R\u00e9cemment, j'ai aid\u00e9 l'entreprise d'un ami \u00e0 faire face \u00e0 une attaque DDoS, et en voyant le seul dispositif anti-DDoS dans leur salle de serveurs avec une lumi\u00e8re rouge et des alarmes folles, j'ai soudain r\u00e9alis\u00e9 que de nombreux responsables de la s\u00e9curit\u00e9 des entreprises n'y pensent tout simplement pas - devrions-nous utiliser un CDN \u00e0 haute d\u00e9fense ou un mat\u00e9riel anti-DDoS traditionnel de nos jours ?<\/p>\n
\u00c0 ce moment-l\u00e0, leur \u00e9quipement d'une valeur d'un million de dollars \u00e9tait comme un entonnoir surcharg\u00e9, l'entr\u00e9e \u00e9tait manifestement bloqu\u00e9e et le trafic commercial ne pouvait pas du tout entrer. L'\u00e9quipe technique a encercl\u00e9 la machine pendant une demi-journ\u00e9e et n'a pu que constater l'effondrement de l'entreprise. J'ai vu cette sc\u00e8ne trop souvent, beaucoup d'entreprises pensent que l'\u00e9quipement mat\u00e9riel achet\u00e9 sur tout va bien, en fait, ce n'est pas du tout le cas.<\/p>\n
Commen\u00e7ons par la diff\u00e9rence essentielle<\/strong><\/p>\n L'\u00e9quipement anti-DDoS est comme une porte de s\u00e9curit\u00e9 dans votre maison, install\u00e9 \u00e0 la sortie du r\u00e9seau de l'entreprise, tout le trafic doit passer par lui pour \u00eatre d\u00e9tect\u00e9. L'avantage est qu'il permet un contr\u00f4le rigoureux, qu'il peut voir les donn\u00e9es de trafic originales et qu'il est adapt\u00e9 aux activit\u00e9s intranet qui n\u00e9cessitent une d\u00e9tection approfondie. Mais le d\u00e9faut fatal est que le trafic d'attaque et le trafic normal encombreront votre bande passante de sortie, une fois que le trafic d'attaque d\u00e9passera la capacit\u00e9 de la bande passante, l'ensemble du r\u00e9seau sera compl\u00e8tement paralys\u00e9.<\/p>\n Les CDN \u00e0 haut niveau de d\u00e9fense, quant \u00e0 eux, dirigent le trafic vers des centres de nettoyage distribu\u00e9s. Les fournisseurs de services tels que CDN5 disposent de dizaines de n\u0153uds de nettoyage dans le monde entier, et le trafic d'attaque est dig\u00e9r\u00e9 au niveau des n\u0153uds p\u00e9riph\u00e9riques, et seul le trafic normal est renvoy\u00e9 vers votre serveur. J'ai constat\u00e9 que m\u00eame si j'\u00e9tais confront\u00e9 \u00e0 une attaque mixte de 300 Gbps, la consommation de bande passante de la station source ne d\u00e9passerait pas 100 Mbps.<\/p>\n C'est la comparaison des co\u00fbts qui compte.<\/strong><\/p>\n L'achat d'un \u00e9quipement mat\u00e9riel anti-DDoS repr\u00e9sente un investissement de 80 \u00e0 2 millions d'euros la premi\u00e8re ann\u00e9e, sans compter les co\u00fbts de maintenance annuels de 20%. Il faut aussi tenir compte de la n\u00e9cessit\u00e9 d'avoir des ing\u00e9nieurs en s\u00e9curit\u00e9 \u00e0 plein temps pour assurer la maintenance, le simple fait de recruter co\u00fbte encore trois ou quatre cent mille euros. De nombreuses entreprises ne comprennent pas le compte, pensant qu'un investissement unique est termin\u00e9.<\/p>\n Le CDN haute d\u00e9fense, quant \u00e0 lui, est un mod\u00e8le de paiement \u00e0 l'utilisation. \u00c0 l'instar du programme de facturation flexible de CDN07, le trafic mensuel garanti de 5 To plus la facturation \u00e0 la demande de l'exc\u00e9dent permettent aux petites et moyennes entreprises de contr\u00f4ler le co\u00fbt mensuel de 1 \u00e0 3 millions d'euros. M\u00eame si l'attaque soudaine g\u00e9n\u00e8re des co\u00fbts de nettoyage, ce programme est bien plus rentable que le programme de mat\u00e9riel auto-construit. L'ann\u00e9e derni\u00e8re, une promotion du commerce \u00e9lectronique a \u00e9t\u00e9 attaqu\u00e9e pendant que le co\u00fbt final du programme CDN n'\u00e9tait que de 80 000 yuans, alors que si vous utilisez le mat\u00e9riel que vous avez vous-m\u00eame construit, vous devrez d\u00e9penser plus de 600 000 yuans pour l'expansion de la bande passante.<\/p>\n Ne croyez pas \u00e0 la \u201csolution tout-en-un\u201d.\u201d<\/strong><\/p>\n Certains fournisseurs vont promouvoir la soi-disant \u201csolution tout-en-un\u201d, en fait, il s'agit du CDN et de l'\u00e9quipement mat\u00e9riel emball\u00e9s pour la vente. J'ai d\u00e9mont\u00e9 le programme d'un fournisseur et j'ai constat\u00e9 que l'ancien \u00e9quipement mat\u00e9riel utilis\u00e9 pour le d\u00e9ploiement dans le nuage entra\u00eenait une baisse importante des performances. Ne croyez pas ceux qui se vantent d'avoir un point de d\u00e9fense unique pour un \u00e9quipement d'attaque de classe T, le test r\u00e9el ne permet pas de supporter des attaques mixtes de 200 Gbps.<\/p>\n Une solution vraiment fiable consisterait \u00e0 mettre en place une d\u00e9fense par couches :<\/p>\n Les entreprises du web doivent utiliser un CDN \u00e0 haute d\u00e9fense, comme le r\u00e9seau mondial Anycast de 08Host, qui peut disperser efficacement le trafic d'attaque. Les serveurs cl\u00e9s de l'entreprise conservent un \u00e9quipement anti-DDoS pour la protection secondaire, la base de donn\u00e9es et les syst\u00e8mes internes, ainsi qu'une couche de protection de l'h\u00f4te. De cette fa\u00e7on, m\u00eame si une certaine couche est franchie, il y a d'autres lignes de d\u00e9fense \u00e0 soutenir.<\/p>\n Voir ici un exemple de configuration<\/strong><\/p>\n Prenons l'exemple de la configuration de Nginx + CDN haute d\u00e9fense, la cl\u00e9 est de faire un bon travail de protection du site source :<\/p>\n La configuration de la politique relative aux dispositifs mat\u00e9riels est en revanche plus complexe et doit \u00eatre adapt\u00e9e aux diff\u00e9rents protocoles :<\/p>\n Mes conseils pratiques<\/strong><\/p>\n Les organisations financi\u00e8res, gouvernementales et autres qui ont besoin d'un contr\u00f4le absolu conviennent \u00e0 l'\u00e9quipement mat\u00e9riel, mais elles doivent \u00eatre dot\u00e9es d'une \u00e9quipe professionnelle charg\u00e9e de l'exploitation et de la maintenance 7\u00d724 heures. Pour les entreprises Internet, les jeux, le commerce \u00e9lectronique et d'autres services destin\u00e9s au grand public, le choix direct d'un CDN \u00e0 haute d\u00e9finition est plus fiable, en particulier la fonction de planification intelligente du CDN5 qui peut r\u00e9ellement \u00e9viter bien des maux de c\u0153ur.<\/p>\n La solution hybride est la voie royale : l'activit\u00e9 principale avec l'\u00e9quipement mat\u00e9riel pour prot\u00e9ger la base, les services externes avec le CDN de haute s\u00e9curit\u00e9 pour transporter le trafic. Apr\u00e8s le d\u00e9ploiement de cette solution par une soci\u00e9t\u00e9 cot\u00e9e en bourse, le co\u00fbt annuel de la protection contre les attaques DDoS a \u00e9t\u00e9 r\u00e9duit de 40%, et il n'y a plus eu d'interruption d'activit\u00e9.<\/p>\n Enfin, un fait solide : les entreprises 90% n'ont tout simplement pas besoin de construire leur propre syst\u00e8me de protection anti-D. Il faut que l'\u00e9quipe ach\u00e8te de l'\u00e9quipement, assez d'argent pour acheter dix ans de services CDN. Il suffit de r\u00e9unir l'\u00e9quipe pour acheter l'\u00e9quipement n\u00e9cessaire \u00e0 l'achat de dix ans de services CDN, et la base de donn\u00e9es de renseignements sur les menaces et les r\u00e8gles de d\u00e9fense en temps r\u00e9el de l'entreprise de s\u00e9curit\u00e9 professionnelle sont bien plus opportunes et efficaces que la base de r\u00e8gles construite par l'entreprise elle-m\u00eame.<\/p>\n Dans le milieu de la s\u00e9curit\u00e9, un vieux dicton dit qu'il ne faut pas utiliser la main-d'\u0153uvre pour accumuler des probl\u00e8mes qui peuvent \u00eatre r\u00e9solus avec de l'argent. En regardant ceux qui restent debout toute la nuit \u00e0 regarder la console de protection de l'\u00e9quipe technique, j'ai vraiment envie de leur conseiller de commencer \u00e0 faire des choses professionnelles avec des produits professionnels.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 l'entreprise d'un ami \u00e0 faire face \u00e0 une attaque DDoS, et j'ai vu leur salle de serveurs o\u00f9 le seul \u00e9quipement anti-DDoS \u00e9tait illumin\u00e9 d'une lumi\u00e8re rouge qui sonnait l'alarme. J'ai soudain r\u00e9alis\u00e9 que beaucoup d'entreprises en charge de la s\u00e9curit\u00e9 ne veulent tout simplement pas comprendre - en fin de compte, ces jours-ci, devrait-on utiliser le CDN \u00e0 haute d\u00e9fense ou le mat\u00e9riel anti-DDoS traditionnel ? \u00c0 ce moment-l\u00e0, leur \u00e9quipement d'un million de dollars est comme un entonnoir surcharg\u00e9, de toute \u00e9vidence l'entr\u00e9e a \u00e9t\u00e9 bloqu\u00e9e, le trafic commercial ne peut pas entrer du tout. L'\u00e9quipe technique a tourn\u00e9 autour de la machine pendant une demi-journ\u00e9e et n'a pu que constater l'effondrement de l'entreprise. J'ai vu cette sc\u00e8ne trop souvent, beaucoup d'entreprises pensent que l'\u00e9quipement mat\u00e9riel achet\u00e9 sur tout va bien, en fait, ce n'est pas du tout le cas. L'\u00e9quipement anti-DDoS est comme la porte de s\u00e9curit\u00e9 de votre maison, il est install\u00e9 \u00e0 la sortie du r\u00e9seau de l'entreprise et tout le trafic doit passer par lui pour \u00eatre d\u00e9tect\u00e9. Les avantages sont les suivants<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-930","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/930","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=930"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/930\/revisions"}],"predecessor-version":[{"id":1195,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/930\/revisions\/1195"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=930"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=930"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=930"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=930"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}