Lorsque j'ai pris en charge l'exploitation et la maintenance du site web officiel de l'entreprise, il \u00e9tait courant d'\u00eatre r\u00e9veill\u00e9 au milieu de la nuit par des messages d'alarme. Une alerte de temps d'arr\u00eat rouge sang s'affiche \u00e0 l'\u00e9cran, il est impossible de se connecter en arri\u00e8re-plan, l'activit\u00e9 est compl\u00e8tement paralys\u00e9e - inutile de deviner, c'est encore SYN Flood. Cette chose est comme une arm\u00e9e de zombies dans le monde des r\u00e9seaux, avec une demi-connexion qui empile votre serveur, mais ne laisse pas non plus de preuves compl\u00e8tes. Le plus pitoyable, c'est que les pare-feu traditionnels tuent souvent par erreur de vrais utilisateurs, ce c\u00f4t\u00e9 de l'attaque ne s'est pas arr\u00eat\u00e9, l'autre c\u00f4t\u00e9 du t\u00e9l\u00e9phone de la plainte du client a \u00e9t\u00e9 \u00e9clat\u00e9.<\/p>\n
Plus tard, j'ai test\u00e9 une fois les principaux CDN de haute d\u00e9fense du march\u00e9, et j'ai constat\u00e9 qu'ils pouvaient emp\u00eacher l'inondation SYN sur deux points : la pr\u00e9cision de la d\u00e9tection des connexions TCP et le m\u00e9canisme de v\u00e9rification de l'adresse IP source. Certains fournisseurs soufflant le ciel, la rencontre r\u00e9elle avec les attaques de trafic lourd directement couch\u00e9, pas aussi bon que leur propre iptables difficile \u00e0 transporter.<\/p>\n
O\u00f9 se trouve la naus\u00e9e SYN Flood ?<\/strong> Il profite de la faille de la poign\u00e9e de main TCP \u00e0 trois reprises pour envoyer fr\u00e9n\u00e9tiquement des demandes de demi-connexion. La poign\u00e9e de main normale exige que le client envoie SYN, que le serveur renvoie SYN-ACK, que le client renvoie ACK, mais l'attaquant est toujours bloqu\u00e9 \u00e0 la deuxi\u00e8me \u00e9tape et ne r\u00e9pond pas. Les ressources du serveur sont occup\u00e9es par ces \u201dconnexions zombies\u201d, et les nouveaux utilisateurs ne peuvent tout simplement pas se faufiler. Le pire, c'est que l'adresse IP source de l'attaque est falsifi\u00e9e, de sorte qu'il est impossible de savoir o\u00f9 se trouve le v\u00e9ritable ennemi.<\/p>\n Dans les premi\u00e8res ann\u00e9es, nous avons \u00e0 peine r\u00e9ussi \u00e0 faire face \u00e0 cette situation avec le r\u00e9glage des param\u00e8tres du noyau Linux :<\/p>\n Mais cela ne peut r\u00e9sister qu'au volume d'attaque de dizaines de milliers de paquets par seconde, rencontr\u00e9 plus de 300Gbps DDoS tout simplement pour rien. Une fois, apr\u00e8s avoir \u00e9t\u00e9 p\u00e9n\u00e9tr\u00e9, je me suis accroupi dans la salle des serveurs tout en red\u00e9marrant le serveur en jurant, je comprends tout \u00e0 fait que cela doit faire partie du programme professionnel.<\/p>\n La d\u00e9tection des connexions TCP est un v\u00e9ritable atout pour les CDN \u00e0 haute d\u00e9fense<\/strong>L'\u00e9cart entre les algorithmes est c\u00e9leste et terrestre. Ne regardez pas ce que l'on appelle le \u201dnettoyage intelligent\u201d, l'\u00e9cart algorithmique entre le ciel et la terre. J'ai test\u00e9 le syst\u00e8me de CDN07, qui peut identifier les caract\u00e9ristiques anormales des paquets SYN en 3 secondes :<\/p>\n Mais le plus impitoyable est la technologie de simulation de pile de protocole de 08Host - ils utilisent des algorithmes adaptatifs pour ajuster dynamiquement la taille de la fen\u00eatre TCP, l'utilisateur r\u00e9el suivra la sp\u00e9cification du protocole pour compl\u00e9ter la poign\u00e9e de main, et l'outil d'attaque pour envoyer un paquet malform\u00e9 directement expos\u00e9.<\/p>\n La v\u00e9rification de l'IP source est un peu al\u00e9atoire.<\/strong>L'approche du CDN5 est plus intelligente. Certains fournisseurs bloquent simplement et grossi\u00e8rement les segments IP, souvent l'adresse de la passerelle de l'op\u00e9rateur est \u00e9galement tu\u00e9e par erreur. L'approche de CDN5 est plus intelligente : elle ne suit pas imm\u00e9diatement la d\u00e9couverte d'une interception IP suspecte, mais est d'abord d\u00e9tourn\u00e9e vers l'environnement sandbox pour compl\u00e9ter la v\u00e9rification du d\u00e9fi :<\/p>\n Le test r\u00e9el a r\u00e9v\u00e9l\u00e9 que cet ensemble de combinaisons peut filtrer 99% de faux IP, les 1% restants passant par la biblioth\u00e8que d'empreintes digitales TCP pour un filtrage secondaire. L'ann\u00e9e derni\u00e8re, nous avons transport\u00e9 un SYN Flood de 5,8 millions QPS sur double eleven, et la latence de l'entreprise n'a augment\u00e9 que de 3 millisecondes.<\/p>\n Maintenant, regardez l'essence de la protection SYN Flood est le jeu de co\u00fbt entre les attaquants et les d\u00e9fenseurs. L'attaquant loue un botnet pour des dizaines de dollars par heure, et le CDN \u00e0 haute d\u00e9fense doit utiliser une \u00e9norme quantit\u00e9 de bande passante et d'arithm\u00e9tique pour le transporter difficilement.08Host s'est r\u00e9cemment engag\u00e9 dans la collaboration des n\u0153uds de la blockchain, les n\u0153uds de bord mondiaux ensemble pour v\u00e9rifier l'authenticit\u00e9 de l'IP source, le co\u00fbt de l'attaque \u00e0 des milliers de dollars par heure, dissuader directement la grande majorit\u00e9 des pirates informatiques.<\/p>\n Bien entendu, il n'existe pas de solution parfaite. Une fois, nous avons bloqu\u00e9 le segment IP d'une grande entreprise parce que les ordinateurs de ses employ\u00e9s \u00e9taient infect\u00e9s par des chevaux de Troie et s'\u00e9taient transform\u00e9s en n\u0153uds zombies. Par la suite, nous avons ajout\u00e9 un module d'apprentissage intelligent et adopt\u00e9 une politique plus souple pour les segments IP des multinationales afin de r\u00e9duire le taux de faux positifs gr\u00e2ce \u00e0 l'analyse comportementale plut\u00f4t qu'au simple filtrage IP.<\/p>\n Des conseils sinc\u00e8res pour vos pairs<\/strong>La meilleure chose \u00e0 faire est de choisir un CDN hautement d\u00e9fensif et de ne pas se contenter de regarder les chiffres de la bande passante, mais de se concentrer sur le test de la compatibilit\u00e9 de sa pile TCP et de la pr\u00e9cision de la v\u00e9rification de l'IP source. Le mieux est de simuler soi-m\u00eame le sc\u00e9nario d'attaque : utilisez hping3 pour envoyer des paquets SYN avec des IP source al\u00e9atoires et voyez combien de fois les r\u00e8gles de protection sont d\u00e9clench\u00e9es. N'oubliez pas de v\u00e9rifier si les services HTTPS sont affect\u00e9s, car les pages de d\u00e9fi de certains fournisseurs rompent la poign\u00e9e de main SSL.<\/p>\n De nos jours, m\u00eame les CDN doivent \u201dpr\u00e9venir les co\u00e9quipiers\u201d - une grande usine se vante de la \u201dprotection de l'IA\u201d, qui est en fait une commutation manuelle des lignes en arri\u00e8re-plan, l'attaque est venue \u00e0 t\u00e2tons pour ajuster l'itin\u00e9raire. Nous utilisons CDN5 pour l'acc\u00e9l\u00e9ration quotidienne, 08Host est sp\u00e9cialis\u00e9 dans les attaques \u00e0 fort trafic, les moments critiques peuvent vraiment sauver des vies.<\/p>\n En fin de compte, la protection contre les inondations du SYN est un processus de jeu continu. Les algorithmes qui fonctionnent aujourd'hui peuvent \u00eatre pirat\u00e9s par les hackers le mois prochain, c'est pourquoi nous devons maintenir la technologie it\u00e9rative. R\u00e9cemment, nous avons test\u00e9 une architecture de confiance z\u00e9ro combin\u00e9e \u00e0 la randomisation des ports TCP, qui transforme les ports d'\u00e9coute des serveurs en cibles mobiles, de sorte que les attaquants ne peuvent m\u00eame pas trouver une poign\u00e9e de main. Il n'est pas possible d'entrer dans les d\u00e9tails de certaines de ces choses, mais il faut se souvenir d'une chose : il faut toujours avoir deux longueurs d'avance sur l'attaquant.<\/p>","protected":false},"excerpt":{"rendered":" Lorsque j'ai pris en charge l'exploitation et la maintenance du site web officiel de l'entreprise, il \u00e9tait courant d'\u00eatre r\u00e9veill\u00e9 au milieu de la nuit par des messages d'alarme. Une alerte de temps d'arr\u00eat rouge sang s'affiche \u00e0 l'\u00e9cran, il est impossible de se connecter en arri\u00e8re-plan, l'activit\u00e9 est compl\u00e8tement paralys\u00e9e - inutile de deviner, c'est encore SYN Flood. Cette chose est comme une arm\u00e9e de zombies dans le monde des r\u00e9seaux, avec une demi-connexion qui empile votre serveur, mais ne laisse pas non plus de preuves compl\u00e8tes. Le plus pitoyable, c'est que les pare-feu traditionnels tuent souvent par erreur de vrais utilisateurs, ce c\u00f4t\u00e9 de l'attaque n'est pas bloqu\u00e9, le t\u00e9l\u00e9phone de la plainte du client a \u00e9t\u00e9 \u00e9clat\u00e9. Plus tard, j'ai test\u00e9 une fois les principaux CDN \u00e0 haute d\u00e9fense du march\u00e9, et j'ai constat\u00e9 qu'ils pouvaient emp\u00eacher l'inondation SYN en deux points : la pr\u00e9cision de la d\u00e9tection des connexions TCP et le m\u00e9canisme de v\u00e9rification de l'adresse IP source. Certains fournisseurs soufflant le ciel, la rencontre r\u00e9elle avec des attaques de trafic important directement couch\u00e9, pas aussi bon que leur propre iptables difficile \u00e0 transporter. SYN<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-964","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/964","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=964"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/964\/revisions"}],"predecessor-version":[{"id":1161,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/964\/revisions\/1161"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=964"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=964"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=964"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=964"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}