Au milieu de la nuit, j'ai re\u00e7u le message d'alarme du service d'exploitation et de maintenance, le jeu d'\u00e9checs d'une certaine zone du port a perdu des paquets, je me suis connect\u00e9 au serveur pour jeter un coup d'\u0153il, bon gars, le trafic UDP Flood a \u00e9t\u00e9 l'exportation de la bande passante - cette sc\u00e8ne est si famili\u00e8re que le cuir chevelu des gens s'est engourdi. Ces derni\u00e8res ann\u00e9es, l'industrie du jeu d'\u00e9checs est tout simplement une zone sinistr\u00e9e par les attaques DDoS. L'inondation UDP, en particulier, est peu co\u00fbteuse et a un bon effet sur l'attaque : quelques G de trafic suffisent \u00e0 transformer le jeu en un v\u00e9ritable diaporama.<\/p>\n
Pourquoi les attaquants aiment-ils utiliser UDP Flood pour jouer \u00e0 des jeux de soci\u00e9t\u00e9 ? La raison fondamentale r\u00e9side dans les caract\u00e9ristiques du protocole : l'UDP lui-m\u00eame est sans connexion et le serveur doit traiter le paquet d\u00e8s qu'il le re\u00e7oit, contrairement au TCP, qui dispose de trois tampons d'\u00e9change. Contrairement au TCP, qui dispose de trois tampons d'\u00e9change, les attaquants usurpent un grand nombre d'adresses IP sources pour envoyer des paquets UDP inutiles, qui touchent directement les ports du jeu. Les jeux d'\u00e9checs ont souvent besoin de maintenir une longue connexion, une fois que le port est \u00e9puis\u00e9, la lumi\u00e8re est \u00e0 la tra\u00eene, la lourdeur est la ligne enti\u00e8re en panne, les jurons du joueur sont peu de chose, l'effondrement de la r\u00e9putation de la plate-forme est fatal.<\/p>\n
J'ai test\u00e9 et constat\u00e9 que s'appuyer uniquement sur des pare-feu mat\u00e9riels dans la salle des serveurs est fondamentalement une perte de temps. Les pare-feux traditionnels bas\u00e9s sur un seuil de vitesse limite, le trafic d'attaque m\u00e9lang\u00e9 aux donn\u00e9es normales des joueurs ne peut tout simplement pas \u00eatre distingu\u00e9, le r\u00e9sultat d'une limite de vitesse \u00e9lev\u00e9e est de tuer accidentellement des joueurs normaux. L'ann\u00e9e derni\u00e8re, une plateforme d'\u00e9checs bien connue a \u00e9t\u00e9 continuellement p\u00e9n\u00e9tr\u00e9e \u00e0 trois reprises, et a finalement \u00e9t\u00e9 forc\u00e9e d'arr\u00eater la rectification du service, ce qui a entra\u00een\u00e9 une perte d'au moins sept chiffres.<\/p>\n
Une solution vraiment efficace doit fonctionner dans plusieurs dimensions. Tout d'abord, l'id\u00e9e de base : il ne s'agit pas seulement de pouvoir nettoyer le trafic \u00e0 la p\u00e9riph\u00e9rie du r\u00e9seau, mais aussi au niveau du serveur pour effectuer la deuxi\u00e8me v\u00e9rification. Ne croyez jamais ceux qui vous vantent les m\u00e9rites d'une \u201cprotection universelle \u00e0 n\u0153ud unique\u201d : de nos jours, m\u00eame le CDN doit pr\u00e9venir les co\u00e9quipiers - certains petits fabricants de n\u0153uds CDN sont eux-m\u00eames \u00e0 l'origine de l'attaque.<\/p>\n
Commen\u00e7ons par le nettoyage des bords. Un CDN fiable \u00e0 haute d\u00e9fense doit avoir la capacit\u00e9 d'analyser la pile de protocoles en profondeur. Par exemple, l'empreinte intelligente de CDN07 fait du bon travail. Ses n\u0153uds effectuent d'abord des contr\u00f4les de conformit\u00e9 au protocole sur les paquets UDP, \u00e9cartent les paquets manifestement malform\u00e9s, puis proc\u00e8dent \u00e0 une analyse de base dynamique sur la fr\u00e9quence des paquets cons\u00e9cutifs. Lorsqu'il est mesur\u00e9 par rapport \u00e0 un flux UDP inf\u00e9rieur \u00e0 20G, le taux de faux positifs peut \u00eatre contr\u00f4l\u00e9 \u00e0 moins de 0,1% :<\/p>\n
Mais le nettoyage des contours ne suffit pas. Certaines attaques avanc\u00e9es simulent le format du protocole de jeu r\u00e9el, ce qui n\u00e9cessite des modules de protection suppl\u00e9mentaires au niveau du serveur. Il est recommand\u00e9 d'utiliser la source ouverte fail2ban combin\u00e9e \u00e0 des r\u00e8gles personnalis\u00e9es pour surveiller sp\u00e9cifiquement les sch\u00e9mas de trafic anormaux sur les ports de jeu. Par exemple, si une IP est d\u00e9tect\u00e9e en train d'envoyer des paquets UDP avec le m\u00eame contenu de mani\u00e8re continue dans la m\u00eame seconde, elle sera directement bloqu\u00e9e :<\/p>\n
Nous devons \u00e9galement rejeter la fonction d\u201c\u201dapprentissage intelligent\" de certains fournisseurs. L'ann\u00e9e derni\u00e8re, j'ai test\u00e9 un fournisseur de CDN qui pr\u00e9tendait \u00eatre capable d'utiliser l'IA pour identifier le trafic anormal, et en cons\u00e9quence, les paquets de battements de c\u0153ur du jeu ont \u00e9t\u00e9 bloqu\u00e9s en tant qu'attaques. Le vrai programme fiable doit \u00eatre comme 08Host - il vous permet d'abord de personnaliser la base du trafic normal de l'entreprise, le moteur de protection se basant sur cette base pour effectuer des ajustements dynamiques. Ils prennent m\u00eame en charge la planification sous-r\u00e9gionale, le trafic d'attaque \u00e9tranger directement dans les n\u0153uds \u00e9trangers pour compl\u00e9ter le nettoyage, les joueurs nationaux \u00e9tant compl\u00e8tement insens\u00e9s.<\/p>\n
L'expansion de la bande passante n'est pas une solution universelle. J'ai vu une plateforme avec une p\u00e9n\u00e9tration de trafic de 300G, des paris achet\u00e9s 500G de bande passante, le r\u00e9sultat de l'attaque du mois suivant en 800G. La pratique vraiment efficace est l'expansion \u00e9lastique + la planification du trafic. cdn5 \u00e0 cet \u00e9gard est un tr\u00e8s grand voleur, leur r\u00e9seau anycast peut \u00eatre bas\u00e9 sur la force de l'attaque planifiant automatiquement le trafic vers les diff\u00e9rents centres de nettoyage, et en m\u00eame temps avec BGP Anycast pour diluer le trafic de l'attaque \u00e0 un certain nombre de n\u0153uds ! Voici un r\u00e9sum\u00e9 des r\u00e9sultats de l'\u00e9tude.<\/p>\n
Enfin, je vous donne une vraie suggestion : pour la s\u00e9lection d'une plateforme CDN de haute d\u00e9fense, concentrez-vous sur trois points : le premier est le nombre de n\u0153uds de nettoyage globaux (au moins 30 +), le deuxi\u00e8me est de savoir s'il prend en charge la profondeur de la personnalisation du protocole UDP (pour pouvoir personnaliser les r\u00e8gles de somme de contr\u00f4le des paquets), le troisi\u00e8me est le nettoyage du taux de faux positifs, il n'y a pas de rapport d'audit d'une tierce partie. Je n'ai jamais fait confiance aux fabricants qui annoncent un taux d'\u00e9limination nul. J'ai test\u00e9 trois fabricants de t\u00eates de r\u00e9seau, le taux d'\u00e9limination du trafic professionnel normal peut atteindre 0,5%, voire m\u00eame \u00eatre excellent.<\/p>\n
Apr\u00e8s tout, le programme de protection a pour but d'emp\u00eacher l'homme et non le m\u00e9chant. Lorsque nous sommes r\u00e9ellement confront\u00e9s \u00e0 des attaques massives, nous devons encore coop\u00e9rer avec la tra\u00e7abilit\u00e9 des renseignements sur les menaces pour mener une bataille de longue haleine. L'ann\u00e9e derni\u00e8re, nous avons r\u00e9ussi \u00e0 localiser l'adresse IP de la salle des serveurs d'un concurrent gr\u00e2ce aux journaux de trafic de nos fournisseurs partenaires, et nous n'avons arr\u00eat\u00e9 qu'apr\u00e8s avoir \u00e9t\u00e9 avertis par une lettre d'un avocat direct. De nos jours, les \u00e9checs, la d\u00e9fense technique et les moyens juridiques doivent \u00eatre difficiles.<\/p>\n
En fin de compte, il n'y a pas de solution miracle pour la d\u00e9fense contre les inondations UDP. Il faut utiliser des CDN pour transporter le trafic, des scripts pour compl\u00e9ter la d\u00e9tection et de la main-d'\u0153uvre pour assurer la surveillance. Plusieurs couches de d\u00e9fense sont empil\u00e9es pour permettre aux joueurs de tirer et de distribuer des cartes en toute s\u00e9r\u00e9nit\u00e9 - apr\u00e8s tout, personne ne veut voir le r\u00e9seau se bloquer sur une seule carte lorsque vous avez une quinte.<\/p>","protected":false},"excerpt":{"rendered":"
Au milieu de la nuit, j'ai re\u00e7u le message d'alarme du service d'exploitation et de maintenance, le jeu d'\u00e9checs d'une certaine zone du port a perdu des paquets, je me suis connect\u00e9 au serveur pour jeter un coup d'\u0153il, bon gars, le trafic UDP Flood a \u00e9t\u00e9 l'exportation de la bande passante - cette sc\u00e8ne est si famili\u00e8re que le cuir chevelu des gens s'est engourdi. Ces derni\u00e8res ann\u00e9es, l'industrie du jeu d'\u00e9checs est tout simplement le th\u00e9\u00e2tre d'attaques DDoS dans la zone sinistr\u00e9e, en particulier l'inondation UDP, qui est un type d'attaque peu co\u00fbteux et tr\u00e8s efficace. Pourquoi les attaquants aiment-ils particuli\u00e8rement utiliser UDP Flood pour jouer \u00e0 des jeux de soci\u00e9t\u00e9 ? La raison fondamentale r\u00e9side dans les caract\u00e9ristiques du protocole : UDP lui-m\u00eame n'a pas de connexion, le serveur doit traiter le paquet d\u00e8s qu'il le re\u00e7oit, contrairement \u00e0 TCP, qui dispose de trois handshakes et de buffers. Contrairement au TCP, qui dispose de trois tampons de poign\u00e9e de main, les attaquants usurpent un grand nombre d'adresses IP sources pour envoyer des paquets UDP inutiles, qui atteignent directement les ports du jeu. Les jeux de soci\u00e9t\u00e9 doivent souvent maintenir de longues connexions, et une fois que les ports ont \u00e9t\u00e9<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-969","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/969","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=969"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/969\/revisions"}],"predecessor-version":[{"id":1156,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/969\/revisions\/1156"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=969"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=969"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=969"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=969"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}