La nuit derni\u00e8re, \u00e0 2 heures du matin, un message est apparu dans le groupe technique : \u201cLe site web officiel est bloqu\u00e9 et le trafic atteint 200 Gbps !\u201d.\u201d<\/p>\n
Je me suis vers\u00e9 une gorg\u00e9e d'expresso en me connectant \u00e0 distance pour jeter un coup d'\u0153il, bon gars, des attaques typiques de torrents TCP entrecoup\u00e9es de crawlers fous qui brossent la page d\u00e9taill\u00e9e du produit. De nos jours, si vous \u00eates engag\u00e9 dans le commerce \u00e9lectronique, vous n'\u00eates pas g\u00ean\u00e9 de dire que vous \u00eates dans ce business parce que vous n'avez pas \u00e9t\u00e9 soumis aux DDoS et aux reptiles.<\/p>\n
Le site de commerce \u00e9lectronique est un champ de bataille de l'\u00e8re num\u00e9rique. En surface, il s'agit de vendre des marchandises, mais en secret, il s'agit d'une attaque et d'une d\u00e9fense techniques. Vous dites que la bande passante de votre serveur est de 100 millions d'euros, alors que le trafic d'attaque atteint 200 gigawatts en quelques minutes. Vous dites que le prix de vos marchandises est mis \u00e0 jour en temps r\u00e9el ? Les crawlers ne sont plus qu'\u00e0 une demi-heure du prix le plus bas de votre pantalon.<\/p>\n
Le CDN haute d\u00e9finition n'est plus un \u201caccessoire optionnel\u201d, mais la configuration de base de la survie du commerce \u00e9lectronique.<\/strong>. Mais il y a tellement de fournisseurs de services sur le march\u00e9, comment choisir ? J'ai test\u00e9 CDN5, CDN07 et 08Host, trois fournisseurs de services traditionnels, et je dois dire aujourd'hui une grande v\u00e9rit\u00e9.<\/p>\n Tout d'abord, l'anti-DDoS. Ne croyez pas ceux qui pr\u00e9tendent que les vendeurs offrent une \u201cprotection illimit\u00e9e\u201d, ils ont vraiment rencontr\u00e9 un flux \u00e9norme de \"cool\" ou \"cool\". L'ann\u00e9e derni\u00e8re, lors d'une promotion du commerce \u00e9lectronique, l'utilisation d'un CDN bon march\u00e9 a entra\u00een\u00e9 une p\u00e9n\u00e9tration directe de SYN Flood de 200 Gbps, la page est rest\u00e9e bloqu\u00e9e pendant une demi-heure enti\u00e8re, ce qui a entra\u00een\u00e9 de lourdes pertes.<\/p>\n Un v\u00e9ritable CDN fiable et hautement s\u00e9curis\u00e9 doit avoir trois niveaux de capacit\u00e9 de nettoyage : filtrage pr\u00e9liminaire des n\u0153uds p\u00e9riph\u00e9riques \u2192 nettoyage en profondeur du centre r\u00e9gional \u2192 d\u00e9tournement du trou noir du nuage. J'ai constat\u00e9 que le r\u00e9seau CDN5 Anycast est vraiment f\u00e9roce, l'ann\u00e9e derni\u00e8re pour aider une m\u00e8re et son b\u00e9b\u00e9 e-commerce \u00e0 porter une attaque mixte de 437Gbps, au cours de l'entreprise sans perception.<\/p>\n La configuration doit accorder une attention particuli\u00e8re \u00e0 l'optimisation de la pile TCP. De nombreuses configurations par d\u00e9faut de CDN ne peuvent tout simplement pas supporter un grand nombre de connexions, vous devez donc ajuster manuellement les param\u00e8tres du noyau :<\/p>\n En outre, l'anti-crawler est une zone tr\u00e8s touch\u00e9e. La semaine derni\u00e8re, un client du secteur num\u00e9rique m'a dit que ses concurrents consultaient le prix de l'ensemble du site toutes les 5 minutes, et que la strat\u00e9gie d'ajustement des prix \u00e9tait parfaitement comprise. Un WAF ordinaire ne peut tout simplement pas emp\u00eacher cela, vous devez utiliser l'analyse comportementale + le d\u00e9fi JS sur deux fronts.<\/p>\n La gestion intelligente des crawlers de 08Host est la plus malhonn\u00eate que j'aie jamais vue - elle renvoie de fausses donn\u00e9es pour les requ\u00eates suspectes des crawlers :<\/p>\n Le crawler choisit $999, et l'utilisateur r\u00e9el voit $1199. En attendant que l'adversaire finisse d'ajuster la strat\u00e9gie en fonction du faux prix, une vague directe de contre-attaque.<\/p>\n La protection de l'API mobile est encore plus mortelle. De nombreuses applications codent en dur les cl\u00e9s d'API c\u00f4t\u00e9 client, et les robots d'indexation simulent directement les demandes des applications, ce qui ne peut \u00eatre \u00e9vit\u00e9. Cette fois, vous devez utiliser un jeton dynamique + une signature de demande :<\/p>\n Enfin, en ce qui concerne les performances d'acc\u00e9l\u00e9ration, c'est le point de test cach\u00e9 des CDN de haute d\u00e9fense. Certains fournisseurs sacrifient la vitesse \u00e0 la s\u00e9curit\u00e9, les liens crypt\u00e9s deviennent trop complexes, le TTFB (time to first byte) atteint 300 ms et plus, l'utilisateur se retrouve rapidement \u00e0 court.<\/p>\n Les donn\u00e9es de test r\u00e9elles sont tr\u00e8s illustratives : pour le m\u00eame trajet de P\u00e9kin \u00e0 Los Angeles, la ligne BGP de CDN07 est 47% plus rapide que la ligne ordinaire :<\/p>\n Le moteur de traitement en temps r\u00e9el de 08Host supporte le format AVIF, qui est plus petit que le JPEG 50% mais aussi plus clair, ce qui est le vrai travail.<\/p>\n La d\u00e9finition d'une strat\u00e9gie de mise en cache est un travail technique. J'ai vu un webmaster mettre en cache des pages dynamiques pendant une heure, et le r\u00e9sultat est que les utilisateurs voient les prix d'hier. La strat\u00e9gie doit \u00eatre affin\u00e9e par catalogue :<\/p>\n Parlons maintenant de la s\u00e9lection des pi\u00e8ges. Certains vendeurs de la \u201cprotection illimit\u00e9e\u201d cachent en fait un myst\u00e8re : plus que le trafic nominal directement nul, m\u00eame les possibilit\u00e9s de nettoyage ne sont pas donn\u00e9es. Avant de signer le contrat, assurez-vous de confirmer trois points : le seuil de d\u00e9clenchement du nettoyage, la capacit\u00e9 de protection maximale et la strat\u00e9gie de traitement des exc\u00e9dents.<\/p>\n Le prix est encore plus \u00e9lev\u00e9. La facturation bas\u00e9e sur la bande passante semble bon march\u00e9 et fait imm\u00e9diatement faillite lorsqu'elle est attaqu\u00e9e par le trafic. Selon l'\u00e9tude 95, la facturation de pointe est relativement fiable, mais il est pr\u00e9f\u00e9rable de fixer un prix plafond mensuel. Une entreprise de commerce \u00e9lectronique transfrontali\u00e8re, CDN5 garanti + programme d'\u00e9lasticit\u00e9, a subi 23 attaques DDoS en un mois, mais le co\u00fbt n'a pas d\u00e9pass\u00e9 le budget.<\/p>\n Enfin, j'aimerais pr\u00e9senter une th\u00e9orie : les CDN de haute d\u00e9fense sans planification intelligente sont tous \u00e0 moiti\u00e9 paralys\u00e9s. Le syst\u00e8me DNS intelligent de CDN07 peut \u00eatre ajust\u00e9 automatiquement en fonction du type de strat\u00e9gie d'ordonnancement de l'attaque, les attaques SYN vont vers Anycast, les attaques CC vers le nettoyage distribu\u00e9, ce qui est vraiment intelligent.<\/p>\n Ne le laissez pas seul apr\u00e8s le d\u00e9ploiement. V\u00e9rifiez les rapports de protection chaque semaine. J'avais l'habitude d'utiliser des scripts pour analyser automatiquement les sch\u00e9mas d'acc\u00e8s :<\/p>\n Soyons honn\u00eates, faire de la technologie pour le commerce \u00e9lectronique de nos jours, c'est un peu comme faire la guerre. Les m\u00e9thodes d'attaque \u00e9voluent chaque mois et les strat\u00e9gies de protection qui ont fonctionn\u00e9 l'ann\u00e9e derni\u00e8re ne fonctionneront peut-\u00eatre pas cette ann\u00e9e. Maintenez la fr\u00e9quence it\u00e9rative de la technologie, effectuez r\u00e9guli\u00e8rement des tests de r\u00e9sistance, n'attendez pas que le v\u00e9ritable coup de filet se produise \u00e0 nouveau.<\/p>\n En fin de compte, le CDN de haute d\u00e9fense n'est qu'un outil, la cl\u00e9 est de savoir comment l'utiliser. J'ai vu des millions de dollars pour acheter les meilleurs r\u00e9sultats CDN \u00e0 cause d'une mauvaise configuration par le reptile chauve, mais j'ai aussi vu le programme open source pour construire leur propre mais pour porter l'attaque 500G. La coop\u00e9ration des personnes et des outils est la protection ultime.<\/p>\n (Certains d\u00e9tails techniques sont cach\u00e9s \u00e0 la demande des clients, veuillez ajuster la configuration sp\u00e9cifique en fonction du sc\u00e9nario de l'entreprise).<\/p>","protected":false},"excerpt":{"rendered":" La nuit derni\u00e8re, \u00e0 deux heures du matin, le groupe technique a soudainement fait exploser un message : \u201cLe site web officiel est bloqu\u00e9, le trafic est mont\u00e9 en fl\u00e8che \u00e0 200 Gbps\u201d. De nos jours, les sites de commerce \u00e9lectronique ne subissent pas de DDoS et les reptiles sont g\u00ean\u00e9s de dire qu'ils font ce genre d'affaires. Le site de commerce \u00e9lectronique est un champ de bataille de l'\u00e8re num\u00e9rique, en surface il s'agit de vendre des marchandises, en secret toutes les attaques et d\u00e9fenses techniques. Vous dites que la bande passante de votre serveur est de 100 millions d'euros, alors que le trafic d'attaque atteint 200 gigawatts en quelques minutes. Les crawlers n'ont plus qu'une demi-heure de retard sur le prix le plus bas pour s'emparer du pantalon le plus bas. Le CDN haute d\u00e9fense n'est plus un \u201caccessoire optionnel\u201d, mais la configuration de base de la survie du commerce \u00e9lectronique. Mais il y a tellement de fournisseurs de services sur le march\u00e9, comment choisir ? J'ai test\u00e9<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-941","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/941","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=941"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/941\/revisions"}],"predecessor-version":[{"id":1184,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/941\/revisions\/1184"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=941"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=941"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=941"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=941"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}