Ce matin-l\u00e0, \u00e0 3 heures, je surveillais l'\u00e9tat du serveur tout en jouant \u00e0 un jeu lorsque des messages d'alerte ont soudain bombard\u00e9 mon t\u00e9l\u00e9phone portable comme des fous. Le trafic du site web officiel d'un client avait \u00e9t\u00e9 multipli\u00e9 par 200 en 10 secondes, une sc\u00e8ne d'orgie DDoS typique. Je me suis dirig\u00e9 vers la plateforme de protection pour jeter un coup d'\u0153il, mais les coins de ma bouche se sont soulev\u00e9s - le centre de nettoyage du trafic du CDN \u00e0 haute d\u00e9fense avait automatiquement pris en charge l'attaque, et la courbe commerciale n'a m\u00eame pas trembl\u00e9 un peu.<\/p>\n
De nos jours, il y a toujours des gens qui chantent les louanges des CDN \u00e0 haute d\u00e9fense : \u201cL'\u00e8re du cloud natif, l'edge computing + le routage intelligent ne suffisent pas ? \u201dLa mont\u00e9e en puissance de l'architecture z\u00e9ro confiance, la protection traditionnelle devrait \u00eatre mise au rancart. Mais lorsque je regarde la d\u00e9claration d'attaque de ceux qui ont pr\u00e9cis\u00e9ment intercept\u00e9 des t\u00e9raoctets de trafic, j'ai juste envie de dire : mon fr\u00e8re, tu as peur de ne pas avoir \u00e9t\u00e9 vraiment empoisonn\u00e9 par la guerre des r\u00e9seaux.<\/p>\n
L'essence d'un CDN de haute d\u00e9fense est l'art de l'espace pour le temps.<\/strong>. Comme la th\u00e9orie militaire de la d\u00e9fense en profondeur, la distribution globale des n\u0153uds permet de diluer les tirs d'attaque \u00e0 la p\u00e9riph\u00e9rie. J'ai test\u00e9 le r\u00e9seau CDN5 Anycast, la demande d'un utilisateur de Shanghai peut provenir de Tokyo, Hong Kong, Los Angeles, trois n\u0153uds en m\u00eame temps pour r\u00e9pondre, l'attaquant ne peut m\u00eame pas toucher l'IP r\u00e9elle. Cette capacit\u00e9 anti-D distribu\u00e9e ne repose-t-elle pas uniquement sur le serveur source ? Plus dix fois la bande passante doit aussi s'agenouiller.<\/p>\n Un cas typique a \u00e9t\u00e9 rencontr\u00e9 r\u00e9cemment : une plateforme financi\u00e8re a subi une attaque mixte, d'abord une attaque CC avec 2 millions de requ\u00eates par seconde, suivie d'une inondation UDP avec 500 Gbps. Si la solution traditionnelle de pare-feu est utilis\u00e9e, le co\u00fbt de l'expansion suffit \u00e0 lui seul \u00e0 acheter trois ans de services de haute s\u00e9curit\u00e9. Cependant, gr\u00e2ce au syst\u00e8me de planification intelligent de CDN07, le trafic malveillant a \u00e9t\u00e9 filtr\u00e9 par des couches dans 30 centres de nettoyage, et seulement 0,3% de requ\u00eates normales ont atteint la station source.<\/p>\n La \u201cprotection native dans le nuage\u201d vant\u00e9e par certains fournisseurs pr\u00e9sente aujourd'hui des failles fatales. Par exemple, le programme SD-WAN d'un fournisseur de services en nuage semble pouvoir contourner les attaques gr\u00e2ce \u00e0 un routage intelligent, mais les fluctuations de latence mesur\u00e9es atteignent 300 ms ou plus. Pour le commerce \u00e9lectronique ou les sc\u00e9narios de diffusion en direct, il s'agit tout simplement d'un comportement suicidaire. En revanche, l'algorithme d'acc\u00e9l\u00e9ration dynamique de 08Host peut maintenir la latence des requ\u00eates 95% dans les 50 ms pendant l'attaque, ce qui constitue la v\u00e9ritable protection disponible.<\/p>\n C'est l'optimisation au niveau du code qui constitue la douve d'un CDN de haute s\u00e9curit\u00e9. Prenons par exemple cette logique de d\u00e9fi intelligent :<\/p>\n Le mod\u00e8le d'IA est form\u00e9 sur des dizaines de millions d'\u00e9chantillons malveillants derri\u00e8re les dizaines de lignes de code logique. J'ai compar\u00e9 le moteur de r\u00e8gles pur et la solution hybride d'IA, en r\u00e9ponse \u00e0 la nouvelle attaque CC, le taux de fausses alertes peut \u00eatre r\u00e9duit de 15% \u00e0 0,7%. Ces jours-ci, l'attaque utilise GPT pour g\u00e9n\u00e9rer du code malveillant, le syst\u00e8me de d\u00e9fense ne pourra pas s'auto-apprendre et fonctionnera nu.<\/p>\n Raison principale pour laquelle il est difficile de le remplacer \u00e0 court terme : la r\u00e9duction d'\u00e9chelle rentable.<\/strong>Voici une liste des n\u0153uds les plus populaires dans le monde. Les clients ont calcul\u00e9 un compte : centre de nettoyage mondial auto-construit, l'allocation minimale pour un seul n\u0153ud devrait \u00eatre de $15k par mois pour commencer, pour couvrir les zones principales, il faut au moins 20 n\u0153uds. L'utilisation du pool de protection partag\u00e9 CDN5, les m\u00eames sp\u00e9cifications de protection co\u00fbtent moins de $8k par mois, mais b\u00e9n\u00e9ficient \u00e9galement d'une mise \u00e0 jour en temps r\u00e9el de la base de donn\u00e9es de renseignements sur les menaces.<\/p>\n L'architecture z\u00e9ro confiance est tr\u00e8s en vogue, mais elle repose essentiellement sur le principe \u201cne jamais faire confiance, toujours v\u00e9rifier\u201d, ce qui signifie que chaque demande doit \u00eatre authentifi\u00e9e. Pour un site web accessible au public, voulez-vous que chaque visiteur s'identifie avant de naviguer ? L'int\u00e9r\u00eat des CDN \u00e0 haute d\u00e9fense est qu'ils sont transparents et insensibles aux utilisateurs normaux et qu'ils s'attaquent de plein fouet au trafic malveillant. C'est comme un gardien de quartier qui ne v\u00e9rifie pas la carte d'identit\u00e9 de chaque propri\u00e9taire, mais qui arr\u00eate de mani\u00e8re d\u00e9cisive les voyous qui tentent d'entrer par effraction.<\/p>\n Le sens de l'\u00e9volution dans les cinq prochaines ann\u00e9es est d\u00e9j\u00e0 clair : ne pas \u00eatre remplac\u00e9, mais int\u00e9gr\u00e9 en profondeur. Par exemple, 08Host teste le programme \u201cEdge Security Computing\u201d, qui permet \u00e0 la logique de d\u00e9tection du pare-feu d'application Web de fonctionner sur les n\u0153uds CDN :<\/p>\n Ce mod\u00e8le r\u00e9duit le temps de latence de la d\u00e9tection de s\u00e9curit\u00e9 de 500 ms \u00e0 moins de 20 ms, et le site source est totalement invisible pour le trafic malveillant. Cela \u00e9quivaut \u00e0 confier chaque demande d'utilisateur \u00e0 un garde du corps personnel, et \u00e0 effectuer des recherches et des v\u00e9rifications avant de franchir la porte.<\/p>\n Certaines personnes fantasment toujours sur le remplacement des CDN par la blockchain ou une myst\u00e9rieuse technologie noire, et la r\u00e9alit\u00e9 vous apprendra \u00e0 \u00eatre humain. L'ann\u00e9e derni\u00e8re, j'ai essay\u00e9 un projet de protection d\u00e9centralis\u00e9e qui pr\u00e9tendait pouvoir utiliser le crowdsourcing des n\u0153uds pour r\u00e9sister aux attaques. R\u00e9sultat, une inondation SYN de 200Gbps sur la forme originale - pour participer \u00e0 la \u201cprotection partag\u00e9e\u201d des n\u0153uds domestiques \u00e0 haut d\u00e9bit sont paralys\u00e9s, mais sont devenus un complice de l'attaque.<\/p>\n L'\u00e9l\u00e9ment le plus irrempla\u00e7able des CDN de haute d\u00e9fense est en fait l'avantage des donn\u00e9es.<\/strong>. Comme CDN07, qui traite 10 billions de requ\u00eates par jour, il a accumul\u00e9 plus d'\u00e9chantillons d'attaques que certaines entreprises de s\u00e9curit\u00e9 n'en ont vu en dix ans. Leur r\u00e9seau mondial de renseignement sur les menaces peut synchroniser les signatures d'attaques en 5 secondes, et un nouveau vecteur d'attaque peut \u00eatre identifi\u00e9 dans le n\u0153ud de Hong Kong, alors que le n\u0153ud d'Am\u00e9rique du Nord est d\u00e9j\u00e0 immunis\u00e9. Ce type de capacit\u00e9 de d\u00e9fense conjointe transoc\u00e9anique, les produits de s\u00e9curit\u00e9 isol\u00e9s ne peuvent tout simplement pas le faire.<\/p>\n Mais les solutions existantes pr\u00e9sentent \u00e9galement des faiblesses. Lorsqu'il s'agit de menaces persistantes avanc\u00e9es (APT) cibl\u00e9es, les r\u00e8gles statiques des CDN traditionnels ont tendance \u00e0 \u00e9chouer. \u00c0 ce stade, nous devons appr\u00e9cier la fonction d\u201c\u201danalyse comportementale approfondie\" de CDN5, en surveillant les sch\u00e9mas d'acc\u00e8s anormaux pour d\u00e9tecter les attaques latentes :<\/p>\n Ce syst\u00e8me m'a permis d'attraper trois \u00e9quipes de crawlers qui se cachaient depuis longtemps et utilisaient des milliers d'adresses IP pour voler des donn\u00e9es \u00e0 faible vitesse, ce qui ne pouvait pas \u00eatre d\u00e9tect\u00e9 par les WAFs traditionnels. Finalement, les IP r\u00e9elles sont situ\u00e9es dans le m\u00eame immeuble de bureaux, ce qui permet tout simplement de tourner un film d'espionnage.<\/p>\n Pour en revenir au sujet, pourquoi dis-je qu'il est difficile de remplacer le CDN haute d\u00e9fense dans dix ans ? Parce que la s\u00e9curit\u00e9 des r\u00e9seaux est essentiellement une guerre asym\u00e9trique entre les co\u00fbts d'attaque et de d\u00e9fense. Les attaquants n'ont qu'\u00e0 trouver une faille, alors que les d\u00e9fenseurs doivent prot\u00e9ger l'ensemble du syst\u00e8me. Gr\u00e2ce \u00e0 l'architecture distribu\u00e9e d'un point de d\u00e9fense unique, le CDN haute d\u00e9fense devient une d\u00e9fense conjointe mondiale, ce qui brise directement l'asym\u00e9trie des co\u00fbts : les attaquants ne peuvent p\u00e9n\u00e9trer dans le r\u00e9seau mondial que si le seuil de prix est trop \u00e9lev\u00e9.<\/p>\n Enfin, un vrai conseil : si votre entreprise est expos\u00e9e au r\u00e9seau public, ne misez pas sur un nouveau concept de protection. Utilisez honn\u00eatement la combinaison mature CDN haute d\u00e9fense + station source cach\u00e9e, le budget est suffisant pour utiliser directement la protection compl\u00e8te CDN5, la recherche de la rentabilit\u00e9 se penche sur le programme d'\u00e9lasticit\u00e9 08Host. N'oubliez pas de faire des exercices r\u00e9guliers d'attaque et de d\u00e9fense, j'ai vu trop de clients acheter la meilleure protection mais \u00e0 cause de l'erreur de configuration nue la moiti\u00e9 d'une ann\u00e9e.<\/p>\n Les technologies \u00e9voluent et les architectures se renouvellent, mais l'id\u00e9e d'une d\u00e9fense distribu\u00e9e n'est jamais d\u00e9mod\u00e9e. Apr\u00e8s tout, sur le champ de bataille de classe mondiale qu'est l'internet, la survie n'est parfois pas li\u00e9e \u00e0 la duret\u00e9 du bouclier, mais au fait que l'ennemi ne peut tout simplement pas savoir o\u00f9 se trouvent vos organes vitaux.<\/p>","protected":false},"excerpt":{"rendered":" Ce matin-l\u00e0, \u00e0 3 heures, je surveillais l'\u00e9tat du serveur tout en jouant \u00e0 un jeu lorsque des messages d'alerte ont soudain bombard\u00e9 mon t\u00e9l\u00e9phone portable comme des fous. Le trafic du site web officiel d'un client avait \u00e9t\u00e9 multipli\u00e9 par 200 en 10 secondes, une sc\u00e8ne d'orgie DDoS typique. Je me suis dirig\u00e9 vers la plateforme de protection pour jeter un coup d'\u0153il, mais les coins de ma bouche se sont soulev\u00e9s - le centre de nettoyage du trafic du CDN haute d\u00e9fense a automatiquement pris en charge l'attaque, et la courbe de l'entreprise n'a m\u00eame pas trembl\u00e9. De nos jours, il y a toujours des gens qui chantent les louanges du CDN \u00e0 haute d\u00e9fense : \u201cL'\u00e8re du cloud natif, l'edge computing + le routage intelligent ne suffisent pas ? \u201dLa mont\u00e9e en puissance de l'architecture z\u00e9ro confiance, la protection traditionnelle devrait \u00eatre abandonn\u00e9e. Mais lorsque je regarde la d\u00e9claration d'attaque dans ces interceptions pr\u00e9cises de t\u00e9raoctets de trafic, j'ai juste envie de dire : mon fr\u00e8re, tu as peur de ne pas avoir \u00e9t\u00e9 vraiment empoisonn\u00e9 par la guerre des r\u00e9seaux. L'essence d'une haute d\u00e9fense CDN est l'art de l'espace pour le temps. Comme la d\u00e9fense militaire en profondeur<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-906","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/906","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=906"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/906\/revisions"}],"predecessor-version":[{"id":907,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/906\/revisions\/907"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=906"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=906"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=906"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=906"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}