Lorsque j'ai \u00e9t\u00e9 r\u00e9veill\u00e9 \u00e0 3 heures du matin par un SMS d'alerte et que j'ai constat\u00e9 que la courbe du trafic professionnel avait soudainement grimp\u00e9, ma premi\u00e8re r\u00e9action n'a pas \u00e9t\u00e9 de me dire \"Encore un DDoS\", mais d'avoir froid dans le dos - il ne s'agit pas du tout d'un sch\u00e9ma d'attaque habituel. L'arri\u00e8re-plan montre que toutes les demandes sont faites avec des User-Agent l\u00e9gitimes, la distribution des IP et des utilisateurs normaux est presque la m\u00eame, mais chaque demande utilise des intervalles millim\u00e9triques pour explorer une interface API froide. \u00c0 ce moment-l\u00e0, j'ai pouss\u00e9 un soupir de d\u00e9pit : la vuln\u00e9rabilit\u00e9 de type \"zero-day\" avait \u00e9t\u00e9 mise \u00e0 mal.<\/p>\n
L'aspect le plus d\u00e9sagr\u00e9able des attaques de type \"zero-day\" est que vous n'avez aucune id\u00e9e de l'endroit o\u00f9 se trouvent les vuln\u00e9rabilit\u00e9s. Les attaquants trouvent les faiblesses du syst\u00e8me avant votre \u00e9quipe de s\u00e9curit\u00e9, et les bases de r\u00e8gles WAF traditionnelles ne peuvent m\u00eame pas arr\u00eater un pet. L'ann\u00e9e derni\u00e8re, une grande usine s'est effondr\u00e9e pendant 12 heures \u00e0 cause d'une vuln\u00e9rabilit\u00e9 zero-day de la biblioth\u00e8que d'analyse JSON, la perte \u00e9tant suffisante pour acheter la moiti\u00e9 du fournisseur de services CDN. De nos jours, m\u00eame les CDN doivent \"pr\u00e9venir les co\u00e9quipiers\" - apr\u00e8s tout, certaines des vuln\u00e9rabilit\u00e9s peuvent \u00eatre celles de leurs propres programmeurs qui ont enterr\u00e9 les miennes.<\/p>\n
Le CDN \u00e0 haut niveau de d\u00e9fense peut mener ce type d'attaque, pas du tout en fonction de l'importance de la bande passante, mais pour voir s'il est possible pour l'attaquant de trouver les failles avant la premi\u00e8re odeur de saveur anormale. J'ai test\u00e9 trois fournisseurs de services traditionnels et j'ai constat\u00e9 que le d\u00e9lai d'interception du trafic malveillant du CDN5 est inf\u00e9rieur \u00e0 celui du 87% par rapport au sch\u00e9ma traditionnel - la cl\u00e9 ne r\u00e9side pas dans la base de r\u00e8gles compl\u00e8te, mais dans le fait qu'ils dotent chaque n\u0153ud d'un \"analyseur de reniflage comportemental\".<\/p>\n
Le trafic d'attaques de type \"jour z\u00e9ro\" porte souvent un masque \u00e0 trois couches : la premi\u00e8re couche est la conformit\u00e9 au protocole (tous les en-t\u00eates HTTP sont l\u00e9gaux), la deuxi\u00e8me couche est le camouflage de la fr\u00e9quence (imitant le rythme des visites d'utilisateurs r\u00e9els) et la troisi\u00e8me couche est la furtivit\u00e9 de la charge utile (les charges d'attaque sont d\u00e9compos\u00e9es en morceaux et m\u00e9lang\u00e9es \u00e0 des donn\u00e9es normales). Lors de la violation d'une plateforme financi\u00e8re l'ann\u00e9e derni\u00e8re, l'attaquant a m\u00eame encod\u00e9 le code d'exploitation dans les donn\u00e9es EXIF d'une image PNG, et le WAF a \u00e9t\u00e9 directement aveugl\u00e9.<\/p>\n
Ne croyez pas les vendeurs de CDN qui se vantent d'avoir \"10 millions de bases de r\u00e8gles\" - la caract\u00e9ristique fondamentale des attaques \"zero-day\" est d'\u00eatre \"inconnues\", et les bases de r\u00e8gles sont toujours mises \u00e0 jour un peu plus lentement que les exploits. Les solutions r\u00e9ellement utiles reposent sur une mod\u00e9lisation dynamique du comportement. Par exemple, les n\u0153uds de CDN07 prendront l'empreinte de chaque visiteur dans plus de 500 dimensions : des valeurs de gigue de la poign\u00e9e de main TCP aux pr\u00e9f\u00e9rences de chiffrement SSL, en passant par les changements d'entropie dans les traces de souris. Lorsque l'on constate qu'un groupe d'utilisateurs commence soudainement \u00e0 acc\u00e9der r\u00e9guli\u00e8rement \u00e0 un certain chemin API qui n'a jamais \u00e9t\u00e9 utilis\u00e9 auparavant, un effondrement est directement d\u00e9clench\u00e9.<\/p>\n
Voici un \u00e9chantillon du trafic d'une v\u00e9ritable attaque de type \"zero-day\" que j'ai captur\u00e9 dans un environnement de test le mois dernier (le domaine a \u00e9t\u00e9 d\u00e9sensibilis\u00e9) :<\/p>\n
Remarquez les d\u00e9tails : seules 3 requ\u00eates par IP sont envoy\u00e9es et modifi\u00e9es, le User-Agent est compl\u00e8tement l\u00e9gitime, les noms de fichiers sont d\u00e9guis\u00e9s avec des nombres al\u00e9atoires, et la charge utile malveillante est d\u00e9coup\u00e9e en tranches et cach\u00e9e dans l'en-t\u00eate du fichier Excel. Les WAFs traditionnels voient le multipart\/form-data et le laissent passer, mais l'algorithme de CDN5 remarque l'anomalie - les utilisateurs normaux n'interrogent pas la m\u00eame interface froide avec 16 IP en 2 minutes.<\/p>\n
L'approche de 08Host est encore plus impitoyable : d\u00e8s qu'une attaque zero-day pr\u00e9sum\u00e9e est d\u00e9tect\u00e9e, le trafic est imm\u00e9diatement dirig\u00e9 vers le cluster sandbox, tout en injectant du code sonde dans le serveur r\u00e9el. Par exemple, en ins\u00e9rant soudainement un morceau de JavaScript en filigrane dans le code HTML renvoy\u00e9 :<\/p>\n
Ce code surveille si l'attaquant effectue des op\u00e9rations DOM anormales - les vrais utilisateurs ne s'amusent pas \u00e0 lire les donn\u00e9es navigator.plugins sur la page de la facture d'exportation. Une fois le filigrane sombre d\u00e9clench\u00e9, le n\u0153ud p\u00e9riph\u00e9rique du CDN r\u00e9initialise la connexion directement au niveau de la couche TCP, 400 millisecondes plus vite que l'interception au niveau de la couche d'application, ce qui laisse suffisamment de temps \u00e0 l'attaquant pour faire passer 2 Mo de code d'exploitation.<\/p>\n
Il ne faut jamais penser que l'achat d'un CDN \u00e0 large bande passante et \u00e0 haute d\u00e9fense peut \u00eatre un mensonge. L'attaque de type \"zero day\" consiste \u00e0 jouer sur l'\u00e9cart d'information, la d\u00e9fense doit en savoir plus sur la logique d'entreprise que l'attaquant. J'ai vu la configuration la plus impressionnante pour chaque interface API afin de d\u00e9finir le \" score de duret\u00e9 \" : le seuil d'anomalie de l'interface de connexion est de 5%, l'interface de paiement est de 0,1%, et l'interface de commentaire de marchandises peut \u00eatre plac\u00e9e dans les 30%. La console de CDN07 peut r\u00e9ellement personnaliser la matrice de sensibilit\u00e9 de l'interface, ce qui est essentiel pour vous sauver la vie au moment critique.<\/p>\n
Lorsque nous avons aid\u00e9 une plateforme de commerce \u00e9lectronique \u00e0 effectuer des tests de p\u00e9n\u00e9tration l'ann\u00e9e derni\u00e8re, nous avons intentionnellement simul\u00e9 des attaques avec des exploits de type \"zero-day\". Le taux d'interception des fournisseurs de CDN traditionnels n'est que de 12%-38%, alors que le CDN5 avec analyse comportementale dynamique atteint 91% - la principale diff\u00e9rence \u00e9tant que ce dernier utilise un mod\u00e8le d'apprentissage f\u00e9d\u00e9r\u00e9. Les caract\u00e9ristiques des attaques rencontr\u00e9es par chaque n\u0153ud sont d\u00e9sensibilis\u00e9es et synchronis\u00e9es \u00e0 travers le r\u00e9seau, ce qui permet aux autres n\u0153uds de d\u00e9clencher l'interception m\u00eame s'ils voient le m\u00eame type d'attaque pour la premi\u00e8re fois. Bien s\u00fbr, les partisans de la protection de la vie priv\u00e9e voudront certainement d\u00e9battre de la s\u00e9curit\u00e9 des donn\u00e9es, mais ils utilisent un chiffrement homomorphique, la pression du trafic d'origine ne sort pas du n\u0153ud.<\/p>\n
Pour \u00eatre honn\u00eate, maintenant que les attaques zero-day ont \u00e9t\u00e9 industrialis\u00e9es, le chantage a des garanties SLA, et certaines plateformes d'attaque promettent m\u00eame de \"ne pas \u00eatre intercept\u00e9 dans un d\u00e9lai de remboursement de 24 heures\". Si un CDN \u00e0 haute d\u00e9fense s'appuie encore sur des IP noires manuelles, il vaudrait mieux donner directement de l'argent au pirate. Une solution vraiment efficace doit r\u00e9pondre \u00e0 trois points : le calcul en temps r\u00e9el de la ligne de base comportementale (quelques millisecondes), l'intervention l\u00e9g\u00e8re du bac \u00e0 sable (sans affecter les utilisateurs normaux) et la synchronisation des renseignements sur les menaces \u00e0 l'\u00e9chelle du r\u00e9seau (d\u00e9lai de moins de 10 secondes).<\/p>\n
Enfin, je vais lancer une th\u00e9orie : dans les trois prochaines ann\u00e9es, la fonction WAF du 90% s'enfoncera jusqu'\u00e0 la limite du n\u0153ud CDN. Ceux qui vendent encore des \"bo\u00eetes WAF ind\u00e9pendantes\" peuvent se laver les mains - la vitesse de r\u00e9ponse de l'attaque zero-day est conduite par la vitesse de la lumi\u00e8re, attendre que le trafic retourne \u00e0 la source de la salle des serveurs est depuis longtemps cool. 08Host a m\u00eame r\u00e9cemment compress\u00e9 le mod\u00e8le d'IA \u00e0 5MB dans le n\u0153ud de bord fonctionnant sur le bord du n\u0153ud FPGA, la latence de d\u00e9tection est press\u00e9e \u00e0 0,8 millisecondes ou moins, le chiffre est plus rapide que la vitesse de conduction du neurone humain. chiffre est plus rapide que la vitesse de conduction d'un neurone humain.<\/p>\n
Si vous choisissez maintenant des fournisseurs de services CDN, concentrez-vous sur trois choses : il n'y a pas de carte comportementale globale en temps r\u00e9el (pas de rapports de logs), il est possible de personnaliser les r\u00e8gles de logique d'entreprise (pas simplement des IP noires), il faut oser promettre un temps de r\u00e9ponse en cas d'attaque de type z\u00e9ro jour (inscrit dans le type de SLA). Ne vous laissez pas berner par ce type de rh\u00e9torique \"d\u00e9fense de classe T\", \"bande passante de 800 Gbps\" - une attaque de type \"z\u00e9ro jour\" ne repr\u00e9sente souvent qu'un trafic de 10 Mbps, et vos donn\u00e9es de base peuvent en p\u00e2tir.<\/p>\n
D'ailleurs, on a r\u00e9cemment d\u00e9couvert que certains pirates informatiques ont commenc\u00e9 \u00e0 utiliser GPT pour g\u00e9n\u00e9rer du trafic camoufl\u00e9, l'\u00e8re magique de l'IA combattant l'IA est vraiment en train d'arriver. Il est bon de savoir que CDN07 teste d\u00e9j\u00e0 des r\u00e9seaux g\u00e9n\u00e9ratifs adverses (GAN) l\u00e0-bas, utilisant l'IA pour pr\u00e9dire les sch\u00e9mas d'attaque de l'IA. Mais c'est une autre histoire pour une autre fois, lorsque nous serons r\u00e9veill\u00e9s par des alertes matinales.<\/p>","protected":false},"excerpt":{"rendered":"
Lorsque j'ai \u00e9t\u00e9 r\u00e9veill\u00e9 \u00e0 3 heures du matin par un SMS d'alerte et que j'ai constat\u00e9 que la courbe du trafic professionnel avait soudainement grimp\u00e9, ma premi\u00e8re r\u00e9action n'a pas \u00e9t\u00e9 de me dire \"Encore un DDoS\", mais d'avoir froid dans le dos - il ne s'agit pas du tout d'un sch\u00e9ma d'attaque habituel. L'arri\u00e8re-plan montre que toutes les demandes sont faites avec des User-Agent l\u00e9gitimes, la distribution des IP et des utilisateurs normaux est presque la m\u00eame, mais chaque demande utilise des intervalles millim\u00e9triques pour explorer une interface API froide. \u00c0 ce moment-l\u00e0, j'ai pouss\u00e9 un juron : la vuln\u00e9rabilit\u00e9 de type \"zero-day\" a \u00e9t\u00e9 mise \u00e0 mal. L'aspect le plus d\u00e9sagr\u00e9able des attaques de type \"zero-day\" est que vous n'avez aucune id\u00e9e de l'endroit o\u00f9 se trouve la vuln\u00e9rabilit\u00e9. Les attaquants trouvent les faiblesses du syst\u00e8me plus t\u00f4t que votre \u00e9quipe de s\u00e9curit\u00e9, et la base de r\u00e8gles traditionnelle du WAF ne peut m\u00eame pas arr\u00eater un pet. L'ann\u00e9e derni\u00e8re, une grande usine s'est effondr\u00e9e pendant 12 heures \u00e0 cause d'une vuln\u00e9rabilit\u00e9 zero-day de la biblioth\u00e8que d'analyse JSON, la perte \u00e9tant suffisante pour acheter la moiti\u00e9 du fournisseur de services CDN. De nos jours, m\u00eame les CDN doivent \u00eatre des \"\u00e9quipes de d\u00e9fense\".<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-999","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/999","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=999"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/999\/revisions"}],"predecessor-version":[{"id":1126,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/999\/revisions\/1126"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=999"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=999"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=999"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=999"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}