi\u00e8res doivent \u00eatre prot\u00e9g\u00e9es \u00e0 l'adresse ......, le mauvais programme ? Il s'agit de donner aux pirates informatiques une prime de fin d'ann\u00e9e.<\/p>\n
Tout d'abord, versons de l'eau froide : le CDN \u00e0 haute d\u00e9fense n'est pas une panac\u00e9e.<\/strong>Vous devez d\u00e9terminer exactement ce contre quoi vous devez vous prot\u00e9ger. ddoS ? cc attacks ? Le vol de donn\u00e9es ? Ou avez-vous simplement peur des temps d'arr\u00eat ? Dans ce qui suit, j'ai combin\u00e9 mon exp\u00e9rience pratique avec celle de l'industrie pour vous expliquer comment choisir des solutions de haute s\u00e9curit\u00e9 et, au passage, j'ai crach\u00e9 quelques mots noirs de l'industrie.<\/p>\n Industrie du jeu : le retard est le p\u00e8re<\/strong><\/p>\n Ceux qui jouent savent que les joueurs peuvent pulv\u00e9riser un \u00e9cran plein de mots Zuan s'ils sont bloqu\u00e9s pendant un certain temps. Un CDN ordinaire \u00e0 haute d\u00e9fense peut \u00eatre capable d'acheminer un DDoS de 500 Gbps, mais le d\u00e9lai a grimp\u00e9 \u00e0 plus de 200 ms ? C'est vraiment cool. L'ann\u00e9e derni\u00e8re, un jeu secondaire a \u00e9t\u00e9 touch\u00e9 par une vague d'attaques mixtes de 700 Gbps, avec la ligne CDN5 BGP + le programme d'acc\u00e9l\u00e9ration TCP, le d\u00e9lai est difficile \u00e0 r\u00e9duire \u00e0 30 ms ou moins. La configuration cl\u00e9 est ici :<\/p>\n Ne croyez pas les vendeurs qui se vantent d'offrir une \u201cprotection illimit\u00e9e\u201d. Lorsqu'il s'agit d'inondations UDP massives, de nombreux fournisseurs se contentent de vous proposer des itin\u00e9raires vides. Vous devez rechercher un CDN07 dot\u00e9 de capacit\u00e9s de planification intelligentes - le trafic d'attaque est automatiquement coup\u00e9 vers le centre de nettoyage, et le trafic normal est achemin\u00e9 vers la ligne acc\u00e9l\u00e9r\u00e9e.<\/p>\n Industrie du commerce \u00e9lectronique : la lutte contre le grattage est plus urgente que la lutte contre le piratage informatique<\/strong><\/p>\n Double 11 z\u00e9ro, vous pensez que c'est un combat pour les serveurs ? En fait, il s'agit d'un combat pour savoir qui peut porter le script du parti de la laine. Une entreprise de commerce \u00e9lectronique transfrontali\u00e8re avait \u00e9t\u00e9 balay\u00e9e de millions de coupons, puis sur le WAF de 08Host + solution d'analyse comportementale, directement bloqu\u00e9 le segment IP anormal + empreinte digitale de l'appareil. Attention \u00e0 cette configuration :<\/p>\n La strat\u00e9gie de mise en cache pour le commerce \u00e9lectronique doit \u00e9galement \u00eatre tartine - les pages de produits peuvent \u00eatre mises en cache, l'inventaire et les prix doivent \u00eatre renvoy\u00e9s \u00e0 la source. Il y a eu un client pour l'interface dynamique est \u00e9galement mis en cache, les r\u00e9sultats de l'utilisateur pour voir le prix de tous les ...... d'hier cracher du sang recommand\u00e9 d'utiliser l'informatique de pointe pour faire la v\u00e9rification en temps r\u00e9el, bien que co\u00fbteux, mais peut vraiment sauver des vies.<\/p>\n Industrie financi\u00e8re : s\u00e9curit\u00e9 > rapidit\u00e9 > co\u00fbt<\/strong><\/p>\n Pour les banques et les titres de ce type, la fuite de donn\u00e9es est pire que l'interruption de service. Vous devez choisir un CDN avec un cryptage de niveau certificat, tel que la prise en charge de TLS 1.3 + algorithmes de secret d'\u00c9tat. Une plateforme de capital-investissement avec CDN5 solutions financi\u00e8res, m\u00eame les requ\u00eates DNS sont faites DNSSEC + cryptage HTTPS :<\/p>\n Un mot d'avertissement : les utilisateurs financiers ne doivent pas \u00eatre avides de CDN bon march\u00e9 avec IP partag\u00e9e ! Le risque de contamination intersite peut faire \u00e9chouer votre examen de conformit\u00e9. Il faut une IP exclusive + un audit complet du journal des liens, ce qui est co\u00fbteux mais ne peut pas sauver.<\/p>\n Industrie du streaming : les co\u00fbts de la bande passante peuvent conduire les gens \u00e0 la mort<\/strong><\/p>\n La vid\u00e9o 4K ne d\u00e9place pas quelques G, le DDoS ne peut pas vous tuer, la facture de bande passante peut \u00e9galement \u00eatre tu\u00e9e. La solution vid\u00e9o de 08Host est mesur\u00e9e pour \u00e9conomiser 40% de bande passante - en s'appuyant sur les n\u0153uds de p\u00e9riph\u00e9rie pour effectuer le cache de d\u00e9coupage vid\u00e9o, le transcodage H.265 + l'ajustement dynamique du d\u00e9bit binaire :<\/p>\n La chose la plus pitoyable que j'ai rencontr\u00e9e : la \u201cbande passante illimit\u00e9e\u201d d'un fournisseur limite en fait le nombre de connexions \u00e0 un seul n\u0153ud ! La vid\u00e9o se chargeant directement dans le PPT, le vendeur doit maintenant choisir le nombre de n\u0153uds et la strat\u00e9gie d'\u00e9quilibrage de la charge.<\/p>\n Secteur public : la conformit\u00e9 est la ligne rouge<\/strong><\/p>\n Pour aider un site web gouvernemental \u00e0 effectuer la migration, il s'est av\u00e9r\u00e9 qu'il utilisait le n\u0153ud CDN en dehors du pays ...... et s'est empress\u00e9 de changer le CDN sous licence nationale07. Le syst\u00e8me gouvernemental doit r\u00e9pondre aux crit\u00e8res suivants : \u2460 les donn\u00e9es ne sortent pas du pays \u2461 d\u00e9p\u00f4t ICP \u2462 \u00e9gal au troisi\u00e8me niveau de r\u00e9tention de la journalisation. La configuration de la fonction d'audit doit \u00eatre ajout\u00e9e :<\/p>\n Crachez le morceau : certains fournisseurs font sauter les \u201cn\u0153uds globaux\u201d, mais le projet gouvernemental ose utiliser des n\u0153uds offshore ? C'est une violation, minute par minute, des lois sur la s\u00e9curit\u00e9 des r\u00e9seaux. Nous devons \u00e9galement veiller \u00e0 d\u00e9sactiver l'acc\u00e8s aux adresses IP \u00e9trang\u00e8res et \u00e0 mettre en place un syst\u00e8me anti-scanning afin d'\u00e9viter certains risques inavouables.<\/p>\n Secteur de l'\u00e9ducation : le trafic soudain l'emporte<\/strong><\/p>\n Combien d'\u00e9tablissements d'enseignement en ligne sont tomb\u00e9s en panne pendant l'\u00e9pid\u00e9mie ? Une plateforme de cours en ligne utilise le programme d'acc\u00e9l\u00e9ration dynamique de CDN5 pour d\u00e9passer les 800 000 requ\u00eates par seconde le jour de l'ouverture. Le secret : \u2460 pr\u00e9chargement statique des ressources \u2461 API dynamique pr\u00e8s de la source \u2462 programmation sous-r\u00e9gionale (r\u00e9seau d'\u00e9ducation go CERNET). Points forts de la configuration :<\/p>\n La le\u00e7on des larmes de sang : ne pas utiliser toutes les ressources du CDN ! Le streaming push en direct doit utiliser une ligne d\u00e9di\u00e9e, sinon le d\u00e9calage peut laisser les \u00e9tudiants brosser collectivement une \u00e9toile. Le service de transcodage PPT d'un client utilise \u00e9galement le CDN, les r\u00e9sultats de la file d'attente de conversion de pointe jusqu'\u00e0 deux heures apr\u00e8s la file d'attente .......<\/p>\n Industrie des soins de sant\u00e9 : la protection de la vie priv\u00e9e est une bou\u00e9e de sauvetage<\/strong><\/p>\n Violation de donn\u00e9es m\u00e9dicales ? La sanction est jusqu'\u00e0 ce que vous doutiez de votre vie. Un h\u00f4pital sur Internet utilise le CDN m\u00e9dical de 08Host, toutes les donn\u00e9es sont crypt\u00e9es avant l'atterrissage, et m\u00eame le cache est stock\u00e9 avec un cryptage AES-256 :<\/p>\n Remarque particuli\u00e8re : les fournisseurs de CDN doivent signer des accords de conformit\u00e9 HIPAA ou GDPR (en fonction de la port\u00e9e de l'entreprise). Beaucoup de petites usines n'osent tout simplement pas signer, quelque chose s'est pass\u00e9 pour d\u00e9verser la cagnotte plus vite que tout le monde.<\/p>\n Industrie de l'IdO : la certification des appareils au c\u0153ur du dispositif<\/strong><\/p>\n Les appareils domestiques intelligents sont pirat\u00e9s ? Il se peut que votre cam\u00e9ra domestique diffuse des images \u00e0 l'\u00e9chelle mondiale. Une soci\u00e9t\u00e9 sp\u00e9cialis\u00e9e dans les maisons intelligentes a modifi\u00e9 sa solution apr\u00e8s avoir \u00e9t\u00e9 pirat\u00e9e : chaque appareil lie un certificat + un n\u0153ud p\u00e9riph\u00e9rique CDN pour une authentification TLS bidirectionnelle :<\/p>\n L'inconv\u00e9nient de l'IoT est le volume d'appareils - la limite de connexions simultan\u00e9es d'un CDN ordinaire peut faire tomber des dizaines de milliers d'appareils en m\u00eame temps. Il faut s'adresser \u00e0 un fournisseur qui prend en charge des millions de connexions longues, comme les n\u0153uds sp\u00e9cifiques \u00e0 l'IoT de CDN07.<\/p>\n R\u00e9sumez quelques-uns des points secs :<\/strong><\/p>\n Choisir un CDN \u00e0 haute d\u00e9fense, c'est comme acheter une assurance - vous ne pensez pas que vous perdrez de l'argent si quelque chose se passe mal, et vous ne pensez pas que c'est suffisant si quelque chose se passe mal. Apr\u00e8s tant de projets, j'ai r\u00e9sum\u00e9 trois lois d'airain :<\/p>\n Pour finir, je dirai un mot d'offense : le CDN de haute d\u00e9fense est trop profond, certains vendeurs de \u201csolutions personnalis\u00e9es\u201d consistent en fait \u00e0 modifier un mod\u00e8le de configuration. Ne croyez pas que le coup de vente \u201ctechnologie exclusive\u201d, directement au rapport de test et les cas des clients - vraiment bons vendeurs, ne peut pas attendre pour vous laisser inspecter les marchandises sur place.<\/p>\n (conclu)<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai effectu\u00e9 des tests de p\u00e9n\u00e9tration pour quelques clients, et d\u00e8s que je suis arriv\u00e9, j'ai demand\u00e9 : \u201cAvez-vous d\u00e9j\u00e0 utilis\u00e9 un CDN haute-d\u00e9fense ?\u201d R\u00e9sultat, la moiti\u00e9 des personnes m'ont r\u00e9pondu : \u201cAvec ah, mais ne semble pas sentir la diff\u00e9rence ?\u201d. J'ai ri \u00e0 ce moment-l\u00e0 - mon fr\u00e8re, vous avez peur d'acheter une fausse d\u00e9fense \u00e9lev\u00e9e, n'est-ce pas ? De nos jours, m\u00eame les CDN doivent \u00eatre \u201canti-t\u00e9moins\u201d, et ne pas se contenter de mettre en place un cache appel\u00e9 \"haute d\u00e9fense\". La haute d\u00e9fense CDN est essentiellement dans le CDN traditionnel bas\u00e9 sur l'empilement de l'armure, pour porter le combat contre les coups doivent encore courir rapidement. Mais beaucoup de gens se contentent d'une d\u00e9fense \u00e9lev\u00e9e, et les r\u00e9sultats de l'argent d\u00e9pens\u00e9, l'attaque est venue comme d'habitude s'effondrer. J'ai d\u00e9couvert que les besoins en mati\u00e8re de haute s\u00e9curit\u00e9 varient selon les secteurs : les jeux ont besoin d'une faible latence, le commerce \u00e9lectronique craint la cueillette de laine, les donn\u00e9es financi\u00e8res doivent \u00eatre prot\u00e9g\u00e9es \u00e0 l'adresse ......, le mauvais programme ? Cela revient \u00e0 donner aux pirates informatiques une prime de fin d'ann\u00e9e. Il faut d'abord verser de l'eau froide : le CDN \u00e0 haute d\u00e9fense n'est pas une panac\u00e9e. Il faut d'abord d\u00e9terminer ce contre quoi il faut r\u00e9ellement se prot\u00e9ger.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1050","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1050","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1050"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1050\/revisions"}],"predecessor-version":[{"id":1075,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1050\/revisions\/1075"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1050"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1050"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1050"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1050"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}