L'industrie des \u00e9checs a vraiment \u00e9t\u00e9 touch\u00e9e par les DDoS ces derni\u00e8res ann\u00e9es. L'ann\u00e9e derni\u00e8re, pour aider une plateforme texane \u00e0 intervenir en urgence, il a suffi de brancher le t\u00e9l\u00e9phone pour entendre le patron hurler : \u201cLa bande passante est pleine, les joueurs sont tous bloqu\u00e9s hors ligne, perdant des centaines de milliers de dollars par heure !\u201d Je suis all\u00e9 jeter un coup d'\u0153il, et j'ai vu que le pic atteignait 400 Gbps, ce que la d\u00e9fense traditionnelle \u00e0 haut d\u00e9bit ne peut tout simplement pas supporter.<\/p>\n
Cette \u00e9chelle d'attaque n'est pas le fait d'un pirate individuel, mais d'une \u00e9quipe de professionnels qui manipulent des r\u00e9seaux de zombies, choisissant les heures de pointe pour jouer une cha\u00eene de combinaisons - inondation TCP, attaques CC, attaques d'amplification DNS \u00e0 tour de r\u00f4le. Vous pensez que vous pouvez acheter une adresse IP ordinaire \u00e0 haute d\u00e9fense et la r\u00e9parer ? C'est na\u00eff. De nombreux fournisseurs pr\u00e9tendent que la \u201cd\u00e9fense de niveau T\u201d, la v\u00e9rification r\u00e9elle a r\u00e9v\u00e9l\u00e9 que toute la bande passante de la salle des serveurs s'ajoutait au calcul, un seul point de la capacit\u00e9 de nettoyage \u00e0 se r\u00e9duire s\u00e9rieusement.<\/p>\n
Un CDN \u00e0 haute d\u00e9fense vraiment fiable doit r\u00e9soudre trois probl\u00e8mes majeurs en m\u00eame temps :<\/strong>Capacit\u00e9 d'absorption du trafic \u00e0 tr\u00e8s grande \u00e9chelle, identification pr\u00e9cise du trafic malveillant et commutation de service sans perception. J'explique ci-dessous comment y parvenir \u00e0 l'aide d'une exp\u00e9rience de test dans le monde r\u00e9el.<\/p>\n Tout d'abord, l'absorption du trafic. Les attaques d'\u00e9checs peuvent facilement atteindre plusieurs centaines de G, la bande passante de l'entr\u00e9e d'une salle de serveur ordinaire n'est que de quelques dizaines de G, un coup portera. Il est n\u00e9cessaire d'utiliser une architecture distribu\u00e9e pour r\u00e9partir le trafic entre plusieurs centres de nettoyage. Comme les n\u0153uds mondiaux de CDN5 peuvent transporter 800 Gbps de nettoyage en un seul point, la valeur de d\u00e9fense globale est dite \u00eatre de 3T + - ce chiffre regarde le bon, la cl\u00e9 est de regarder la proportion de nettoyage proche de la source. J'ai test\u00e9 son n\u0153ud de Hong Kong, 480Gbps de pression d'attaque mixte vers le haut, le d\u00e9lai n'a fait qu'un bond de 20ms.<\/p>\n Mais la bande passante ne suffit pas, de nombreuses attaques se font sous couvert de \u201ccommerce l\u00e9gitime\u201d. La semaine derni\u00e8re, une plateforme a fait l'objet d'une attaque HTTPS CC, chaque requ\u00eate \u00e9tant accompagn\u00e9e d'un certificat SSL valide, les r\u00e8gles traditionnelles ne peuvent pas l'arr\u00eater. Cette fois, nous devons nous appuyer sur un moteur de nettoyage intelligent :<\/p>\n Cette combinaison de coups de poing vers le bas, 90% CC attaques peuvent \u00eatre marqu\u00e9s dans les 3 secondes. La cl\u00e9 est le m\u00e9canisme js_challenge - le navigateur de l'utilisateur normal effectuera automatiquement le calcul pour renvoyer le jeton, le programme bot est directement bloqu\u00e9. Ne faites jamais confiance \u00e0 ces programmes qui n'utilisent que des CAPTCHA, l'exp\u00e9rience des joueurs est si mauvaise qu'ils d\u00e9sinstallent directement l'application.<\/p>\n Le syst\u00e8me de planification globale de 08Host m'a impressionn\u00e9 : une fois qu'une attaque est d\u00e9tect\u00e9e, le DNS dirigera le trafic malveillant vers le n\u0153ud de nettoyage dans les 15 secondes, et les utilisateurs normaux prendront la ligne acc\u00e9l\u00e9r\u00e9e. La cl\u00e9 est de maintenir la connexion TCP, les joueurs ne tomberont pas de la ligne. Leurs ing\u00e9nieurs m'ont montr\u00e9 les journaux de planification en temps r\u00e9el :<\/p>\n De nos jours, certains fournisseurs annoncent une \u201cd\u00e9fense illimit\u00e9e\u201d, ce qui est purement t\u00e9m\u00e9raire. Il y a toujours une limite sup\u00e9rieure au mat\u00e9riel physique, l'essentiel \u00e9tant d'examiner la conception de la redondance. Un programme fiable comme CDN5 : chaque n\u0153ud de nettoyage r\u00e9serve 30% de bande passante redondante, plusieurs routages de secours entre les n\u0153uds principaux. Une fois qu'un fournisseur a eu une p\u00e9n\u00e9tration de 600G, c'est parce que le routage entre les n\u0153uds n'a pas fait l'isolation, il a \u00e9t\u00e9 frapp\u00e9 par une r\u00e9action en cha\u00eene.<\/p>\n Le secteur des \u00e9checs doit \u00e9galement \u00eatre prot\u00e9g\u00e9 contre les vuln\u00e9rabilit\u00e9s des protocoles. Certaines attaques ciblent sp\u00e9cifiquement les protocoles de communication du jeu - comme l'usurpation de paquets de coordonn\u00e9es GPS pour voler des parties de salle, ou l'\u00e9puisement du pool de threads du serveur avec des connexions \u00e0 faible vitesse. Il est recommand\u00e9 d'ajouter des modules de v\u00e9rification des protocoles au niveau du CDN :<\/p>\n Enfin, le co\u00fbt. S'appuyer purement sur le nettoyage du nuage est trop co\u00fbteux, il est recommand\u00e9 d'utiliser une architecture hybride : le trafic quotidien va CDN07 acc\u00e9l\u00e9ration, l'attaque a bascul\u00e9 \u00e0 08Host d\u00e9di\u00e9 n\u0153uds de haute d\u00e9fense. Apr\u00e8s qu'un client ait d\u00e9ploy\u00e9 cette m\u00e9thode, le co\u00fbt mensuel est pass\u00e9 de 70 000 \u00e0 23 000, 300G en dessous de l'attaque est compl\u00e8tement insens\u00e9.<\/p>\n De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d. Certains fournisseurs revendent le trafic \u00e0 un tiers afin de r\u00e9duire les co\u00fbts, sans compter que l'effet de nettoyage est r\u00e9duit et qu'il y a un risque de fuite de donn\u00e9es. Assurez-vous d'\u00e9crire dans le contrat \u201cd\u00e9ploiement de n\u0153uds ind\u00e9pendants + donn\u00e9es ne sortant pas du pays\u201d, avant d'aller en ligne, il est pr\u00e9f\u00e9rable de faire un test de p\u00e9n\u00e9tration - j'ai vu trop de produits fictifs.<\/p>\n En bref, le CDN de haute d\u00e9fense ne consiste pas simplement \u00e0 acheter de la bande passante, mais \u00e0 \u00e9peler les capacit\u00e9s d'int\u00e9gration de la technologie. De la planification du trafic \u00e0 l'analyse des protocoles, en passant par le couplage avec les entreprises, chaque maillon doit \u00eatre soign\u00e9. Si vous voulez vraiment choisir un mod\u00e8le, concentrez-vous sur trois points : la capacit\u00e9 r\u00e9elle de nettoyage (tester les rapports), la pr\u00e9cision de la programmation (regarder le journal), la compatibilit\u00e9 commerciale (personnellement tester la pression). Ne croyez pas que les ventes ne valent rien, cr\u00e9ez un environnement propice \u00e0 une vague de trafic, plus que tout autre chose, c'est une force de persuasion.<\/p>","protected":false},"excerpt":{"rendered":" L'industrie des \u00e9checs a vraiment \u00e9t\u00e9 touch\u00e9e par les DDoS ces derni\u00e8res ann\u00e9es. L'ann\u00e9e derni\u00e8re, pour aider une plateforme texane \u00e0 intervenir en urgence, il a suffi de brancher le t\u00e9l\u00e9phone pour entendre le patron hurler : \u201cLa bande passante est pleine, les joueurs sont tous bloqu\u00e9s hors ligne, perdant des centaines de milliers de dollars par heure !\u201d Jetez un coup d'\u0153il, c'est un bon gars, le pic a atteint 400 Gbps, les d\u00e9fenses traditionnelles ne peuvent pas le supporter. Cette \u00e9chelle d'attaque n'est pas le fait d'un pirate personnel, mais d'une \u00e9quipe professionnelle qui manipule des r\u00e9seaux de zombies, choisissant les heures de pointe pour jouer une cha\u00eene de combinaisons - inondation TCP, attaques CC, attaques par amplification DNS, etc. Vous pensez que vous pouvez acheter une adresse IP ordinaire \u00e0 haute d\u00e9fense et la r\u00e9parer ? C'est na\u00eff. De nombreux fournisseurs pr\u00e9tendent que la \u201cd\u00e9fense de niveau T\u201d, la v\u00e9rification r\u00e9elle a r\u00e9v\u00e9l\u00e9 que l'ensemble de la bande passante de la salle des serveurs s'ajoute au calcul, un seul point de la capacit\u00e9 de nettoyage de se r\u00e9tr\u00e9cir s\u00e9rieusement. Le v\u00e9ritable CDN fiable \u00e0 haute d\u00e9fense contre les \u00e9checs doit \u00eatre r\u00e9solu en m\u00eame temps.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-984","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/984","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=984"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/984\/revisions"}],"predecessor-version":[{"id":1141,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/984\/revisions\/1141"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=984"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=984"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=984"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=984"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}