GCPグーグルクラウド代理店: googleクラウドのダーモアはどうやって大規模DDoS攻撃を防御しますか?
インターネットセキュリティ圏には、すべての独立した駅、国境を越えたゲーム、SaaSメーカーの頭上にぶら下がっているダモクレスの剣がある
DDoS (分散型サービス拒否攻撃)
。
今のハッカーはますます武徳がありません。過去にハッカーが数十Gbpsのトラフィックを打つと、小さな機械室が麻痺することができた現在、ゾンビネットワークを利用して開始されています
L7 (アプリケーション層) HTTP洪水攻撃
、毎秒数億回の要求 (RPS) は、あなたのサーバクラスタとデータベースを瞬時に残さないようにすることができます。最も吐き気がするのは、これらの悪意のある攻撃によって発生した帯域幅とトラフィックに天価の請求書を支払わなければならないことです。
今日、私たちは融通のきかないメーカーのホワイトペーパーを読んで、直接エンジンカバーを開けてgoogleクラウドのトップレベルの「護国盾」について話します。
Google Cloudひとつひとつ
。どうやってグローバルネットワークの最前線に立って、大規模なDDoS攻撃を秒殺してくれるのか見てみましょう。
一、コアシャーシ: なぜCloudひとしきり「打てない」のか?
多くの兄弟が機械室を作ったり、小型クラウドメーカーのサービスを買ったりして、一番怖いのは物理的な帯域幅が詰まっていることです。ハッカーは100Gの流量であなたの10gの出口を打って、あなたの後ろのファイアウォールはさらに「道がふさがれた」ために料理をやめなければならない。
Cloudひとみrは自分が「防弾チョッキ」だと主張しています。底気はGoogleの恐怖に由来しています。
グローバルネットワークのボリューム
。
戦場を「家の入り口」に引き寄せた: Cloudひとみは、あなたの仮想マシン (Compute Engine) の前に配置されたものではなく、Googleグローバルエッジノード (Edge POP) に直接溶接されている。
驚くべきスループット: Googleは毎日世界的なGoogle検索、YouTube、Gmailのトラフィックをホストしており、その世界的なネットワークの総帯域幅は想像を超えている。ハッカーがTbpsレベルのネットワーク層 (L3/l 4) の洪水攻撃 (SYN FloodやUDPリバウンド攻撃など) を開始した場合、Cloudひとまずはソースを驚かせる必要はありません世界に広がるエッジノードで、これらのごみの流量をそのまま洗浄して飲み込む。
古い鳥の口語: ハッカーは自分が千軍万馬を使ったと思っているが、実は彼らのトラフィックはグーグルのネットの端まで触れておらず、ネットの端では跡形もなく飲み込まれている。
二、コア超能力: アダプタ保護 (機械学習適応防御)
伝統的なファイアウォール (WAF) はDDoSを防ぐのが非常に融通がきかず、すべて運送次元の手作業でルールを書く。例えば、「1 IPが1秒に50回以上要求されると、黒になる。」と言いました
しかし、現在のハッカーは賢い。彼らは世界の数十万人の清潔な家庭用肉鶏IPをコントロールし、IPごとに1秒に2回しか要求していない。単一のIPから見ると完全に合法だが、数十万個のIPを組み合わせると、毎秒数百個になる
万回のHTTP洪水攻撃。この時、伝統的な規則は直接盲目になった。
この痛点を解決するために、Cloudひとりふは殺手を祭った。
アダプタ保護
:
上の図に示すように、その防御過程は特殊部隊のように賢い
ベースラインを作成する: この機能をオンにすると、GoogleのAIモデルは毎日、アプリケーションの通常のアクセス長を静かに観察します (例: ユーザーが普段どのURLにアクセスするのが好きなのか、要求ヘッダの特徴は何か)。
ミリ秒レベルの取引検出: ハッカーの大軍が襲撃した時、AIは瞬時に流量が異常に上昇したことを発見し、数秒以内に攻撃流量をはっきりと解剖する。
「次元を下げる打撃」ルールを自動的に生成する: AIは「要求に特定のJA3/JA4ブラウザの指紋がある限りアクセスパスにはある特徴が含まれており、すべてブロックされています。」と言いましたこのルールを直接運送次元に弾き、ワンクリックで確認するだけで、グローバルノードは1分以内に同期して有効になり、ハッカーを正確に切り取ることができます本当のユーザーは全く影響を受けません。
三、実戦防御線: Cloudひとみrはどのように配置すれば「国門の外に敵を守る」ことができますか?
実際の生産環境では、盲目的に開通することはできない。古い鳥は一般的にCloudひとみを
3つの防御線
を設定します
最初の防御線: ネットワーク層と地理的位置ブロック (IP & Geo Blocking)
地理フェンス: あなたの海外SaaS業務が欧米だけであれば、決断してCloud凍るrに最高優先度のルールを追加します。欧米の特定の国を除いて、他の地域のトラフィックはすべて拒否されます (Deny)。一言で言えば、非ビジネスエリアからのハッカーは握手の機会さえない。
脅迫的な利益は、Google政府の脅威情報ライブラリを結び付け、世界で知られているTor匿名ネットワークの輸出、悪意のある爬虫類、汚染されたエージェントIPを直接ブロックする。
第二の防御線: 精密化限流
ぎこちない「封じ込め」だけをしないで、使うことを学ばなければならない
制限フロー
。
Cloud Armorルールでは、特定の機密ページ (例:
/Login
または
/レジ
) 、シングルクライアントIPは1分以内に20回の要求を通過できる。超過すると、直接403を返さず、後続の要求を破棄します
「拷問室」
、強制的にreCAPTCHA認証コードを入力するか、直接入力してください
静的な「キュー」ページにリダイレクトします。これはハッカーの肉鶏資源を大幅に消費する。
第3の防御線: WAFルールの事前構成 (脆弱性の適用防止)
DDoSはアプリケーション層の脆弱性の検出を伴うことが多い。Cloud Armorにはフルセットが内蔵されています。
OWASP Top 10事前設定ルール
(最新のcram4.22規格をサポート) には、SQL注入(SQLi)、クロスサイトスクリプティング (XSS) 、さまざまなリモートコード実行 (RCE) が含まれています。
これらのルールを「プレビューモード」にして数日走って、庶民を誤って殺していないことを確認した後、思い切って「拒否モード (Deny) 」に切って、サイトの安全係数が直接いっぱいになった。
四、古い鳥を輸送する「命を守る金銭帳」
最後に、経営陣または設計者と計算しなければならない
Cloud Armorは高いですか?
通常のCloud wallrは、ルール数とリクエストで課金されます。しかし、もしあなたが本当に公衆向けで、非常に対象になりやすい大規模な海外進出業務 (ゲーム、電気商など) に直面しているなら、購読を強くお勧めします
Cloudひとつひとつの企業 (企業レベルの管理保護)
。
固定的な月額料金パッケージがありますが、重要な「DDoS Bill Protection」が含まれています
もしあなたのサイトが狂気じみたTbps級の大規模なDDoS攻撃に遭遇したら、Cloudひとつひとつの攻撃を手伝っている間に世界のエッジノードが発生したような極めて恐ろしい、数百数千T級の回源流量費と請求費は、グーグルが全額免除/補償します。
これはあなたの技術資産に「免責額のない商業保険」を買ったことに相当します。ハッカーはあなたの請求書を印刷することで妥協を強要したいと思っていて、Googleのダウンショックを前に、完全にジョークになった。
まとめ
DDoS攻撃に対処するには、従来はサーバ構成ではなく、ピン
誰のシャーシが大きく、誰の盾が賢いか
。
Googleが自宅のSearchとYouTubeを守る「世界的な防弾チョッキ」を、あなたの負荷分散 (LB) の外に着る。Cloud wallrは全世界の端で風雨と悪意を遮って、後端の業務は安定して横になってお金を儲けることができます。
