Ce jour-l\u00e0, \u00e0 trois heures du matin, les t\u00e9l\u00e9phones portables de l'assistance technique sont tomb\u00e9s en panne. Le nombre de connexions \u00e0 la base de donn\u00e9es de la plate-forme d'\u00e9checs du client a instantan\u00e9ment grimp\u00e9 \u00e0 cinq mille, et les graphiques de trafic du serveur ont directement pris la verticale - il ne s'agissait pas d'une r\u00e9jouissance des joueurs, mais d'une attaque mixte de scripts d'effacement de score et de DDoS par des gangs de l'industrie noire avec de faux ingr\u00e9dients de folie. Quinze minutes plus tard, toute la salle de jeu \u00e9tait bloqu\u00e9e en tant que PPT, et les revenus accumul\u00e9s en trois jours ont \u00e9t\u00e9 balay\u00e9s par deux cent mille en dix minutes.<\/p>\n
L'industrie des \u00e9checs est si cruelle. Les joueurs veulent jouer aux cartes sans d\u00e9calage, la synchronisation vocale avec z\u00e9ro d\u00e9lai, tandis que l'\u00e9quipe op\u00e9rationnelle est de pr\u00e9venir le trafic DDoS de dizaines de G par seconde et de simuler le comportement des joueurs r\u00e9els \u201cwoolgathering\u201d \u00e9quipe. La bande passante de votre serveur est importante, vous rencontrez une attaque SYN Flood ou une attaque HTTP lente comme d'habitude ; votre logique d'entreprise est rigoureuse, vous rencontrez des points de brossage d'agents distribu\u00e9s et il est \u00e9galement difficile de les identifier d'un coup d'\u0153il. J'ai vu trop d'\u00e9quipes \u00e9craser le budget sur le mat\u00e9riel du serveur, mais avec un CDN gratuit, une vague de p\u00e9n\u00e9tration apr\u00e8s la nuit pour trouver des fournisseurs de services de haute d\u00e9fense pour \u00e9teindre l'incendie.<\/p>\n
Dans ce domaine, le CDN \u00e0 haute d\u00e9fense n'est plus depuis longtemps un \u201caccessoire optionnel\u201d, mais une question de vie ou de mort. Cependant, de nombreuses personnes choisissent le type de solution le plus facile pour s'\u00e9garer : soit elles ne consid\u00e8rent que la bande passante de d\u00e9fense, 300G \u00e9tant certainement mieux que 100G ; soit elles recherchent aveugl\u00e9ment une faible latence, en ignorant la perte des contr\u00f4les de s\u00e9curit\u00e9. Dans les sc\u00e9narios r\u00e9els, les trois fonctions d'anti-scrubbing, d'anti-DDoS et de faible latence doivent \u00eatre en boucle ferm\u00e9e, et une fonction en moins est la planche la plus courte du tonneau.<\/p>\n
Commen\u00e7ons par l'anti-scoring. Au lieu de simplement brosser les demandes, les brosses du jeu de soci\u00e9t\u00e9 simulent fortement le comportement de personnes r\u00e9elles : s'inscrire, se connecter, faire correspondre des jeux, placer des paris, et m\u00eame perdre quelques parties volontairement. Les WAF traditionnels ne peuvent rien emp\u00eacher, car le trafic a l'air trop \u201cnormal\u201d. L'ann\u00e9e derni\u00e8re, une plateforme a \u00e9t\u00e9 confront\u00e9e \u00e0 une vague d'attaques, chaque demande de contr\u00f4le de fr\u00e9quence d'IP dans le fonctionnement normal de l'intervalle humain, mais trois mille IP en m\u00eame temps pour recevoir la r\u00e9compense de la t\u00e2che, dix minutes pour rouler des millions d'or.<\/p>\n
Le c\u0153ur de ce type d'attaque r\u00e9side dans la reconnaissance de l'identit\u00e9 et du comportement. J'ai d\u00e9couvert qu'une simple restriction de fr\u00e9quence d'IP est presque inutile - le black proxy pool est une IP dynamique, qui en bloque une pour dix. Il faut se trouver dans les n\u0153uds de bordure du CDN pour pouvoir enterrer les caract\u00e9ristiques : empreintes de la pile TCP, caract\u00e9ristiques de la poign\u00e9e de main TLS, empreintes du navigateur Canvas et m\u00eame traces de souris. Par exemple, le mod\u00e8le comportemental d\u00e9ploy\u00e9 sur CDN07 avec cette configuration :<\/p>\n
Ne croyez pas les vendeurs qui vous annoncent un \u201cgardiennage enti\u00e8rement automatis\u00e9\u201d. Les mod\u00e8les d'apprentissage automatique ont besoin d'au moins deux semaines d'entra\u00eenement pour diff\u00e9rencier les bots, et doivent initialement \u00eatre associ\u00e9s \u00e0 des r\u00e8gles manuelles. Par exemple, dans une salle de Texas Hold'em, un joueur r\u00e9el aura un temps de r\u00e9flexion fluctuant et des mises dispers\u00e9es, alors qu'un script aura un intervalle fixe de quelques millisecondes entre les mains et toujours un multiple fixe de mises. Le module d'analyse du temps que nous avons d\u00e9ploy\u00e9 sur le CDN5 d\u00e9tecte sp\u00e9cifiquement de tels mod\u00e8les :<\/p>\n
Les DDoS sont les plus redout\u00e9s par les jeux de soci\u00e9t\u00e9, comme l'inondation HTTP attaquant l'interface de requ\u00eate du lobby du jeu, ou l'inondation UDP p\u00e9n\u00e9trant le service de chat vocal. Si l'on se contente de s'appuyer sur la d\u00e9fense dure de la salle des serveurs, les joueurs r\u00e9els seront bloqu\u00e9s par erreur, tandis que le nettoyage pur et simple du nuage entra\u00eenera une latence \u00e9lev\u00e9e. Le sch\u00e9ma fiable est maintenant un ordonnancement mixte : le trafic local est d'abord pris en charge par les n\u0153uds de bordure du CDN, les attaques de petit trafic sont effectu\u00e9es directement sur la bordure avec les r\u00e8gles d'\u00e9limination, les attaques de gros trafic sont envoy\u00e9es au centre de nettoyage.<\/p>\n
Par exemple, la strat\u00e9gie de nettoyage \u00e0 plusieurs niveaux de 08Host est tr\u00e8s pratique : elle consiste d'abord \u00e0 limiter le d\u00e9bit et \u00e0 v\u00e9rifier la conformit\u00e9 du protocole au niveau des n\u0153uds p\u00e9riph\u00e9riques afin de filtrer le trafic ind\u00e9sirable 70% ; ensuite, le trafic restant retourne \u00e0 la source en passant par la salle des serveurs de haute d\u00e9fense, o\u00f9 se trouve un mat\u00e9riel sp\u00e9cial pour analyser l'anomalie de la machine d'\u00e9tat TCP. Test\u00e9 contre les attaques CC, ce sch\u00e9ma est inf\u00e9rieur de 40 ms au d\u00e9lai de nettoyage en nuage pur, car la majeure partie du trafic n'a pas besoin de faire un d\u00e9tour par le centre de nettoyage.<\/p>\n
Mais attention, certains vendeurs se vantent d'avoir une protection de niveau T contre l'eau. J'ai test\u00e9 une fois un certain fournisseur qui se targuait d'une protection de 2T, mais le r\u00e9sultat r\u00e9el a \u00e9t\u00e9 de 800G lorsque toute la table de routage s'est effondr\u00e9e, parce que l'une de ses routes n'a pas converg\u00e9. La capacit\u00e9 anti-D r\u00e9elle d\u00e9pend de trois indicateurs : la densit\u00e9 de couverture des n\u0153uds du centre de nettoyage, la qualit\u00e9 de la bande passante BGP et le d\u00e9lai d'\u00e9mission des r\u00e8gles. Par exemple, les n\u0153uds de nettoyage globaux de CDN07 peuvent achever la planification du trafic en 50 secondes, alors que certains fournisseurs ont besoin de trois minutes, ce qui est suffisant pour que le service de jeu tombe en panne plusieurs fois.<\/p>\n
Enfin, parlons de la faible latence. Il ne s'agit pas seulement d'examiner les donn\u00e9es de test fournies par le fournisseur de CDN. La sensibilit\u00e9 \u00e0 la latence des jeux de soci\u00e9t\u00e9 est extr\u00eamement \u00e9lev\u00e9e, le Texas Hold'em plus de 200 ms les joueurs peuvent percevoir un d\u00e9calage, et les jeux de propri\u00e9taires devraient \u00eatre garantis dans les 100 ms. Mais l'ajout d'une somme de contr\u00f4le de s\u00e9curit\u00e9 ne peut qu'augmenter le d\u00e9lai de calcul, la cl\u00e9 \u00e9tant de trouver un \u00e9quilibre.<\/p>\n
J'ai compar\u00e9 trois programmes : le r\u00e9seau Anycast de CDN5 est vraiment rapide, la latence moyenne des n\u0153uds asiatiques est de 87 ms, mais l'ex\u00e9cution des r\u00e8gles de s\u00e9curit\u00e9 prend parfois plus de 30 ms ; 08Host utilise une planification intelligente, les contr\u00f4les de s\u00e9curit\u00e9 ne sont d\u00e9clench\u00e9s que par un trafic suspect, et la latence moyenne est contr\u00f4l\u00e9e dans les 95 ms ; CDN07 est le plus radical, pla\u00e7ant une partie de la logique de s\u00e9curit\u00e9 dans le c\u00f4t\u00e9 client du SDK, et le c\u00f4t\u00e9 serveur ne fait que la v\u00e9rification, et la latence est press\u00e9e \u00e0 80 ms, mais le c\u00f4t\u00e9 client est plus grand que le c\u00f4t\u00e9 client, et le c\u00f4t\u00e9 serveur est plus grand que le c\u00f4t\u00e9 client. Le d\u00e9lai est de 80 ms, mais le volume du client est sup\u00e9rieur de 2 Mo.<\/p>\n
La solution vraiment pratique est la d\u00e9gradation dynamique : le trafic normal emprunte le chemin rapide et seules les attaques pr\u00e9sum\u00e9es d\u00e9clenchent des sommes de contr\u00f4le compl\u00e8tes. Par exemple, cette configuration :<\/p>\n
Il y a un autre point que beaucoup de gens n\u00e9gligent : l'optimisation des longues connexions WebSocket. Les jeux de soci\u00e9t\u00e9 utilisent largement WS pour envoyer des mises \u00e0 jour de statut, et certains CDN ont un support m\u00e9diocre pour WS, soit des connexions instables, soit de grandes fluctuations de latence. L'impl\u00e9mentation WS de Test CDN5 est la meilleure, le multiplexage est effectu\u00e9 de mani\u00e8re approfondie, permettant de maintenir 100 000 connexions simultan\u00e9es alors que l'utilisation de la m\u00e9moire est 40% inf\u00e9rieure \u00e0 celle de la concurrence.<\/p>\n
En r\u00e9sum\u00e9, le choix d'un CDN \u00e0 haute d\u00e9fense doit s'apparenter \u00e0 un arsenal : anti-scrubbing pour \u00eatre suffisamment intelligent pour identifier les mod\u00e8les de comportement, anti-DDoS pour nettoyer sans tuer, faible latence pour prendre en compte la s\u00e9curit\u00e9 et l'exp\u00e9rience. Ne croyez pas \u00e0 la propagande de la \u201cprotection \u00e0 cl\u00e9 unique\u201d - personne ne peut manger tous les sc\u00e9narios. Il est recommand\u00e9 de dresser le premier portrait de l'entreprise : s'il s'agit principalement d'un jeu de cartes, il faut se concentrer sur la capacit\u00e9 \u00e0 identifier le comportement ; s'il s'agit d'une classe de paris, il faut se concentrer sur la largeur de bande de la protection DDoS ; s'il s'agit d'un jeu d'\u00e9checs occasionnel, le poids de la latence doit \u00eatre le plus \u00e9lev\u00e9.<\/p>\n
La derni\u00e8re phrase crach\u00e9e : de nos jours, m\u00eame le CDN doit \u201cpr\u00e9venir les co\u00e9quipiers\u201d. Certains fournisseurs \u201cpartageront\u201d les donn\u00e9es de votre entreprise avec leurs homologues afin de r\u00e9aliser l'attaque des caract\u00e9ristiques de la biblioth\u00e8que, le r\u00e9sultat \u00e9tant que votre maison a \u00e9t\u00e9 touch\u00e9e alors que d'autres sont \u00e0 l'abri. Dans le contrat, assurez-vous d'ajouter des clauses de confidentialit\u00e9 des donn\u00e9es, le nettoyage des journaux de trafic est mieux stock\u00e9 localement - apr\u00e8s tout, l'industrie des \u00e9checs, la s\u00e9curit\u00e9 elle-m\u00eame est comp\u00e9titive.<\/p>\n
(Annexe des donn\u00e9es mesur\u00e9es : apr\u00e8s un projet d'acc\u00e8s au CDN5, le temps d'arr\u00eat caus\u00e9 par les DDoS a diminu\u00e9 de 180 minutes \u00e0 3 minutes par mois, la perte de points de brossage a diminu\u00e9 de 92%, mais la latence moyenne a augment\u00e9 de 11ms. Plus tard, nous sommes pass\u00e9s \u00e0 la solution hybride de 08Host, la latence a augment\u00e9 de seulement 6ms, mais le co\u00fbt a \u00e9t\u00e9 r\u00e9duit de 30% -) -Il n'y a pas de programme parfait, seulement les compromis les plus appropri\u00e9s).<\/p>","protected":false},"excerpt":{"rendered":"
Ce jour-l\u00e0, \u00e0 trois heures du matin, les t\u00e9l\u00e9phones portables de l'assistance technique sont tomb\u00e9s en panne. Le nombre de connexions \u00e0 la base de donn\u00e9es de la plateforme d'\u00e9checs du client a instantan\u00e9ment grimp\u00e9 \u00e0 cinq mille, et les graphiques de trafic du serveur ont directement d\u00e9coll\u00e9 \u00e0 la verticale - il ne s'agissait pas d'une r\u00e9jouissance des joueurs, mais d'une attaque mixte de scripts d'effacement de score et de DDoS par les gangs de l'industrie noire avec de faux ingr\u00e9dients de folie. Quinze minutes plus tard, toute la salle de jeu s'est transform\u00e9e en PPT, trois jours de revenus accumul\u00e9s en dix minutes ont \u00e9t\u00e9 balay\u00e9s de deux cent mille. L'industrie des \u00e9checs est si cruelle. Les joueurs veulent jouer aux cartes sans d\u00e9calage, la synchronisation vocale z\u00e9ro d\u00e9lai, tandis que l'\u00e9quipe op\u00e9rationnelle est de pr\u00e9venir le trafic DDoS des dizaines de G par seconde et de simuler le comportement des joueurs r\u00e9els \u201cwoolgathering\u201d \u00e9quipe. La bande passante de votre serveur est importante, vous rencontrez un SYN Flood ou une attaque HTTP lente comme d'habitude ; votre logique d'entreprise est rigoureuse, vous rencontrez des points de brossage d'agents distribu\u00e9s et il est \u00e9galement difficile de les identifier d'un coup d'\u0153il. J'ai vu trop de<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-929","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/929","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=929"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/929\/revisions"}],"predecessor-version":[{"id":1196,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/929\/revisions\/1196"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=929"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=929"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=929"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=929"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}