R\u00e9cemment, j'ai aid\u00e9 plusieurs startups \u00e0 d\u00e9velopper leur activit\u00e9 en ligne et j'ai d\u00e9couvert que nombre d'entre elles avaient subi des attaques DDoS juste apr\u00e8s avoir d\u00e9marr\u00e9 leur activit\u00e9, et qu'elles \u00e9taient paralys\u00e9es d\u00e8s qu'elles \u00e9taient touch\u00e9es. Le patron \u00e9tait tellement inquiet qu'il s'est lev\u00e9 d'un bond : \u201cNous utilisons un fournisseur de services en nuage qui dispose de sa propre protection ! D\u00e9ballez la configuration et jetez un coup d'\u0153il, bon gars, la version de base de la capacit\u00e9 de nettoyage de 5Gbps, n'est pas suffisante pour que les pirates s'\u00e9chauffent avec.<\/p>\n
Les cyberattaques sont depuis longtemps industrialis\u00e9es. L'offre d'attaque d'un site est explicitement chiffr\u00e9e \u00e0 50 dollars pour une heure d'arr\u00eat de l'activit\u00e9. S'attendre \u00e0 une protection de base de la part d'un fournisseur de services en nuage ? Cela \u00e9quivaut \u00e0 bloquer une Gatling avec un bouclier en papier.<\/p>\n
Dans les cas d'attaques \u00e0 fort trafic que j'ai trait\u00e9s, l'\u00e9quipe de 90% a commis une erreur fatale : elle a attendu d'\u00eatre paralys\u00e9e avant de se pr\u00e9cipiter pour trouver une solution. L'interruption de l'activit\u00e9 pendant trois heures, la perte est suffisante pour acheter trois ans de services de haute d\u00e9fense. Les le\u00e7ons du pass\u00e9 nous enseignent que l'acc\u00e8s \u00e0 un CDN haute d\u00e9fense doit devenir une action standard avant le lancement, plut\u00f4t qu'une mesure corrective a posteriori.<\/p>\n
La valeur fondamentale des CDN de haute d\u00e9fense n'est pas l'acc\u00e9l\u00e9ration, mais le camouflage.<\/strong>. C'est comme si vous portiez un masque pare-balles sur le serveur - l'IP r\u00e9elle est cach\u00e9e derri\u00e8re, et tout le trafic passe d'abord par le n\u0153ud de nettoyage global. Les pirates frapperont toujours les n\u0153uds CDN, et votre station source se cache dans l'obscurit\u00e9 et la stabilit\u00e9.<\/p>\n Le test a r\u00e9v\u00e9l\u00e9 que le CDN correctement configur\u00e9 peut filtrer 99% de trafic ind\u00e9sirable. Aujourd'hui, de la mani\u00e8re la plus simple, le processus de configuration du CDN de haute d\u00e9fense pour d\u00e9manteler comprendre. Apr\u00e8s l'op\u00e9ration, une demi-heure suffira pour que le site porte un gilet pare-balles.<\/p>\n Tout d'abord, jetons un peu d'eau froide : ne croyez pas ces publicit\u00e9s sur la \u201cprotection en un clic\u201d. J'ai test\u00e9 les fonctions d'auto-configuration de trois grands fournisseurs, et aucun d'entre eux ne peut s'adapter parfaitement aux sc\u00e9narios d'entreprise. Soit les r\u00e8gles de mise en cache sont d\u00e9raisonnables, soit la politique de protection est trop souple ou trop stricte. La configuration manuelle est toujours la meilleure solution.<\/p>\n La premi\u00e8re \u00e9tape de la s\u00e9lection des produits les plus d\u00e9noyaut\u00e9s. Il existe trois grandes \u00e9coles de produits de haute d\u00e9fense sur le march\u00e9 :Traditionnel Type de fabricant<\/strong>(CDN5, CDN07),St\u00e9r\u00e9otypes de liaison des fournisseurs de services en nuage<\/strong>(un certain Riyun, un certain nuage de Tencent),Protection sp\u00e9cialis\u00e9e<\/strong>(08Host, etc.). Il est int\u00e9ressant de voir comment les donn\u00e9es mesur\u00e9es se comparent :<\/p>\n Les n\u0153uds des fournisseurs traditionnels ont une large couverture, mais le degr\u00e9 de personnalisation est faible. La latence des n\u0153uds de CDN5 en Asie-Pacifique peut \u00eatre r\u00e9duite \u00e0 moins de 80 ms, mais la capacit\u00e9 de nettoyage en Europe est faible ; l'algorithme d'acc\u00e9l\u00e9ration TCP de CDN07 est tr\u00e8s rapide, mais la configuration est anti-humaine.<\/p>\n Le plus grand pi\u00e8ge des st\u00e9r\u00e9otypes group\u00e9s des fournisseurs de cloud est que - vous pensez que vous achetez une haute d\u00e9fense ind\u00e9pendante, mais en fait il s'agit toujours d'un cluster partag\u00e9. En p\u00e9riode de pointe, les \u201cclients en or\u201d peuvent s'emparer des ressources. L'ann\u00e9e derni\u00e8re, Double Eleven, une soci\u00e9t\u00e9 de commerce \u00e9lectronique, a subi cette perte.<\/p>\n Type de protection sp\u00e9cialis\u00e9 comme 08Host, qui gagne dans la strat\u00e9gie de protection. Support de mod\u00e8les de protection personnalis\u00e9s par type d'entreprise (e-commerce\/gaming\/finance), mais le prix est souvent \u00e9lev\u00e9 30%.<\/p>\n Mes suggestions de choix sont les suivantes<\/strong>L'activit\u00e9 principale en Asie-Pacifique choisit CDN5, l'activit\u00e9 globale CDN07, le niveau de protection financi\u00e8re doit consid\u00e9rer 08Host. Ne croyez pas que le coup de vente \u201cprotection illimit\u00e9e\u201d, tous les vendeurs ont des seuils invisibles.<\/p>\n D\u00e9terminez le fabricant et passez directement \u00e0 la console. Concentrez-vous sur quatre param\u00e8tres :source m\u00e9thode de retour<\/strong>\u3001R\u00e8gles de mise en cache<\/strong>\u3001classe de protection<\/strong>\u3001limite de bande passante<\/strong>. Il y a des mines enfouies dans chaque option ici.<\/p>\n Une fois qu'un client a configur\u00e9 le lendemain la station source a \u00e9t\u00e9 p\u00e9n\u00e9tr\u00e9e, la v\u00e9rification jusqu'\u00e0 la fin a trouv\u00e9 que la s\u00e9lection de la \u201ctransparente retour \u00e0 la source\u201d - le pirate \u00e0 travers le n\u0153ud CDN contre-v\u00e9rification pour obtenir l'IP r\u00e9elle. Le mode \u201cproxy back to the source\u201d doit \u00eatre s\u00e9lectionn\u00e9, de sorte que le CDN serve d'interm\u00e9diaire pour isoler le trafic.<\/p>\n Le lien de liaison du nom de domaine est le d\u00e9tail le plus test\u00e9. De nombreuses personnes remplissent directement un CNAME et pensent que c'est fait, mais oublient de v\u00e9rifier l'\u00e9tat de la r\u00e9solution. La position correcte devrait \u00eatre :<\/p>\n Ensuite, configurez la politique de retour de la source. L'IP de la station source doit utiliser l'IP de l'intranet ou l'IP de la liste blanche du pare-feu, afin d'\u00e9viter l'exposition de l'IP publique. Dans certains cas, des pirates ont scann\u00e9 violemment des IP de segments CDN pour contre-v\u00e9rifier le site source, parce que l'IP publique avait \u00e9t\u00e9 utilis\u00e9e pour retourner \u00e0 la source.<\/p>\n La configuration du cache est essentielle pour les performances. Il est recommand\u00e9 de mettre en place un cache de 30 jours pour les ressources statiques et de d\u00e9sactiver le cache pour les API dynamiques. Il existe un malentendu classique : certaines personnes ont mis en cache l'interface de connexion et, par cons\u00e9quent, toutes les connexions d'utilisateurs sont des num\u00e9ros de s\u00e9rie. Utilisez cette r\u00e8gle pour \u00e9viter cette trag\u00e9die :<\/p>\n Les r\u00e8gles du WAF ne sont pas aussi strictes que les meilleures, j'ai vu certaines personnes ouvrir le mode strict complet, l'utilisateur normal est \u00e9galement bloqu\u00e9. Il est recommand\u00e9 de prendre trois mesures :Protection moyenne pour l'utilisation initiale<\/strong>\uff0cDocumentation sur l'apprentissage des sch\u00e9mas de circulation<\/strong>\uff0cPasser \u00e0 une strat\u00e9gie personnalis\u00e9e apr\u00e8s deux semaines<\/strong>\u3002<\/p>\n Trois \u00e9l\u00e9ments de protection obligatoires doivent \u00eatre ouverts :Protection contre les attaques de la CC<\/strong>(Automatiquement remis en cause pour les demandes sup\u00e9rieures \u00e0 200 par seconde),Fermeture g\u00e9ographique<\/strong>(blocage direct des segments IP ne relevant pas du domaine de l'entreprise),Interception des robots malveillants<\/strong>La fonction de reconnaissance des robots de 08Host est particuli\u00e8rement efficace pour faire la distinction entre les moteurs de recherche et les robots malveillants.<\/p>\n Il existe un artefact cach\u00e9 dans les param\u00e8tres avanc\u00e9s :Seuils de validation homme-machine<\/strong>Vous pouvez d\u00e9finir \u201cle m\u00eame acc\u00e8s IP 50 fois par minute pour d\u00e9clencher le code d'authentification\u201d. Vous pouvez d\u00e9finir \"le m\u00eame acc\u00e8s IP 50 fois par minute pour d\u00e9clencher le code d'authentification\", le test r\u00e9el peut bloquer l'attaque 80% CC. Mais ne le fixez pas \u00e0 un niveau trop bas, car les utilisateurs mobiles risqueraient d'\u00eatre maudits.<\/p>\n Testez toujours \u00e0 la fin ! V\u00e9rifiez que la protection fonctionne en simulant une attaque avec l'outil :<\/p>\n V\u00e9rifiez le rapport d'attaque sur la console CDN, normalement vous devriez voir que le trafic d'attaque est nettoy\u00e9 et que la pression du serveur source ne bouge pas. Si vous voyez des pics de CPU \u00e0 la source, v\u00e9rifiez la configuration de la source.<\/p>\n N'oubliez pas de d\u00e9finir des alarmes. Il est recommand\u00e9 d'activer les deux alarmes de seuil \u201cle trafic de nettoyage dans les 5 minutes d\u00e9passe 10G\u201d et \u201cla bande passante de retour \u00e0 la source d\u00e9passe 100Mbps\u201d. Si vous \u00eates attaqu\u00e9 \u00e0 trois heures du matin, vous pourrez toujours r\u00e9agir \u00e0 temps.<\/p>\n Apr\u00e8s ces cinq \u00e9tapes, votre site a \u00e9t\u00e9 en mesure de r\u00e9sister \u00e0 la plupart des attaques conventionnelles. Mais n'oubliez pas qu'il n'existe pas de syst\u00e8me de s\u00e9curit\u00e9 absolu. Le mois dernier, j'ai \u00e9t\u00e9 confront\u00e9 \u00e0 une attaque perverse : des pirates ont utilis\u00e9 des dizaines de milliers d'IP r\u00e9elles de t\u00e9l\u00e9phones portables pour lancer une requ\u00eate lente, contournant presque la politique de haute s\u00e9curit\u00e9. Finalement, c'est en s'appuyant sur l'analyse comportementale intelligente de 08Host que l'attaque a pu \u00eatre stopp\u00e9e.<\/p>\n Un CDN \u00e0 haute d\u00e9fense permet essentiellement de gagner du temps, en entra\u00eenant le pirate dans une guerre d'usure jusqu'\u00e0 ce qu'il renonce \u00e0 l'attaque. La r\u00e9serve de bande passante est donc tr\u00e8s importante. Il est recommand\u00e9 de r\u00e9server une marge de bande passante de 20% sur une base quotidienne, et d'augmenter temporairement la capacit\u00e9 en cas d'attaque.L'expansion \u00e9lastique de CDN5 fait du bon travail, cinq minutes pour ajouter 1T de bande passante de protection.<\/p>\n Enfin, la v\u00e9rit\u00e9 : l'attaque r\u00e9ussie de 90% est due \u00e0 une erreur de configuration. Il est plus important d'auditer r\u00e9guli\u00e8rement les r\u00e8gles CDN et de v\u00e9rifier les journaux du site source pour d\u00e9tecter tout acc\u00e8s direct inhabituel que d'acheter des packs de protection hors de prix. Apr\u00e8s tout, les forteresses les plus solides sont souvent perc\u00e9es de l'int\u00e9rieur.<\/p>\n V\u00e9rifiez votre configuration CDN d\u00e8s maintenant. N'attendez pas qu'une attaque se produise pour le regretter - avec ces questions de s\u00e9curit\u00e9, il y a toujours trop de redondance en temps normal et trop peu de haine quand les choses tournent mal.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 plusieurs startups \u00e0 d\u00e9velopper leur activit\u00e9 en ligne et j'ai d\u00e9couvert que nombre d'entre elles avaient subi des attaques DDoS juste apr\u00e8s avoir d\u00e9marr\u00e9 leur activit\u00e9, et qu'elles \u00e9taient paralys\u00e9es d\u00e8s qu'elles \u00e9taient touch\u00e9es. Le patron \u00e9tait tellement inquiet qu'il s'est lev\u00e9 d'un bond : \u201cNous utilisons un fournisseur de services en nuage qui dispose de sa propre protection ! La configuration a \u00e9t\u00e9 d\u00e9mont\u00e9e, et la capacit\u00e9 de nettoyage de 5 Gbps de la version de base n'a pas suffi aux pirates pour s'\u00e9chauffer. Aujourd'hui, les attaques de r\u00e9seaux sont industrialis\u00e9es depuis longtemps. L'offre d'attaquer le site est clairement indiqu\u00e9e, 50 yuans peuvent paralyser votre entreprise pendant une heure. S'attendre \u00e0 une protection de base de la part d'un fournisseur de services en nuage ? Cela \u00e9quivaut \u00e0 bloquer une Gatling avec un bouclier en papier. Dans les cas d'attaques \u00e0 fort trafic que j'ai trait\u00e9s, l'\u00e9quipe de 90% a commis l'erreur fatale d'attendre d'\u00eatre paralys\u00e9e pour trouver une solution dans l'urgence. L'interruption des activit\u00e9s pendant trois heures, la perte est suffisante pour acheter trois ans de services de d\u00e9fense de haut niveau. La le\u00e7on du sang nous dit : l'acc\u00e8s \u00e0 un CDN haute d\u00e9fense doit devenir une action standard avant d'aller en ligne.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-953","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/953","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=953"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/953\/revisions"}],"predecessor-version":[{"id":1172,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/953\/revisions\/1172"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=953"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=953"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=953"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=953"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}