Lorsque j'ai pris en charge un projet financier pour la premi\u00e8re fois, le patron s'est tapot\u00e9 la poitrine et a dit : \u201cNous avons ce volume, qui viendra se battre ? \u00c0 trois heures du matin, j'ai re\u00e7u un message d'alarme, l'ensemble du groupe d'entreprises est compl\u00e8tement paralys\u00e9, le pic de trafic est mont\u00e9 en fl\u00e8che jusqu'\u00e0 200 fois plus que d'habitude - cette fois, j'ai compris que le CDN de haute d\u00e9fense n'est pas facultatif, mais qu'il est une paille qui sauve la vie.<\/p>\n
De nos jours, les attaques DDoS ont \u00e9t\u00e9 d\u00e9velopp\u00e9es industriellement depuis longtemps, il suffit de trouver un march\u00e9 souterrain, 500 $ peuvent acheter des attaques de trafic non-stop pendant 24 heures. Vous pensez qu'un ensemble de Cloudflare en version gratuite pourra dormir sur ses deux oreilles ? Je ne suis pas s\u00fbr de pouvoir le faire, mais je vais pouvoir le faire. L'ann\u00e9e derni\u00e8re, un \u00e9change a utilis\u00e9 un CDN bon march\u00e9, a \u00e9t\u00e9 p\u00e9n\u00e9tr\u00e9 par une inondation TCP, l'attaquant a m\u00eame \u00e9t\u00e9 arrogant jusqu'au site web officiel pour accrocher un message de chantage. Ne croyez jamais \u00e0 la propagande mensong\u00e8re de la \u201cd\u00e9fense illimit\u00e9e\u201d. En cas d'impact consid\u00e9rable sur le trafic, la premi\u00e8re r\u00e9action de nombreux fournisseurs de services est de vous donner un itin\u00e9raire vide.<\/p>\n
Ceux qui ont vraiment v\u00e9cu la vraie bataille savent que pour faire face aux attaques du trafic de niveau T, il faut utiliser des strat\u00e9gies de d\u00e9fense \u00e0 plusieurs niveaux. Tout comme la d\u00e9fense de la ville antique, la ville ext\u00e9rieure est tomb\u00e9e et l'urne, l'urne est bris\u00e9e et la ville int\u00e9rieure. J'ai test\u00e9 et trouv\u00e9 la structure la plus fiable : couche de planification intelligente \u2192 couche de nettoyage des bords \u2192 couche de protection de la station source, un lien \u00e0 trois couches afin de jouer une d\u00e9fense parfaite.<\/p>\n
C'est la programmation intelligente du premier niveau qui est l'angle mort de la plupart des gens<\/strong>La premi\u00e8re chose \u00e0 faire est d'acheter un bon n\u0153ud de nettoyage et tout ira bien. De nombreuses \u00e9quipes pensent qu'en achetant un bon n\u0153ud de nettoyage, tout ira bien, mais elles ne savent pas que si la strat\u00e9gie de planification ne fonctionne pas, le trafic d'attaque peut directement submerger le lien vers la source. L'ann\u00e9e derni\u00e8re, lorsque j'ai utilis\u00e9 l'\u00e9quilibrage de charge global du CDN5, j'ai mis en place une politique de planification du trafic bas\u00e9e sur l'ASN afin de planifier automatiquement le trafic provenant de zones soup\u00e7onn\u00e9es d'\u00eatre des sources d'attaque vers des n\u0153uds de haute d\u00e9fense :<\/p>\n Cet ensemble de r\u00e8gles m'a aid\u00e9 \u00e0 bloquer les tentatives d'attaques 70%, en particulier les demandes provenant du segment ASN d'un r\u00e9seau de zombies typique, qui ont \u00e9t\u00e9 redirig\u00e9es directement vers le cluster de haute d\u00e9fense pour \u00eatre trait\u00e9es. Il est int\u00e9ressant de noter que l'attaquant a ensuite chang\u00e9 pour utiliser les segments IP du fournisseur de cloud pour lancer des attaques, j'ai ajout\u00e9 les r\u00e8gles de d\u00e9tection bas\u00e9es sur les caract\u00e9ristiques de l'en-t\u00eate HTTP - la route est haute, le diable est haut ah.<\/p>\n Le choix technique de la couche de nettoyage des bords d\u00e9termine directement le plafond de d\u00e9fense.<\/strong>La premi\u00e8re chose que j'aimerais dire est que je ne sais pas ce que je peux faire. Ne regardez pas les vendeurs de CDN qui se vantent d'avoir une capacit\u00e9 de nettoyage de combien de T, mais mettez-les vraiment \u00e0 l'\u00e9preuve lorsque les performances sont tr\u00e8s diff\u00e9rentes. L'ann\u00e9e derni\u00e8re, lorsque j'ai s\u00e9lectionn\u00e9 les fournisseurs, j'ai pris CDN5, CDN07 et 08Host pour effectuer un v\u00e9ritable test de trafic :<\/p>\n En simulant une attaque HTTP Flood de 500 000 QPS par seconde, la charge CPU de CDN07 a soudainement grimp\u00e9 \u00e0 plus de 90%, et la latence s'est d\u00e9t\u00e9rior\u00e9e de 35 ms \u00e0 800 ms ; 08Host a directement d\u00e9clench\u00e9 le m\u00e9canisme meltdown, et a \u00e9galement saut\u00e9 le CAPTCHA pour les utilisateurs normaux ; au contraire, la performance de CDN5 m'a stup\u00e9fi\u00e9 ---. Leur d\u00e9tection dynamique des empreintes digitales peut en fait maintenir la latence de l'activit\u00e9 normale \u00e0 moins de 50 ms.<\/p>\n La principale diff\u00e9rence r\u00e9side dans l'algorithme de nettoyage. La d\u00e9tection traditionnelle bas\u00e9e sur des seuils (par exemple, d\u00e9clench\u00e9e lorsque le nombre de requ\u00eates par seconde d\u00e9passe la limite) est trop facilement contourn\u00e9e, et les attaques avanc\u00e9es simulent d\u00e9sormais le comportement normal de l'utilisateur. La meilleure solution consiste \u00e0 utiliser des mod\u00e8les d'apprentissage automatique pour effectuer une analyse comportementale, comme la d\u00e9tection des traces de mouvements de souris, des anomalies dans les s\u00e9quences d'acc\u00e8s \u00e0 l'API, etc. C'est la raison pour laquelle le CDN professionnel \u00e0 haute d\u00e9fense est trois fois plus cher que la propre protection du fournisseur de services en nuage - les gens ont vraiment fait mouche avec l'algorithme.<\/p>\n La bande passante \u00e9lastique est l'ultime d\u00e9fense physique<\/strong>La premi\u00e8re chose que je voudrais dire, c'est que je ne vais pas pouvoir le faire. Quel algorithme, quelle strat\u00e9gie, rencontrer des attaques de niveau T, regarder en fin de compte la puissance de la bande passante. Mais acheter une bande passante fixe, c'est payer une taxe sur le QI, g\u00e9n\u00e9ralement 95% du temps d'inactivit\u00e9 \u00e0 br\u00fbler de l'argent. J'ai compar\u00e9 trois programmes d'\u00e9lasticit\u00e9 :<\/p>\n CDN5 adopte le mod\u00e8le \u201cgaranti + rafale\u201d, en payant des frais de base mensuels de 2G, la bande passante rafale \u00e0 $0,12\/GB de facturation. 08Host s'est engag\u00e9 dans un programme de mise en commun de la bande passante, 100 clients se partagent des clusters de 10T, ce qui est g\u00e9n\u00e9ralement moins cher, mais un certain nombre de clients se sont retrouv\u00e9s en m\u00eame temps au moment de l'attaque, ce qui peut entra\u00eener un embrouillement des ressources. Le cas le plus pitoyable est celui d'un fournisseur bien connu de services en nuage, dont le contrat est r\u00e9dig\u00e9 en termes d\u201c\u201dexpansion de la capacit\u00e9 \u00e9lastique\", mais qui est vraiment touch\u00e9 lorsque vous devez lever manuellement l'application de travail - les attaquants n'attendront pas que vous passiez par le processus d'approbation !<\/p>\n C'est l'occultation de la station source qui est le coup fatal que beaucoup de gens n\u00e9gligent.<\/strong>. J'ai vu trop d'\u00e9quipes acheter un CDN \u00e0 haute d\u00e9fense mais exposer la trag\u00e9die de l'IP de la station source. Les attaquants obtiennent l'IP r\u00e9elle gr\u00e2ce aux enregistrements DNS historiques, au reniflage des certificats SSL et m\u00eame \u00e0 la recherche invers\u00e9e des serveurs de bo\u00eetes aux lettres, en contournant directement la d\u00e9fense \u00e9lev\u00e9e pour p\u00e9n\u00e9trer dans la station source. Vous devez faire le lien complet pour vous cacher :<\/p>\n Cet ensemble de combinaisons de coups de poing vers le bas, l'ann\u00e9e derni\u00e8re nous avons port\u00e9 une attaque record de 1,2Tbps, la latence de l'entreprise n'a augment\u00e9 que de 20ms. Apr\u00e8s le groupe d'attaque dans Telegram a crach\u00e9 : \u201cce n\u0153ud CDN5 avec l'oignon comme, peler une couche il y a une couche\u201d.<\/p>\n Pour choisir le mod\u00e8le, je vais donner la priorit\u00e9 \u00e0 trois points : les capacit\u00e9s d'ordonnancement global (au moins 30 n\u0153uds de nettoyage), la flexibilit\u00e9 et la raisonnabilit\u00e9 de la facturation (on ne peut pas se retrouver avec des factures astronomiques), le degr\u00e9 d'automatisation de l'API (si l'on peut int\u00e9grer le syst\u00e8me de surveillance auto-construit). CDN07 a r\u00e9cemment \u00e9t\u00e9 test\u00e9 dans la r\u00e9gion Asie-Pacifique. Les performances sont bonnes, mais la latence des n\u0153uds europ\u00e9ens est \u00e9lev\u00e9e ; 08Host est rentable pour les startups, mais la stabilit\u00e9 des flux importants doit \u00eatre observ\u00e9e.<\/p>\n Enfin, un point important : il n'existe pas de syst\u00e8me s\u00e9curis\u00e9 100%, le CDN \u00e0 haute d\u00e9fense ne sert qu'\u00e0 augmenter le co\u00fbt de l'attaque pour l'autre partie qui ne peut pas se le permettre. Nous avons maintenant fix\u00e9 le seuil de d\u00e9fense \u00e0 800Gbps - non pas pour emp\u00eacher les plus grands, mais mesur\u00e9 le co\u00fbt des attaquants pour louer ce niveau de botnet a d\u00e9pass\u00e9 la valeur de nos pertes d'affaires. La s\u00e9curit\u00e9 est essentiellement une question d'\u00e9conomie, alors n'oubliez pas de faire les calculs.<\/p>","protected":false},"excerpt":{"rendered":" Lorsque j'ai pris en charge un projet financier pour la premi\u00e8re fois, le patron s'est tapot\u00e9 la poitrine et a dit : \u201cNous avons ce volume, qui viendra se battre ? Un message d'alarme re\u00e7u \u00e0 3 heures du matin, l'ensemble du groupe d'entreprises compl\u00e8tement paralys\u00e9, les pics de trafic ont grimp\u00e9 jusqu'\u00e0 200 fois plus que d'habitude - cette fois pour comprendre, CDN haute d\u00e9fense n'est pas facultatif, mais une paille salvatrice. De nos jours, les attaques DDoS sont industrialis\u00e9es depuis longtemps, il suffit de trouver un march\u00e9 souterrain, 500 personnes peuvent acheter des attaques de trafic de classe G pendant 24 heures sans interruption. Vous pensez qu'un ensemble de Cloudflare en version gratuite pourra dormir sur ses deux oreilles ? Je ne suis pas s\u00fbr de pouvoir le faire, mais je vais pouvoir le faire. L'ann\u00e9e derni\u00e8re, un \u00e9change a utilis\u00e9 un CDN bon march\u00e9, a \u00e9t\u00e9 p\u00e9n\u00e9tr\u00e9 par une inondation TCP, l'attaquant a m\u00eame arrogant sur le site officiel pour accrocher un message de chantage. Ne croyez pas \u00e0 la propagande mensong\u00e8re de la \u201dd\u00e9fense illimit\u00e9e\u201c, vous avez vraiment rencontr\u00e9 un tr\u00e8s gros probl\u00e8me de s\u00e9curit\u00e9.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1053","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1053","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1053"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1053\/revisions"}],"predecessor-version":[{"id":1072,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1053\/revisions\/1072"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1053"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1053"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1053"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1053"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}