Radware:针对CDN的五大安全威胁

当前,许多企业都意识到ddos防御对维护非凡客户体验而言至关重要。这是为什么呢?因为网络攻击对加载时间或最终用户体验的影响远超过其他因素,网络攻击是应用性能的无症状杀手。

作为向最终用户提供高可用和高性能内容的经销商,CDN是客户体验的关键。然而,CDN网络中的新漏洞也让很多人想知道CDN本身是否容易遭受到各类攻击侵扰,如:循环攻击。

那么CDN容易遭受到什么类型的攻击呢?以下是会危及到CDN的5大威胁,企业必须对这些威胁有所防范。

盲点1:动态内容攻击

攻击者了解到,CDN服务中的重大盲点是对动态内容请求的处理。由于动态内容并没有存储在CDN服务器中,因此所有动态内容请求都会发送到源服务器。攻击者可以利用这种行为,生成包含HTTP GET请求随机参数的攻击流量。CDN可以立即将这些攻击流量重定向至源服务器进行请求处理。然而,在很多情况下,源服务器无法处理所有的攻击请求,也无法为合法用户提供在线服务,因此就会出现拒绝服务的情况。

许多CDN都能够限制发送到受攻击服务器的动态请求数量。这就意味着,他们无法区分攻击者和合法用户,速率限制也会拦截合法用户。

盲点2:基于SSL的攻击

基于SSL的DDoS攻击的攻击目标是安全在线服务。这些攻击容易发起,但是很难缓解,因此成为了攻击者的最爱。为了检测并缓解DDoS SSL攻击,CDN服务器必须首先利用客户的SSL密钥解密流量。如果客户不愿意向CDN提供商提供SSL密钥,SSL攻击流量就会重定向至客户的源服务器,使得客户容易受到SSL攻击侵扰。击中客户源服务器的SSL攻击可以轻易击垮安全在线服务。

在涉及到WAF技术的DDoS攻击中,CDN网络在可扩展性能的每秒SSL连接数方面还有一个明显劣势,并可能出现严重的延迟问题。

PCI和其它安全合规性也是一个问题,有时候会限制数据中心为客户提供服务的能力,这是因为并不是所有的CDN都具备跨所有数据中心的PCI合规性。这可能再次增加延迟并引发审计问题。

盲点3:针对非CDN服务的攻击

CDN服务通常只提供给HTTP/S和DNS应用。VoIP、邮件、FTP和专用协议等客户数据中心的其它在线服务和应用并不是由CDN提供的,因此,流向这些应用的流量并不会通过CDN发送。此外,许多Web应用也不是由CDN提供服务的。攻击者正在利用这一盲点发起不经过CDN发送的针对应用的攻击,并利用可能堵塞客户互联网管道大规模攻击客户源服务器。一旦互联网管道被堵塞,客户源服务器中的所有应用对合法用户均不可用,包括由CDN提供服务的应用。

盲点4:直接IP攻击

一旦攻击者发起了针对客户源Web服务器IP地址的直接攻击,即使是由CDN提供服务的应用也会遭受到攻击。这些攻击可能是UDP洪水或ICMP洪水等不经由CDN服务进行传送的网络洪水,将直接击中客户源服务器。此类大流量网络攻击可能堵塞互联网管道,关闭源服务器中的所有应用和在线服务,包括由CDN提供服务的应用或在线服务。通常,数据中心“防护”的错误配置可能导致应用直接容易受到攻击侵扰。

盲点5:Web应用攻击

针对Web应用威胁的CDN防护措施的防护水平有限,会将客户Web应用暴露在数据泄露、数据窃取和其它常见Web应用威胁之下。多数基于CDN的Web应用防火墙的功能也很有限,仅适用于一组基本的预定义特征码和规则。许多基于CDN的WAF不能阅读HTTP参数,不会创建主动安全规则,因此无法防御零日攻击和已知威胁。对于在WAF中为Web应用提供优化措施的企业而言,实现这一防护水准所需的成本也是相当高的。

除了之前已确认的重大盲点外,多数CDN安全服务都不够敏感,因此可能需要数小时的手动部署才能将安全配置覆盖到所有网络服务器。安全服务正在使用速率限制等过时的技术,该技术在上个攻击活动中已被证实效率较低,缺乏网络行文分析、质询-应答机制等功能。

宇众网络-黄禄添

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏铭毅天下

干货 | Elasticsearch7.X X-Pack基础安全实操详解

背景:大家知道elasticsearch早期版本安全部分收费(7.1 & 6.8 版本之前),实际中各个公司6.x,5.x,2.x,1.x都有在用,且非少数。

38010
来自专栏用户1082659的专栏

Java平台,标准版Oracle JDK 9中的新功能

Java Platform,Standard Edition 9是一个主要的功能版本。以下总结了Java SE 9和JDK 9的特点和增强功能,Oracle 对...

10370
来自专栏sringboot

SpringBoot整合mybatis一直失败差不到数据,解决方案

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。 ...

9030
来自专栏用户6625777的专栏

织梦Dedecms如何开启https安全协议?

现在越来越多的网站开始使用https协议,其实百度从2014年底就已经开始支持https了,并且据说在排名上,同权重的网站,开启https会优待提升排名。先不管...

7800
来自专栏eguid开源技术分享

nginx反向代理cas-server之2:生成证书,centOS下使用openssl生成CA证书(根证书、server证书、client证书)

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。 ...

10120
来自专栏LIN_ZONE

Centos7源码编译安装PHP7.2(生产环境)

注:本文转自详解Centos7源码编译安装 php7.2之生产篇,如需转载请注明出处https://www.cnblogs.com/zhuchenglin/p/...

13620
来自专栏用户1082659的专栏

kafka中文文档

之前的版本:0.7.x,0.8.0,0.8.1.X,0.8.2.X,0.9.0.X,0.10.0.X。

18610
来自专栏云服务器部署安装ssl证书

腾讯云服务器配置https 部署安装ssl证书

由于个人目前开发个人小程序应用,发现接口请求地址正式环境必须https请求,顺便就将自己的服务器安装ssl证书。以下简单介绍。

31900
来自专栏SSL证书以及https安全

SSL证书以及https对于网站安全的重要性

SSL证书是数字证书的一种,类似于驾驶证、护照和营业执照的电子副本。因为配置在服务器上,也称为SSL服务器证书。

12950
来自专栏即时通讯技术

网络编程懒人入门(十):一泡尿的时间,快速读懂QUIC协议

现时的互联网应用中,Web平台(准确地说是基于HTTP及其延伸协议的客户端/服务器应用)的数据传输都基于 TCP 协议。

11220

扫码关注云+社区

领取腾讯云代金券

年度创作总结 领取年终奖励