R\u00e9cemment, plusieurs amis qui s'occupent de jeux et de finances sont venus me voir et m'ont demand\u00e9 si les activit\u00e9s de leur entreprise \u00e9taient touch\u00e9es par des attaques DDoS, et s'ils envisageaient de recourir \u00e0 un CDN \u00e0 haute d\u00e9fense, mais une v\u00e9rification du devis d'AWS les a laiss\u00e9s perplexes : ce prix a-t-il pour but de pr\u00e9venir les attaques ou d'attaquer mon porte-monnaie ?<\/p>\n
Pour \u00eatre honn\u00eate, j'ai \u00e9galement eu le souffle coup\u00e9 lorsque j'ai regard\u00e9 pour la premi\u00e8re fois la tarification d'AWS Shield Advanced. Les frais mensuels fixes commencent \u00e0 3 000 dollars, sans compter les frais de nettoyage du trafic et de mise \u00e0 l'\u00e9chelle \u00e9lastique. Une fois, un client a re\u00e7u un d\u00e9bit de 300 Gbps, et lorsque la facture a grimp\u00e9 \u00e0 cinq chiffres ce mois-l\u00e0, la direction financi\u00e8re a failli penser qu'elle avait \u00e9t\u00e9 victime d'une escroquerie multinationale dans le domaine des t\u00e9l\u00e9communications.<\/p>\n
La d\u00e9fense \u00e9lev\u00e9e des SAP est co\u00fbteuse, mais il faut comprendre la logique de sa tarification. C'est comme acheter une assurance : vous pensez g\u00e9n\u00e9ralement que vous payez pour rien, mais vous ne savez pas si cela en vaut la peine jusqu'\u00e0 ce qu'il se passe quelque chose. La tarification est divis\u00e9e en trois niveaux cach\u00e9s : les frais de protection de base sont comme un billet d'entr\u00e9e, les frais de nettoyage des donn\u00e9es sont comme l'argent du vin, et les frais d'expansion de l'entreprise sont simplement le droit de bouchon.<\/p>\n
La chose la plus pitoyable que j'ai trouv\u00e9e dans la vie r\u00e9elle est la commission d'extension flexible. De nombreux vendeurs ne prennent pas l'initiative de vous dire que lorsque l'attaque d\u00e9passe la capacit\u00e9 de la protection de base que vous avez achet\u00e9e, l'exc\u00e9dent est factur\u00e9 par \u00e9tapes. L'ann\u00e9e derni\u00e8re, pour aider une bourse \u00e0 faire des tests de stress, une attaque simul\u00e9e de 800Gbps a dur\u00e9 une demi-heure, les frais d'expansion \u00e0 eux seuls suffisent \u00e0 acheter un serveur.<\/p>\n
La facturation associ\u00e9e aux ressources est une op\u00e9ration plus sordide. D\u00e8s que vous placez votre entreprise derri\u00e8re un ELB ou CloudFront, Shield facture automatiquement la protection de ces ressources. Une fois, j'ai fait une erreur et j'ai activ\u00e9 la protection pour l'ELB de mon environnement de test, et \u00e0 la fin du mois, j'ai d\u00e9couvert que j'avais \u00e9t\u00e9 factur\u00e9 800 $ de plus - combien de tasses de caf\u00e9 cela suffirait-il \u00e0 acheter ?<\/p>\n
L\u00e0 encore, les n\u0153uds de nettoyage mondiaux d'AWS dominent v\u00e9ritablement. R\u00e9partis dans 16 centres r\u00e9gionaux de planification du trafic, ils sont en mesure de traiter un maximum de cas, soit 2,3 Tbps. Pour les entreprises internationales en particulier, la vitesse de r\u00e9ponse des n\u0153uds europ\u00e9ens et am\u00e9ricains n'est pas plus rapide d'une demi-\u00e9toile que celle des fournisseurs nationaux. Mais si vos utilisateurs se trouvent principalement sur le territoire, c'est d\u00e9penser de l'argent pour acheter la solitude.<\/p>\n
Examinons maintenant les acteurs nationaux. Par exemple, l'ancien CDN5, dont les paquets de d\u00e9fense de haut niveau sont beaucoup plus substantiels :<\/p>\n
Le point le plus important est que les fournisseurs nationaux utilisent g\u00e9n\u00e9ralement le mod\u00e8le \u201dgaranti + \u00e9lastique\u201d. Comme la ligne BGP de CDN07, qui garantit g\u00e9n\u00e9ralement une protection de 100G, elle s'\u00e9tend automatiquement au niveau T lorsqu'elle est confront\u00e9e \u00e0 des attaques de trafic importantes, uniquement en fonction de la facturation du trafic r\u00e9el de l'attaque. La derni\u00e8re fois, une plateforme de pr\u00eat en ligne a \u00e9t\u00e9 touch\u00e9e, 3 heures pour porter une attaque de 400G, et n'a finalement pay\u00e9 que plus de 800 frais d'extension.<\/p>\n
Un autre avantage cach\u00e9 est la vitesse de r\u00e9ponse des n\u0153uds nationaux. La latence des n\u0153uds de 08Host en Chine de l'Est peut \u00eatre atteinte dans les 15 ms, tandis que les n\u0153uds d'AWS Hong Kong sont g\u00e9n\u00e9ralement plus de 50 ms. Ne vous contentez pas de quelques dizaines de millisecondes de diff\u00e9rence, dans le jeu et les sc\u00e9narios de n\u00e9gociation en temps r\u00e9el, il y a un monde de diff\u00e9rence entre le d\u00e9calage et la fluidit\u00e9.<\/p>\n
Mais ne croyez pas \u00e0 l'absurdit\u00e9 de la \u201dprotection illimit\u00e9e\u201d. Un fabricant se vante d'avoir un trafic illimit\u00e9 et non plafonn\u00e9, mais il a vraiment rencontr\u00e9 une attaque de plus de 800G directement vers son trou noir pendant trois heures. Plus tard, j'ai appris qu'il \u00e9tait \u00e9crit dans un coin du contrat \u201dune attaque de plus de 1Tbps a le droit de d\u00e9clencher la fusion d'urgence\u201d - en termes humains, il s'agit de d\u00e9brancher directement le c\u00e2ble du r\u00e9seau.<\/p>\n
Effectuons maintenant une comparaison rigoureuse. Supposons que l'on r\u00e9ponde \u00e0 une attaque soutenue de 200 Gbps pendant 2 heures, en nettoyant un trafic d'environ 180 To :<\/p>\n
La diff\u00e9rence est suffisante pour acheter un autre cluster de sauvegarde. Cependant, il faut faire attention \u00e0 la consommation cach\u00e9e des fournisseurs nationaux : par exemple, la protection CC pour acheter des paquets de r\u00e8gles, des frais s\u00e9par\u00e9s pour l'analyse des journaux, des limitations d'appels API, etc. Il est arriv\u00e9 qu'un client d\u00e9clenche 20 millions de demandes de v\u00e9rification en raison d'attaques CC, ce qui a entra\u00een\u00e9 des frais suppl\u00e9mentaires de plus de 10 000 requ\u00eates.<\/p>\n
Mon conseil dans le monde r\u00e9el est que si la base d'utilisateurs est principalement \u00e0 l'\u00e9tranger, l'utilisation d'AWS Shield avec CloudFront est un v\u00e9ritable gain de temps, en particulier pour les sc\u00e9narios qui n\u00e9cessitent une acc\u00e9l\u00e9ration globale. Mais veillez \u00e0 mettre en place des alertes sur les co\u00fbts et, de pr\u00e9f\u00e9rence, \u00e0 acheter un plan d'\u00e9pargne \u00e0 l'avance - ne me demandez pas comment je le sais.<\/p>\n
Les entreprises purement nationales choisissent directement des fournisseurs locaux, ce qui est plus rentable. Le programme hybride de 08Host est tr\u00e8s int\u00e9ressant : il utilise g\u00e9n\u00e9ralement l'acc\u00e9l\u00e9ration de son CDN, en programmant automatiquement le n\u0153ud de haute d\u00e9fense lorsqu'une attaque se produit. Le co\u00fbt mensuel moyen est inf\u00e9rieur \u00e0 celui d'AWS de 62%, et la latence est \u00e9galement r\u00e9duite de 40%.<\/p>\n
Enfin, nous r\u00e9v\u00e9lons un secret de l'industrie : de nombreux fabricants nationaux de lignes BGP sont en fait lou\u00e9s par le m\u00eame groupe de salles de serveurs. Mais CDN5 a construit deux grands centres de nettoyage en Chine orientale et en Chine m\u00e9ridionale, et l'effet mesur\u00e9 des attaques d'\u00e9puisement des connexions est plus de trois fois sup\u00e9rieur \u00e0 celui des vendeurs qui louent des lignes. De nos jours, m\u00eame les CDN doivent \u201dpr\u00e9venir les co\u00e9quipiers\u201d.<\/p>\n
En fait, le choix d'une d\u00e9fense \u00e9lev\u00e9e est comme une ceinture de s\u00e9curit\u00e9, ce n'est pas le plus cher qui est le meilleur, mais l'adaptation \u00e0 la situation de l'entreprise. Les classes financi\u00e8res choisissent une protection de niveau T, ce qui n'est pas facile, tandis que les entreprises ordinaires optent pour un paquet de 200G et une expansion flexible de la capacit\u00e9, ce qui est plus \u00e9conomique. La chose la plus importante est de faire des r\u00e9p\u00e9titions offensives et d\u00e9fensives \u00e0 l'avance - beaucoup d'\u00e9checs ne sont pas des protections, mais des strat\u00e9gies de changement qui n'ont pas \u00e9t\u00e9 r\u00e9p\u00e9t\u00e9es.<\/p>\n
La prochaine fois que vous verrez une facture astronomique, ne vous pr\u00e9cipitez pas sur la douleur, calculez d'abord la perte de temps d'arr\u00eat de votre entreprise pendant une heure. Une fois, j'ai aid\u00e9 un client du commerce \u00e9lectronique \u00e0 faire quelques calculs : le co\u00fbt d'une attaque de 500 G n'est pas suffisant pour compenser la perte de 10 minutes d'indisponibilit\u00e9 du serveur. Telle est la v\u00e9rit\u00e9 sur le rapport co\u00fbt-efficacit\u00e9 du CDN \u00e0 haute d\u00e9fense.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, plusieurs amis dans le domaine du jeu et de la finance sont venus me voir et m'ont demand\u00e9 si les activit\u00e9s de mon entreprise avaient \u00e9t\u00e9 touch\u00e9es par des DDoS, et j'envisageais d'opter pour un CDN \u00e0 haute d\u00e9fense, mais lorsque j'ai consult\u00e9 la liste des prix d'AWS, j'ai \u00e9t\u00e9 directement d\u00e9concert\u00e9 - ce prix est-il destin\u00e9 \u00e0 pr\u00e9venir les attaques ou \u00e0 attaquer mon portefeuille ? Pour \u00eatre honn\u00eate, lorsque j'ai regard\u00e9 pour la premi\u00e8re fois les tarifs d'AWS Shield Advanced, j'ai \u00e9galement eu une bouff\u00e9e d'air froid. Les frais mensuels fixes commencent \u00e0 3 000 dollars, sans compter les frais de nettoyage du trafic et de mise \u00e0 l'\u00e9chelle de l'\u00e9lasticit\u00e9. Une fois, un client a re\u00e7u un d\u00e9bit de 300 Gbps, et lorsque la facture a grimp\u00e9 \u00e0 cinq chiffres ce mois-l\u00e0, la finance a presque pens\u00e9 qu'il avait \u00e9t\u00e9 victime d'une escroquerie transfrontali\u00e8re dans le domaine des t\u00e9l\u00e9communications. La haute d\u00e9fense AWS est co\u00fbteuse, mais vous devez comprendre sa logique de tarification. C'est comme acheter une assurance : on pense g\u00e9n\u00e9ralement que l'argent est pay\u00e9 pour rien, et ce n'est qu'en cas de probl\u00e8me que l'on sait si cela en vaut la peine ou non. La tarification est divis\u00e9e en<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-942","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/942","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=942"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/942\/revisions"}],"predecessor-version":[{"id":1183,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/942\/revisions\/1183"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=942"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=942"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=942"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=942"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}