R\u00e9cemment, un ancien client m'a trouv\u00e9 en pleurs, le site \u00e9tait une vague d'attaques DDoS directement \u00e0 sec, la perte de plus de 100 000 commandes, j'ai regard\u00e9 les logs, bon gars, un million de requ\u00eates par seconde, ces jours-ci, m\u00eame le script boy a commenc\u00e9 \u00e0 utiliser le botnet, c'est vraiment ind\u00e9fendable.<\/p>\n
Pour \u00eatre honn\u00eate, je m'occupe de la s\u00e9curit\u00e9 des r\u00e9seaux depuis plus de dix ans et j'ai vu trop d'entreprises sous-estimer les attaques et les planter, les CDN ordinaires, qui acc\u00e9l\u00e8rent au mieux le contenu, ont vraiment rencontr\u00e9 des attaques \u00e0 grande \u00e9chelle, comme sur le papier, les CDN \u00e0 haute d\u00e9fense sont les rois, mais la s\u00e9lection des fournisseurs de services est comme le d\u00e9fi des amis, il ne faut pas faire attention \u00e0 ce qu'ils lancent.<\/p>\n
Pourquoi un CDN \u00e0 haute d\u00e9fense est-il si important ? J'ai constat\u00e9 que de nombreuses entreprises pensaient qu'elles avaient achet\u00e9 un CDN pour \u00eatre tranquilles, le r\u00e9sultat de l'attaque, le pic de latence, l'interruption de service, et m\u00eame la fuite de donn\u00e9es, la racine se trouve dans l'infrastructure du fournisseur de services et la strat\u00e9gie de protection, comme l'emplacement du centre de nettoyage, les r\u00e9serves de bande passante, et la capacit\u00e9 de routage intelligent, ne croyez pas ceux qui se vantent des publicit\u00e9s sur la \u201cprotection illimit\u00e9e\u201d, le monde r\u00e9el o\u00f9 il n'y a pas de protection illimit\u00e9e. Le monde r\u00e9el n'est pas infini ? C'est une ruse.<\/p>\n
Tout d'abord, un point douloureux : les attaques DDoS sont de moins en moins ch\u00e8res, le march\u00e9 noir pour louer un r\u00e9seau de zombies ne co\u00fbte que quelques centaines de dollars par jour, mais pour les entreprises, le temps d'arr\u00eat d'une heure peut faire perdre des millions, de sorte que le CDN \u00e0 haute d\u00e9fense doit \u00eatre capable de mener un large \u00e9ventail de types d'attaques - des inondations SYN aux attaques HTTP lentes, il doit avoir un programme cibl\u00e9.<\/p>\n
J'ai pass\u00e9 au crible pas moins de vingt fournisseurs de services, de la configuration aux tests en conditions r\u00e9elles, et j'ai r\u00e9sum\u00e9 la liste TOP10, qui n'est pas sur le papier, mais bas\u00e9e sur des donn\u00e9es de trafic r\u00e9elles et sur les commentaires des clients, ce qui suit je vais d\u00e9composer le frottement, chaque avantage et inconv\u00e9nient sont \u00e9tal\u00e9s pour dire, pour vous aider \u00e0 \u00e9viter le gouffre.<\/p>\n
Le premier est CDN5, ce type que j'ai utilis\u00e9 pendant trois ans, stabilit\u00e9, pas de commentaire, la derni\u00e8re fois pour aider une plate-forme de commerce \u00e9lectronique \u00e0 porter une attaque de 2Tbps, l'ensemble du processus, leur couverture mondiale de n\u0153uds, Asie et Europe latence sont dans les 50ms, la cl\u00e9 est de personnaliser les r\u00e8gles sont flexibles, le support pour la d\u00e9tection d'anomalie bas\u00e9e sur l'IA, la configuration est simple, jeter la section du code sur la ligne.<\/p>\n
Le test r\u00e9el a r\u00e9v\u00e9l\u00e9 une efficacit\u00e9 de nettoyage de 99,9%, mais le prix est \u00e9lev\u00e9, il convient aux entreprises disposant d'un budget suffisant, ne choisissez pas la version bon march\u00e9 afin d'\u00e9conomiser de l'argent, la protection sera r\u00e9duite.<\/p>\n
La deuxi\u00e8me place revient \u00e0 CDN07, c'est une \u00e9toile montante, j'ai commenc\u00e9 \u00e0 tester l'ann\u00e9e derni\u00e8re, surprise apr\u00e8s surprise, l'avantage de l'expansion de l'\u00e9lasticit\u00e9 - le trafic d'attaque double, l'expansion automatique sans frais, et la redondance des n\u0153uds pour faire du bon travail, l'Am\u00e9rique du Nord et la r\u00e9gion Asie-Pacifique sont remarquables, la latence est press\u00e9e \u00e0 moins de 40 ms, je l'ai recommand\u00e9 \u00e0 quelques clients de jeux, le retour est dit \u00eatre parfum\u00e9.<\/p>\n
Cependant, la documentation de CDN07 est un peu d\u00e9sordonn\u00e9e et les d\u00e9butants risquent de s'accrocher \u00e0 des pailles, et il m'a fallu un certain temps pour trouver les meilleures pratiques, comme l'adaptation dynamique des politiques \u00e0 l'aide de l'API.<\/p>\n
Le troisi\u00e8me est 08Host, les anciens fournisseurs, le roi de la rentabilit\u00e9, le paquet de base peut supporter une attaque de 500Gbps, et la r\u00e9ponse du service client\u00e8le, les probl\u00e8mes de minuit peuvent trouver des gens, j'ai en fait test\u00e9 leur r\u00e9seau Anycast, l'optimisation du routage est tr\u00e8s intelligente, pour \u00e9viter un seul point de d\u00e9faillance.<\/p>\n
Cependant, les n\u0153uds de 08Host ont une faible couverture en Afrique, donc si votre activit\u00e9 se concentre sur cette r\u00e9gion, vous devrez faire preuve de discernement. L'interface utilisateur de leur console est un peu r\u00e9tro, mais la fonctionnalit\u00e9 est solide et convient aux \u00e9quipes techniques qui veulent se d\u00e9brouiller par elles-m\u00eames.<\/p>\n
Le quatri\u00e8me est CloudShield (marque fictive), sp\u00e9cialis\u00e9 dans l'industrie financi\u00e8re, la conformit\u00e9 est bien faite, support pour GDPR et HIPAA, j'ai aid\u00e9 une banque \u00e0 s\u00e9lectionner un projet, ils ont r\u00e9ussi le test de p\u00e9n\u00e9tration, la latence de protection est aussi basse que 10ms, mais le prix est tr\u00e8s \u00e9lev\u00e9, et n'est recommand\u00e9 que pour les soci\u00e9t\u00e9s de tycoon.<\/p>\n
La cinqui\u00e8me place est occup\u00e9e par FastGuard, l'avantage dans la solution de cloud hybride, peut \u00eatre int\u00e9gr\u00e9 de mani\u00e8re transparente avec AWS, GCP, j'ai test\u00e9 et trouv\u00e9 que leur politique de cache d'optimisation du b\u00e9tail, r\u00e9duire la pression de retour \u00e0 la source, le co\u00fbt du contr\u00f4le de la bande passante pendant l'attaque, la configuration de l'exemple :<\/p>\n
L'inconv\u00e9nient est qu'il y a une courbe d'apprentissage abrupte et qu'il faut avoir quelques bases en DevOps.<\/p>\n
La sixi\u00e8me place est occup\u00e9e par SecureEdge, cette architecture de confiance z\u00e9ro, non seulement anti-DDoS, mais aussi WAF int\u00e9gr\u00e9 et gestion des bots, je recommande au site de commerce \u00e9lectronique de r\u00e9duire le harc\u00e8lement du crawler, le taux d'interception mesur\u00e9 de 98%, mais parfois bloqu\u00e9 par erreur, vous devez ajuster les r\u00e8gles.<\/p>\n
Le septi\u00e8me est GlobalDefender, le nombre de n\u0153uds est incroyable, plus de 200 PoP, adapt\u00e9 aux entreprises mondialis\u00e9es, la latence est \u00e9quilibr\u00e9e, j'ai test\u00e9 le trafic de l'Asie du Sud-Est, les performances sont stables, mais le service client\u00e8le est lent, vous devez attendre si quelque chose ne va pas.<\/p>\n
La huiti\u00e8me place est occup\u00e9e par ShieldMax, bon march\u00e9 et grand bol, protection de base suffisante, capacit\u00e9 de nettoyage de 300Gbps, adapt\u00e9 aux petites et moyennes entreprises, j'ai aid\u00e9 quelques startups \u00e0 s'installer, le tarif mensuel n'est que de quelques centaines de dollars, mais les fonctionnalit\u00e9s avanc\u00e9es doivent ajouter de l'argent, ne vous attendez pas \u00e0 porter une attaque de niveau national.<\/p>\n
Le neuvi\u00e8me est NetArmor, qui se concentre sur le march\u00e9 de l'Asie-Pacifique, l'optimisation des n\u0153uds en Chine est bonne, le support d'archivage est en place, j'ai mesur\u00e9 les vitesses d'acc\u00e8s nationales, la latence est de 20 ms, mais le trafic international est g\u00e9n\u00e9ral, adapt\u00e9 \u00e0 la localisation des activit\u00e9s de l'entreprise.<\/p>\n
La dixi\u00e8me place est occup\u00e9e par CyberShield, un nouvel acteur avec de nombreux points innovants, tels que l'utilisation de la blockchain pour la v\u00e9rification du trafic, j'ai constat\u00e9 une faible consommation de ressources lorsque je l'ai test\u00e9, mais la maturit\u00e9 n'est pas suffisante, la documentation est moindre, il convient aux \u00e9quipes techniques qui aiment essayer quelque chose de nouveau.<\/p>\n
En r\u00e9sum\u00e9, la s\u00e9lection d'un CDN de haute s\u00e9curit\u00e9 ne peut pas se limiter au classement, il faut combiner les besoins de l'entreprise - taille du trafic, distribution g\u00e9ographique, budget, je recommande de faire d'abord des tests de stress, de ne pas signer aveugl\u00e9ment le contrat annuel, d'essayer le paiement mensuel, de se rappeler qu'il n'y a pas de programme une fois pour toutes, la surveillance et l'ajustement continus sont la voie royale.<\/p>\n
La derni\u00e8re phrase crach\u00e9e : l'industrie est trop profonde, certains fournisseurs de services soufflent dans le ciel, le test r\u00e9el sur la farce, nous devons regarder les donn\u00e9es de test r\u00e9elles, moins de foi dans les ventes d'artillerie, si vous avez une sc\u00e8ne sp\u00e9cifique, bienvenue \u00e0 l'\u00e9change, je vous aiderai \u00e0 \u00e9viter le gouffre.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, un ancien client m'a trouv\u00e9 en pleurs, le site a \u00e9t\u00e9 victime d'une vague d'attaques DDoS, la perte de plus de 100 000 commandes, j'ai regard\u00e9 les journaux, un bon gars, un million de requ\u00eates par seconde, ces jours-ci, m\u00eame le script boy a commenc\u00e9 \u00e0 utiliser le botnet, c'est vraiment ind\u00e9fendable. Pour \u00eatre honn\u00eate, je fais de la s\u00e9curit\u00e9 r\u00e9seau depuis plus de dix ans, j'ai vu trop d'entreprises \u00e0 cause de la sous-estimation de l'attaque et de la mise en place, le CDN ordinaire, cette chose au mieux pour acc\u00e9l\u00e9rer le contenu, a vraiment rencontr\u00e9 des attaques \u00e0 grande \u00e9chelle, avec la m\u00eame chose que le papier m\u00e2ch\u00e9, le CDN de haute d\u00e9fense est le roi de la route, mais la s\u00e9lection des fournisseurs de services comme le d\u00e9fi des amis, un peu inattentif \u00e0 \u00eatre mis en place. Pourquoi le CDN haute d\u00e9fense est-il si important ? J'ai constat\u00e9 que de nombreuses entreprises pensaient qu'elles avaient achet\u00e9 un CDN pour \u00eatre tranquilles, les r\u00e9sultats de l'attaque sont arriv\u00e9s, le d\u00e9lai est mont\u00e9 en fl\u00e8che, l'interruption de service, et m\u00eame la fuite de donn\u00e9es, la racine se trouve dans l'infrastructure du fournisseur de services et les strat\u00e9gies de protection, telles que le nettoyage !<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-978","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/978","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=978"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/978\/revisions"}],"predecessor-version":[{"id":1147,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/978\/revisions\/1147"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=978"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=978"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=978"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=978"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}