Le m\u00e9ta-univers est en pleine effervescence ces derniers temps, toutes les grandes plateformes sautent dans le train en marche et sont impatientes de remplir le monde virtuel d'utilisateurs du jour au lendemain, mais savez-vous quoi ? L'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 une plateforme sociale du m\u00e9ta-univers \u00e0 r\u00e9aliser un audit de s\u00e9curit\u00e9. Quelques jours plus tard, elle a subi une attaque DDoS sans pr\u00e9c\u00e9dent - le pic de trafic a atteint 2 Tbps, le serveur s'est effondr\u00e9 instantan\u00e9ment, les utilisateurs sont tomb\u00e9s, les donn\u00e9es ont \u00e9t\u00e9 perdues, le patron a failli ne pas s'en apercevoir. Il ne s'agit pas d'une plaisanterie, les exigences en mati\u00e8re de stabilit\u00e9 et de temps r\u00e9el de la plateforme de l'univers du yuan sont extr\u00eamement \u00e9lev\u00e9es ; une fois attaqu\u00e9e, la perte ne se limite pas \u00e0 l'argent, mais concerne \u00e9galement l'exp\u00e9rience de l'utilisateur et la r\u00e9putation de la marque.<\/p>\n
Quel est le probl\u00e8me ? La plateforme du m\u00e9ta-univers est essentiellement un trou noir de ressources : connexions hautement simultan\u00e9es, streaming audio et vid\u00e9o en temps r\u00e9el, et grandes quantit\u00e9s d'interactions de donn\u00e9es d'utilisateurs, qui d\u00e9pendent toutes de la bande passante et de la puissance de calcul. Les attaquants adorent exploiter ce type de faille, en utilisant des attaques DDoS ou CC \u00e0 haut d\u00e9bit pour drainer votre bande passante, ou en utilisant des attaques de couche d'application pour effondrer le service. J'ai constat\u00e9 que de nombreuses plateformes commencent \u00e0 \u00e9conomiser des co\u00fbts, n'utilisant que des CDN ordinaires, le r\u00e9sultat de l'attaque montre imm\u00e9diatement la forme originale - crash du cache, exposition de la station source, m\u00eame les requ\u00eates HTTP de base ne peuvent pas \u00eatre trait\u00e9es.<\/p>\n
Ne pensez pas que seuls les pirates externes font des b\u00eatises, les erreurs de configuration internes ou les \u201camis\u201d de la mauvaise op\u00e9ration peuvent aussi vous faire boire un coup. Je me souviens d'un cas, une plateforme utilisait un service CDN, le r\u00e9sultat est que les r\u00e8gles de cache sont mal r\u00e9gl\u00e9es, les donn\u00e9es de l'utilisateur ont \u00e9t\u00e9 effac\u00e9es par erreur, la r\u00e9cup\u00e9ration totale a dur\u00e9 12 heures. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d, c'est vraiment fatiguant.<\/p>\n
Le CDN haute d\u00e9fense n'est pas une simple version am\u00e9lior\u00e9e du CDN ordinaire. Son c\u0153ur r\u00e9side dans les n\u0153uds distribu\u00e9s et le centre de nettoyage intelligent : le trafic est d'abord guid\u00e9 vers les n\u0153uds p\u00e9riph\u00e9riques mondiaux, les demandes malveillantes sont analys\u00e9es et filtr\u00e9es en temps r\u00e9el, et seul le trafic propre est renvoy\u00e9 vers la station source. Par exemple, si un attaquant vous envoie un SYN Flood, un CDN de haute s\u00e9curit\u00e9 peut directement bloquer ces paquets gr\u00e2ce \u00e0 l'optimisation de la pile TCP et \u00e0 la limitation du d\u00e9bit, de sorte qu'ils ne puissent pas du tout atteindre votre serveur. Je dis souvent \u00e0 mes clients que cela revient \u00e0 ajouter une couche de cloches et de sifflets \u00e0 la plateforme - en dehors de la temp\u00eate, \u00e0 l'int\u00e9rieur de l'\u00e9curie comme un vieux chien.<\/p>\n
Mais la s\u00e9lection d'un CDN de haute d\u00e9fense ne peut pas se contenter de regarder la page promotionnelle pour souffler plus de b\u00e9tail, il faut aussi prendre en compte les d\u00e9tails techniques. Par exemple, la capacit\u00e9 de nettoyage doit tenir compte des indicateurs bps et pps, la couverture des n\u0153uds doit prendre en compte le d\u00e9lai global, et l'int\u00e9gration de l'API doit \u00eatre flexible. J'ai compar\u00e9 plusieurs fournisseurs de services : la couverture des n\u0153uds CDN5 en Asie est tr\u00e8s large, la pression de latence est de 50 ms ou moins, ce qui convient particuli\u00e8rement au m\u00e9ta-univers comme les exigences de temps r\u00e9el de la sc\u00e8ne ; les algorithmes de nettoyage CDN07 sont puissants, l'identification adaptative de nouveaux types d'attaques, la derni\u00e8re fois pour m'aider \u00e0 bloquer une attaque hybride z\u00e9ro faux positif ; 08Host est un roi rentable de l'offre de base avec un niveau de protection TB, la petite \u00e9quipe sans douleur.<\/p>\n
Ne soyez pas paresseux en mati\u00e8re de configuration. J'ai aid\u00e9 une fois une plateforme \u00e0 migrer vers un CDN de haute s\u00e9curit\u00e9, et j'ai d\u00e9couvert que leur IP source n'\u00e9tait pas bien cach\u00e9e, et qu'en cons\u00e9quence, les attaquants contournaient directement le CDN pour atteindre le site source, ce qui \u00e9tait un gaspillage de protection. Voici un exemple simple de configuration de Nginx pour travailler avec un CDN de haute s\u00e9curit\u00e9 afin de cacher l'IP source - n'oubliez pas de la remplacer par le segment d'IP de votre propre fournisseur de CDN :<\/p>\n
Lorsqu'il est r\u00e9ellement d\u00e9ploy\u00e9, il doit \u00e9galement \u00eatre combin\u00e9 avec des r\u00e8gles WAF pour pr\u00e9venir les attaques de la couche d'application. Par exemple, pour l'attaque par connexion WebSocket, qui est courante dans le m\u00e9ta-univers, une limite de fr\u00e9quence peut \u00eatre fix\u00e9e :<\/p>\n
La comparaison des donn\u00e9es peut illustrer le probl\u00e8me : sans protection, le temps d'arr\u00eat moyen de la plateforme est de plus de 4 heures, alors qu'avec un CDN \u00e0 haute d\u00e9fense, toute l'ann\u00e9e derni\u00e8re, il n'y a eu que 3 minutes de paralysie - et ce temps est toujours d\u00fb au probl\u00e8me d'alimentation \u00e9lectrique de la salle des serveurs. Le co\u00fbt, bien que le CDN \u00e0 haute d\u00e9fense soit plus cher que la version ordinaire de 30% environ, est une goutte d'eau par rapport \u00e0 la perte de revenus due aux attaques (un jour peut faire perdre des millions de dollars).<\/p>\n
Enfin, certains fournisseurs se vantent que leurs CDN peuvent emp\u00eacher \u201ctoutes les attaques\u201d, ce qui est une pure connerie. La s\u00e9curit\u00e9 est un processus continu, vous devez r\u00e9guli\u00e8rement auditer les r\u00e8gles, mettre \u00e0 jour la liste des IP des n\u0153uds. Je recommande d'effectuer des tests de stress trimestriels pour simuler des attaques et voir si la protection fonctionne bien. La plateforme du m\u00e9ta-univers est encore plus importante - les utilisateurs n'ont pas la patience d'attendre que vous corrigiez lentement les bogues.<\/p>\n
En r\u00e9sum\u00e9 (ahem, presque des mots d'IA), un CDN de haute d\u00e9fense n'est pas une panac\u00e9e, mais sans lui, absolument pas. Choisissez le bon fournisseur de services, respectez les bonnes r\u00e8gles et votre plateforme m\u00e9ta-universelle pourra survivre au bombardement de ces pirates. N'oubliez pas que la stabilit\u00e9 n'est pas une question de chance, mais de conception.<\/p>","protected":false},"excerpt":{"rendered":"
Le m\u00e9ta-univers est en pleine effervescence ces derniers temps, toutes les grandes plateformes sautent dans le train en marche et sont impatientes de remplir le monde virtuel d'utilisateurs du jour au lendemain, mais savez-vous quoi ? L'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 une plateforme sociale du m\u00e9ta-univers \u00e0 effectuer un audit de s\u00e9curit\u00e9. Quelques jours plus tard, elle a subi une attaque DDoS sans pr\u00e9c\u00e9dent : le pic de trafic a atteint 2 Tbps, le serveur s'est effondr\u00e9 instantan\u00e9ment, les utilisateurs sont tomb\u00e9s, les donn\u00e9es ont \u00e9t\u00e9 perdues, le patron n'a presque pas cri\u00e9. Il ne s'agit pas d'une plaisanterie, la plateforme Yuan Univers pour la stabilit\u00e9 et les exigences en temps r\u00e9el sont extr\u00eamement \u00e9lev\u00e9es, une fois attaqu\u00e9e, la perte n'est pas seulement de l'argent, mais aussi l'exp\u00e9rience de l'utilisateur et la r\u00e9putation de la marque. Quel est le probl\u00e8me ? La plateforme du m\u00e9ta-univers est essentiellement un trou noir de ressources : connexions hautement simultan\u00e9es, flux audio et vid\u00e9o en temps r\u00e9el, grandes quantit\u00e9s d'interactions de donn\u00e9es d'utilisateurs, tous ces \u00e9l\u00e9ments d\u00e9pendent de la bande passante et de la puissance de calcul pour \u00eatre pris en charge. Les attaquants adorent exploiter ce type de faille.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-982","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/982","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=982"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/982\/revisions"}],"predecessor-version":[{"id":1143,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/982\/revisions\/1143"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=982"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=982"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=982"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=982"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}