GCP Google Cloud Agent: GoogleCloudArmor ป้องกันการโจมตี DDoS ขนาดใหญ่ได้อย่างไร

ในแวดวงการรักษาความปลอดภัยเครือข่ายมีไซต์อิสระเกมข้ามพรมแดนและผู้ผลิต SaaS ทั้งหมดที่แขวนอยู่บนหัวของดาบ Damocles-

DDoS (การโจมตีปฏิเสธการให้บริการแบบกระจาย)

。

ปัจจุบันแฮกเกอร์มีจริยธรรมในการต่อสู้น้อยลงในอดีตแฮกเกอร์สามารถทำให้ห้องคอมพิวเตอร์ขนาดเล็กเป็นอัมพาตได้ด้วยการรับส่งข้อมูล Gbps หลายสิบครั้งแต่ตอนนี้พวกเขาใช้บ็อตเน็ตเพื่อเริ่มต้น

L7 (ชั้นโปรแกรม) HTTP น้ำท่วมโจมตี

, คำขอ (RPS) หลายร้อยล้านครั้งต่อวินาทีสามารถล้างคลัสเตอร์เซิร์ฟเวอร์และฐานข้อมูลของคุณได้ทันทีโดยไม่เหลือขยะสิ่งที่น่าขยะแขยงที่สุดคือคุณต้องจ่ายค่าสูงเสียดฟ้าสำหรับแบนด์วิดท์และปริมาณการใช้งานที่เกิดจากการโจมตีที่เป็นอันตรายเหล่านี้

วันนี้เราไม่ได้อ่านเอกสารไวท์เปเปอร์ของผู้ผลิตที่เข้มงวดแต่เปิดฝากระโปรงหน้าโดยตรงเพื่อพูดคุยเกี่ยวกับ "โล่ป้องกันประเทศ" อันดับต้นๆของ Google Cloud-

Google Cloud Armor

。ดูว่ามันยืนอยู่แถวหน้าของเครือข่ายทั่วโลกและช่วยคุณฆ่าการโจมตี DDoS ขนาดใหญ่เหล่านั้นได้อย่างไร

1.แชสซีหลัก: เหตุใด Cloud Armor จึง "ไม่สามารถเจาะ" ได้?

พี่น้องหลายคนสร้างห้องคอมพิวเตอร์ของตัวเองหรือซื้อบริการจากผู้ให้บริการคลาวด์ขนาดเล็กสิ่งที่พวกเขากลัวที่สุดคือแบนด์วิดท์ทางกายภาพจะเต็มแฮกเกอร์ใช้การรับส่งข้อมูล100G เพื่อตีทางออก10G ของคุณและไฟร์วอลล์ที่อยู่ข้างหลังคุณจะต้องหยุดอาหารเพราะ "ถนนถูกปิดกั้น"

และ Cloud Armor กล้าเรียกตัวเองว่า "เกราะ" ความมั่นใจมาจากความน่ากลัวของ Google

ปริมาณเครือข่ายทั่วโลก

。

ดึงสนามรบไปที่ "ประตูบ้าน": Cloud Armor ไม่ได้ถูกนำไปใช้งานหน้าเครื่องเสมือนของคุณ (Compute Engine) แต่ถูกเชื่อมโดยตรงกับโหนดขอบทั่วโลกของ Google (Edge POP)

ปริมาณงานที่น่าทึ่ง: Google มีการค้นหาของ Google, YouTube และ Gmail ทั่วโลกทุกวันและแบนด์วิดท์ทั้งหมดของเครือข่ายทั่วโลกนั้นเหนือจินตนาการเมื่อแฮ็กเกอร์เริ่มการโจมตีน้ำท่วมที่เลเยอร์เครือข่ายระดับ Tbps (L3/L4) (เช่น SYN Flood หรือ UDP rebound attack) Cloud Armor ไม่จำเป็นต้องรบกวนสถานีต้นทางของคุณและวางขยะเหล่านี้โดยตรงบนโหนดขอบทั่วโลกล้างและกลืนมันลงบนพื้น

นกเก่าพูดภาษาพื้นถิ่น: แฮกเกอร์คิดว่าพวกเขาใช้กองกำลังหลายพันคนอันที่จริงการเข้าชมของพวกเขาไม่ได้สัมผัสด้านข้างของอินทราเน็ตของ Google และพวกเขาก็ถูกกลืนหายไปอย่างไร้ร่องรอยที่ขอบของเครือข่ายสาธารณะ

2.พลังหลัก: Adaptive Protection (การเรียนรู้ของเครื่องปรับตัวป้องกัน)

การป้องกัน DDoS แบบดั้งเดิมของไฟร์วอลล์ (WAF) นั้นเข้มงวดมากและต้องอาศัยการดำเนินการและการบำรุงรักษาเพื่อเขียนกฎด้วยตนเองตัวอย่างเช่น: "IP เดียวจะบล็อกคำขอมากกว่า50คำขอต่อวินาที"

แต่ตอนนี้แฮกเกอร์ฉลาดมากพวกเขาควบคุม IP ไก่เนื้อในครัวเรือนที่สะอาดหลายแสนรายการทั่วโลกและแต่ละ IP จะส่งคำขอเพียง2ครั้งต่อวินาทีจาก IP เดียวมันถูกกฎหมายอย่างสมบูรณ์แต่การรวมกันของ IP หลายแสนรายการจะเป็นหลายร้อยต่อวินาที

ล้านการโจมตีน้ำท่วม HTTP ในเวลานี้กฎดั้งเดิมจับคนตาบอดโดยตรง

เพื่อแก้ปัญหาจุดเจ็บปวดนี้ Cloud Armor เสนอนักฆ่า-

Adaptive Protection (Adaptive Protection)

:

ดังที่แสดงในรูปด้านบนกระบวนการป้องกันของมันฉลาดพอๆกับกองกำลังพิเศษ:

การสร้างพื้นฐาน: ตราบใดที่คุณเปิดใช้งานฟังก์ชันนี้โมเดล AI ของ Google จะสังเกตลักษณะการเข้าถึงปกติของแอปพลิเคชันของคุณทุกวันอย่างเงียบๆ (เช่น URL ใดที่ผู้ใช้มักชอบเข้าถึงและส่วนหัวของคำขอมีลักษณะอย่างไร)

การตรวจจับการเปลี่ยนแปลงระดับมิลลิวินาที: เมื่อกองทัพของแฮ็กเกอร์ทำการจู่โจม AI จะพบว่าการจราจรพุ่งสูงขึ้นอย่างผิดปกติทันทีและจะแยกการไหลของการโจมตีอย่างชัดเจนภายในไม่กี่วินาที

สร้างกฎ "การโจมตีแบบลดมิติ" โดยอัตโนมัติ: AI จะสร้างบรรทัดของกฎ CEL (ภาษานิพจน์สาธารณะ) ที่ซับซ้อนโดยอัตโนมัติเช่น: "ตราบใดที่คำขอมีลายนิ้วมือของเบราว์เซอร์ JA3/JA4ที่เฉพาะเจาะจงและเส้นทางการเข้าถึงมีคุณสมบัติบางอย่าง, ทั้งหมดถูกสกัดกั้น" กฎนี้จะปรากฏขึ้นโดยตรงในการดำเนินการและการบำรุงรักษาคุณต้องยืนยันด้วยคลิกเดียว (หรือแม้กระทั่งกำหนดค่าเป็นแอปพลิเคชันอัตโนมัติ) และโหนดทั่วโลกจะซิงโครไนซ์ภายในหนึ่งนาทีเพื่อตัดแฮกเกอร์ออกอย่างถูกต้องและผู้ใช้จริงจะไม่ได้รับผลกระทบเลย

3.แนวป้องกันการต่อสู้จริง: จะกำหนดค่า Cloud Armor เพื่อ "ป้องกันศัตรูจากนอกประเทศ" ได้อย่างไร?

ในสภาพแวดล้อมการผลิตจริงการเปิดใช้งานแบบสุ่มสี่สุ่มห้าไม่เพียงพอโดยทั่วไปแล้วทหารผ่านศึกจะปฏิบัติตาม Cloud Armor

สามแนวป้องกัน

เพื่อกำหนดค่า:

แนวป้องกันแรก: ชั้นเครือข่ายที่มีการปิดกั้นตำแหน่งทางภูมิศาสตร์ (IP & Geo Blocking)

Geofencing: หากธุรกิจ SaaS ในต่างประเทศของคุณมีเฉพาะในยุโรปและสหรัฐอเมริกาให้เพิ่มกฎลำดับความสำคัญสูงสุดใน Cloud Armor อย่างเด็ดขาด: ยกเว้นบางประเทศในยุโรปและอเมริกาการเข้าชมในภูมิภาคอื่นๆจะถูกปฏิเสธ (Deny) กล่าวได้ว่าแฮกเกอร์โดยตรงจากพื้นที่ที่ไม่ใช่ธุรกิจไม่มีโอกาสจับมือกัน

การบีบบังคับและการล่อลวง Threat Intel: การผูกฐานข้อมูลภัยคุกคามอย่างเป็นทางการของ Google (Google Threat Intelligence) และบล็อกการส่งออกเครือข่าย Tor ที่ไม่ระบุตัวตนที่เป็นที่รู้จักทั่วโลกโปรแกรมรวบรวมข้อมูลที่เป็นอันตรายและ IP ของพร็อกซีที่ปนเปื้อน

แนวป้องกันที่สอง: Rate Limiting

อย่าเพียงแค่ "ห้าม" แบบทื่อๆเรียนรู้ที่จะใช้

จำกัดกระแส

。

ในกฎ Cloud Armor คุณสามารถตั้งค่า: สำหรับเพจที่ละเอียดอ่อนเฉพาะ (เช่น

/Login

หรือ

/Register

) IP ไคลเอนต์เดียวอนุญาตให้20คำขอภายใน1นาทีเมื่อเกินแล้วแทนที่จะกลับไปที่403โดยตรงให้โยนคำขอติดตามผลลงใน

“ห้องทรมาน (Rate Limit Exceeded Action)”

บังคับให้พวกเขากรอกรหัสยืนยัน reCAPTCHA หรือโดยตรง

เปลี่ยนเส้นทางไปยังหน้าเว็บ "คิว" แบบคงที่สิ่งนี้สามารถใช้ทรัพยากรไก่เนื้อของแฮกเกอร์ได้อย่างมาก

แนวป้องกันที่สาม: กฎ WAF ที่กำหนดไว้ล่วงหน้า (ป้องกันช่องโหว่ของแอป)

DDoS มักจะมาพร้อมกับการตรวจจับช่องโหว่ของเลเยอร์แอปพลิเคชัน Cloud Armor มีชุดเต็มในตัว

OWASP Top 10กฎการกำหนดค่าล่วงหน้า

(รองรับมาตรฐาน CRS 4.22ล่าสุด) ซึ่งครอบคลุมการฉีด SQL (SQLi) สคริปต์ข้ามไซต์ (XSS) และการเรียกใช้รหัสระยะไกลต่างๆ (RCE)

ตั้งกฎเหล่านี้เป็น "โหมดแสดงตัวอย่าง" และเรียกใช้สองสามวันหลังจากยืนยันว่าไม่มีการฆ่าคนทั่วไปโดยไม่ได้ตั้งใจให้ตัดเป็น "โหมดปฏิเสธ" อย่างเด็ดขาดและปัจจัยด้านความปลอดภัยของเว็บไซต์จะเต็มโดยตรง

4.การดำเนินการและบำรุงรักษา "บัญชีเงินช่วยชีวิต" ของนกเก่า

สุดท้ายคุณต้องคำนวณบัญชีกับผู้บริหารหรือสถาปนิก:

Cloud Armor แพงไหม?

Cloud Armor ปกติจะถูกเรียกเก็บเงินตามจำนวนกฎและคำขอแต่หากคุณกำลังเผชิญกับธุรกิจในต่างประเทศขนาดใหญ่ (เช่นเกมอีคอมเมิร์ซ) ที่มุ่งเน้นไปที่สาธารณะและกำหนดเป้าหมายได้ง่ายขอแนะนำให้สมัครสมาชิก

Cloud Armor Enterprise (การป้องกันโฮสติ้งระดับองค์กร)

。

แม้ว่าจะมีแพ็คเกจรายเดือนคงที่แต่ก็มี "DDoS Bill Protection" ที่สำคัญ:

หากเว็บไซต์ของคุณพบการโจมตี DDoS ขนาดใหญ่ระดับ Tbps ที่บ้าคลั่ง Cloud Armor จะช่วยคุณในระหว่างการโจมตีของคุณค่าธรรมเนียมการรับส่งข้อมูลกลับระดับ T ที่น่ากลัวอย่างยิ่งและค่าธรรมเนียมการร้องขอที่สร้างขึ้นโดยโหนดขอบทั่วโลก, Google จะยกเว้น/ชดเชยให้คุณเต็มจำนวน

สิ่งนี้เทียบเท่ากับการซื้อ "ประกันเชิงพาณิชย์โดยไม่ต้องหักลดหย่อน" สำหรับสินทรัพย์ทางเทคนิคของคุณแฮกเกอร์ต้องการบังคับให้คุณประนีประนอมโดยการเพิ่มบิลของคุณซึ่งกลายเป็นเรื่องตลกเมื่อเผชิญกับการโจมตีลดมิติของ Google

สรุป

ในการจัดการกับการโจมตี DDoS ไม่เคยขึ้นอยู่กับการกำหนดค่าเซิร์ฟเวอร์แต่เป็นการต่อสู้

แชสซีของใครใหญ่และโล่ของใครฉลาด

。

สวม "ชุดเกราะระดับโลก" ของ Google ที่ปกป้องการค้นหาและ YouTube ของคุณเองนอกการจัดสรรภาระงาน (LB) ของคุณปล่อยให้ Cloud Armor ปิดกั้นพายุและความมุ่งร้ายบนขอบโลกและธุรกิจส่วนหลังสามารถนอนลงและสร้างรายได้ได้อย่างปลอดภัย