R\u00e9cemment, plusieurs amis du site d'\u00e9ducation et moi nous sommes plaints, disant que le site ne bouge pas sur la mort de la carte, la classe en direct tire \u00e0 la moiti\u00e9 des \u00e9tudiants tous abandonner la ligne, l'arri\u00e8re-plan de voir le CPU directement mont\u00e9 en fl\u00e8che \u00e0 100% - il s'agit clairement d'une attaque CC \u00e0 travers.<\/p>\n
Le site web de l'\u00e9ducation est d\u00e9sormais une zone sinistr\u00e9e, le co\u00fbt de l'attaque est faible, mais l'impact est extr\u00eamement grave. Pensez-y, vous \u00eates en train de suivre un cours en direct avec un professeur c\u00e9l\u00e8bre, et soudain l'\u00e9cran est bloqu\u00e9 en tant que PPT, les \u00e9tudiants et les parents se plaignent que le t\u00e9l\u00e9phone peut faire exploser votre ligne fixe. Ce qui est encore plus d\u00e9go\u00fbtant, c'est que de nombreuses attaques sont \u00e9galement d\u00e9guis\u00e9es en trafic normal, que les pare-feu traditionnels ne peuvent pas arr\u00eater.<\/p>\n
L'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 une plateforme d'\u00e9ducation en ligne \u00e0 effectuer une intervention d'urgence, elle utilise la protection de base d'un fournisseur de cloud bien connu, le r\u00e9sultat de l'attaque HTTP lente, quelques octets de paquets par seconde, le pool de connexion a \u00e9t\u00e9 instantan\u00e9ment occup\u00e9, les utilisateurs normaux ne peuvent pas se connecter. L'\u00e9quipe technique a d\u00e9couvert que les r\u00e8gles CC par d\u00e9faut n'\u00e9taient pas du tout en vigueur.<\/p>\n
Pourquoi les sites web \u00e9ducatifs sont-ils particuli\u00e8rement vuln\u00e9rables ?<\/strong> Tout d'abord, le nom de domaine est tr\u00e8s expos\u00e9, et les liens vers les cours sont transf\u00e9r\u00e9s partout ; ensuite, l'entreprise de diffusion en direct doit avoir des ports ouverts, et les attaquants peuvent simplement trouver une interface pour envoyer des paquets comme des fous. Sans oublier que certaines plates-formes d'enseignement utilisent encore l'ancien ThinkPHP, et que toute vuln\u00e9rabilit\u00e9 historique peut \u00eatre exploit\u00e9e.<\/p>\n Le simple fait d'ajouter de la bande passante est un gouffre sans fond. J'ai test\u00e9, 100G de trafic DDoS peut faire le salaire mensuel de 30.000 op\u00e9ration et maintenance pendant la nuit red\u00e9marrer les serveurs, et les attaques CC n'ont m\u00eame pas besoin de trop de trafic, quelques botnets se relaient pour demander la page de connexion, la base de donn\u00e9es peut s'effondrer pour vous.<\/p>\n Le CDN \u00e0 haute d\u00e9fense est le roi. Cependant, de nombreuses personnes pensent qu'il suffit d'acheter un CDN avec protection pour que tout aille bien, et le r\u00e9sultat est que le premier coup est port\u00e9. La cl\u00e9 r\u00e9side dans la configuration - de nombreux fournisseurs n'offrent que la protection de base par d\u00e9faut, les r\u00e8gles affin\u00e9es devant correspondre aux leurs.<\/p>\n Tout d'abord, parlons de la s\u00e9lection. Ne soyez pas superstitieux \u00e0 l'\u00e9gard des fabricants internationaux, la sc\u00e8ne nationale doit \u00e9galement se pencher sur les fournisseurs de services locaux. L'algorithme anti-CC de CDN5, par exemple, est vraiment puissant ; gr\u00e2ce au d\u00e9fi JS et \u00e0 l'analyse comportementale, il peut identifier la demande de simulation 99% ; la ligne d'acc\u00e9l\u00e9ration en direct de CDN07 est vraiment stable, le pic du soir peut garantir un d\u00e9lai inf\u00e9rieur \u00e0 100 ms ; si le budget est limit\u00e9, la solution rentable de 08Host vaut la peine d'\u00eatre examin\u00e9e, bien que la console soit laide, mais le fond est dot\u00e9 d'algorithmes de nettoyage par auto-recherche.<\/p>\n C'est l\u00e0 que le b\u00e2t blesse : la configuration d'un CDN \u00e0 haute d\u00e9fense ne se r\u00e9sume pas \u00e0 un simple changement de CNAME sur la ligne. Vous devez proc\u00e9der \u00e0 un r\u00e9glage strat\u00e9gique en fonction des caract\u00e9ristiques commerciales de la station \u00e9ducative. Je divise g\u00e9n\u00e9ralement cette op\u00e9ration en quatre \u00e9tapes : image de l'entreprise \u2192 imbrication des r\u00e8gles \u2192 test de r\u00e9sistance \u2192 ajustement dynamique.<\/p>\n Commen\u00e7ons par le portrait de l'entreprise. Divisez l'interface du site web en trois cat\u00e9gories : ressources statiques (images\/CSS), interface dynamique (connexion\/commentaires) et activit\u00e9 principale (streaming push en direct\/interface payante). Les ressources statiques sont directement mises en cache sur le n\u0153ud p\u00e9riph\u00e9rique, les interfaces dynamiques doivent passer par les r\u00e8gles de nettoyage, et l'activit\u00e9 principale doit \u00eatre configur\u00e9e s\u00e9par\u00e9ment avec une liste blanche + une limitation de taux.<\/p>\n La protection des flux en direct est la plus probl\u00e9matique. Les attaquants se sp\u00e9cialisent d\u00e9sormais dans l'atteinte de l'interface forensique du flux push, une atteinte \u00e0 la fois. Je sugg\u00e8re d'analyser le nom du flux push dans une ligne de d\u00e9fense distincte et de configurer une politique stricte de contr\u00f4le de la fr\u00e9quence en arri\u00e8re-plan du CDN :<\/p>\n Ne croyez pas \u00e0 la propagande de \"l'activation de la protection totale en un seul clic\". L'ann\u00e9e derni\u00e8re, une certaine plateforme \u00e9ducative a ouvert le mode strict du fournisseur, ce qui a eu pour effet de bloquer tous les \u00e9tudiants du Xinjiang et du Tibet - parce que la base de donn\u00e9es IP du fournisseur n'avait pas \u00e9t\u00e9 mise \u00e0 jour et que l'IP de la station de base dans ces r\u00e9gions avait \u00e9t\u00e9 consid\u00e9r\u00e9e \u00e0 tort comme une IP proxy.<\/p>\n La strat\u00e9gie de validation comportementale doit \u00eatre progressive. Pour l'interface de connexion, les 3 premiers \u00e9checs sont v\u00e9rifi\u00e9s avec un curseur, et plus de 5 \u00e9checs d\u00e9clenchent directement un challenge JS + l'enregistrement de l'empreinte digitale du client. Les algorithmes de validation comme CDN5 peuvent faire la diff\u00e9rence entre les navigateurs r\u00e9els et les scripts Python, j'ai test\u00e9 des clics simul\u00e9s avec Selenium, et ils ne r\u00e9ussissent que deux fois sur dix.<\/p>\n La strat\u00e9gie de mise en cache doit \u00e9galement \u00eatre optimis\u00e9e. Les vid\u00e9os de cours statiques doivent absolument \u00eatre mises en cache, mais les donn\u00e9es dynamiques doivent faire l'objet d'une attention particuli\u00e8re. Il existe un pi\u00e8ge : de nombreuses plateformes mettent \u00e9galement en cache l'interface de l'enregistrement de la r\u00e9ponse de l'\u00e9tudiant, ce qui a pour effet d'afficher des donn\u00e9es erron\u00e9es. N'oubliez pas d'utiliser des cookies ou des variables Header pour cr\u00e9er des cl\u00e9s de cache diff\u00e9rentielles :<\/p>\n La cl\u00e9 de la fluidit\u00e9 de la diffusion en direct r\u00e9side dans l'optimisation de la liaison. La ligne sp\u00e9cialis\u00e9e des trois principaux op\u00e9rateurs de CDN07 est la plus stable que j'aie jamais utilis\u00e9e, elle prend en charge le routage intelligent BGP, les \u00e9tudiants de Harbin et les enseignants de Hainan disposent ensemble d'une salle de direct, la latence peut \u00eatre contr\u00f4l\u00e9e \u00e0 moins de 80 ms.<\/p>\n Voici un autre conseil : utilisez RTMPS du c\u00f4t\u00e9 \"push\" et HLS+low latency mode du c\u00f4t\u00e9 \"pull\". De cette mani\u00e8re, m\u00eame si vous rencontrez un trafic inattendu, le CDN peut r\u00e9duire le d\u00e9bit binaire pour garantir la fluidit\u00e9, et le c\u00f4t\u00e9 \u00e9l\u00e8ve aura tout au plus une image brouill\u00e9e, mais pas au point de provoquer des ruptures de carte.<\/p>\n N'oubliez pas de surveiller les alertes : l'utilisation du CPU, le QPS, les codes d'erreur 4xx\/5xx doivent tous \u00eatre seuill\u00e9s. Les statistiques multidimensionnelles sont recommand\u00e9es : par exemple, \"les utilisateurs de Guangdong Telecom acc\u00e9dant \u00e0 l'interface en direct avec des anomalies 5xx > 10%\" seront imm\u00e9diatement alert\u00e9s, ce qui est susceptible d'\u00eatre le d\u00e9but d'une attaque r\u00e9gionale.<\/p>\n Le dernier rappel du co\u00fbt invisible : la m\u00e9thode de facturation de la bande passante. 08Host 95 peak billing peut \u00e9conomiser le co\u00fbt de 30%, mais le flux soudain de grandes stations est pr\u00e9f\u00e9rable de choisir une bande passante fixe par mois. Une fois qu'une plateforme d'\u00e9ducation fait une classe ouverte gratuite, l'augmentation du trafic facture directement apr\u00e8s les 5 fois, le financier presque au fonctionnement et \u00e0 l'entretien du sacrifice du ciel.<\/p>\n Lors de la bataille r\u00e9elle, l'attaque la plus d\u00e9licate a \u00e9t\u00e9 rencontr\u00e9e : l'attaquant a utilis\u00e9 2000 n\u0153uds de fonction dans le nuage, chaque n\u0153ud demandant une interface d'inscription toutes les 5 minutes, en contournant directement les r\u00e8gles de contr\u00f4le de la fr\u00e9quence. En fin de compte, c'est la biblioth\u00e8que d'empreintes digitales du client du CDN5 et le lien avec les renseignements sur les menaces qui ont permis d'arr\u00eater l'attaque. Le CDN doit donc examiner la fr\u00e9quence des mises \u00e0 jour des renseignements sur les menaces, et il est pr\u00e9f\u00e9rable de synchroniser la derni\u00e8re biblioth\u00e8que d'adresses IP malveillantes tous les jours.<\/p>\n De nos jours, les attaques dans le domaine de l'\u00e9ducation sont de plus en plus pr\u00e9cises, et il y a m\u00eame des attaquants qui \u00e9coutent une classe normale pendant une demi-heure avant d'attaquer soudainement. Le CDN haute d\u00e9fense doit \u00eatre \u00e9quip\u00e9 d'un WAF + analyse comportementale afin de pr\u00e9venir ce type d'\"attaque lente\", l'argent ne peut pas \u00eatre \u00e9conomis\u00e9 sur la s\u00e9curit\u00e9.<\/p>\n En r\u00e9sum\u00e9, il n'y a pas de solution miracle pour la protection des stations d'enseignement, et l'essentiel est \"la compr\u00e9hension de l'entreprise + une configuration approfondie\". Les bons fournisseurs de CDN peuvent vous proposer des strat\u00e9gies personnalis\u00e9es, telles que la r\u00e9duction du niveau de protection pour la p\u00e9riode de pointe du matin afin d'\u00e9conomiser de l'argent, et l'ouverture compl\u00e8te du mode strict pendant la p\u00e9riode d'examen. N'oubliez pas d'effectuer un exercice mensuel d'attaque et de d\u00e9fense, car les script kiddies ont plus d'astuces que vous ne pouvez l'imaginer.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, plusieurs amis du site d'\u00e9ducation et moi avons vant\u00e9, dit le site ne bouge pas sur la mort de la carte, la classe en direct tirer \u00e0 la moiti\u00e9 des \u00e9tudiants tous abandonner la ligne, l'arri\u00e8re-plan de voir le CPU directement mont\u00e9 en fl\u00e8che \u00e0 100% - il est clair que l'attaque CC \u00e0 travers. Le site web de l'\u00e9ducation est maintenant tout simplement une zone sinistr\u00e9e, le co\u00fbt de l'attaque est faible, l'impact est extr\u00eamement grave. Pensez-y, vous \u00eates dans une classe en direct avec un professeur c\u00e9l\u00e8bre, soudainement la carte \u00e9cran devient un PPT, les \u00e9tudiants et les parents se plaignent du t\u00e9l\u00e9phone peut \u00eatre votre ligne fixe \u00e9clat\u00e9e. Ce qui est encore plus d\u00e9go\u00fbtant, c'est que de nombreuses attaques sont \u00e9galement d\u00e9guis\u00e9es en trafic normal, que les pare-feu traditionnels ne peuvent tout simplement pas arr\u00eater. L'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 une plateforme d'\u00e9ducation en ligne \u00e0 effectuer une intervention d'urgence, ils ont utilis\u00e9 la protection de base d'un fournisseur de cloud bien connu, les r\u00e9sultats ont rencontr\u00e9 une attaque HTTP lente, quelques octets de paquets par seconde, le pool de connexion a \u00e9t\u00e9 instantan\u00e9ment occup\u00e9, les utilisateurs normaux ne peuvent pas se connecter. L'\u00e9quipe technique a tourn\u00e9 en rond pendant une demi-journ\u00e9e avant de se rendre compte que<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1054","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1054","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1054"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1054\/revisions"}],"predecessor-version":[{"id":1071,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1054\/revisions\/1071"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1054"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1054"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1054"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1054"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}