Defaults.Exposed

Defaults.Exposed › Cách khắc phục › CDN / WAF & hosting

Cách khắc phục CDN / WAF & hosting

Hai đọc về cơ sở hạ tầng đằng sau website của bạn: liệu bạn có đứng sau tấm chắn bảo vệ (CDN với Web Application Firewall, như Cloudflare) lọc các cuộc tấn công và hấp thu các đợt lưu lượng tăng đột biến, và bản đồ về ai thực sự chạy DNS, website và email của bạn. Cả hai đều là thông tin trong tính điểm của chúng tôi — chúng không di chuyển điểm của bạn — nhưng chúng mô tả mức độ phơi lộ máy chủ gốc của bạn với tấn công và sự cố, và nhà cung cấp của bạn rối như thế nào. Tấm chắn ở phía trước và tập nhà cung cấp được chia hợp lý là những gì doanh nghiệp kiên cường trông như thế nào.

Điểm mấu chốt với doanh nghiệp bạn: Website không có tấm chắn phía trước chịu mọi cuộc tấn công và mọi đợt lưu lượng tăng đột biến trực tiếp trên máy chủ gốc — vì vậy lũ bot, đợt tăng ngày ra mắt, hoặc một cuộc tấn công tự động đơn lẻ có thể đưa bạn ngoại tuyến trong nhiều giờ, và phục hồi là việc của bạn. Đặt CDN/WAF phía trước (tầng miễn phí có sẵn) lọc phần lớn các cuộc tấn công tự động, hấp thu các đợt tăng, và tăng tốc trang trên toàn thế giới — thường là công việc buổi chiều cho người IT của bạn, không có chi phí giấy phép. Riêng biệt, nếu DNS, website và email của bạn đều sống với một nhà cung cấp, một sự cố hoặc vi phạm đơn lẻ ở đó hạ gục toàn bộ sự hiện diện trực tuyến của bạn cùng lúc; biết bản đồ nhà cung cấp là điều đầu tiên bạn cần trong sự cố. Không có kiểm tra nào thay đổi điểm của bạn — nhưng cả hai mô tả phơi lộ thật với downtime, mất doanh thu và phục hồi chậm đau đớn.

Điều này có thể gây thiệt hại gì

Tại sao điều này quan trọng. Cả hai kiểm tra ở đây là thông tin trong phương pháp của chúng tôi — chúng được đăng ký với không điểm và không bao giờ thay đổi điểm của bạn — vì chúng mô tả cơ sở hạ tầng của bạn thay vì kiểm tra kiểm soát bảo mật pass/fail. Chúng tôi hiển thị chúng vì chúng ánh xạ phơi lộ kinh doanh thật. Trang không có CDN/WAF chịu mọi cuộc tấn công và đợt lưu lượng tăng đột biến trên gốc trực tiếp, không có lọc và không có hấp thu tăng đột biến; thêm một cái (tầng miễn phí Cloudflare là đường phổ biến) là một trong những nâng cấp kiên cường đòn bẩy cao, chi phí thấp nhất mà doanh nghiệp nhỏ có thể thực hiện. Và bản đồ nhà cung cấp rõ ràng — biết DNS, web và email của bạn được chia hay xếp chồng trên một nhà cung cấp — là điều đầu tiên bạn cần khi có gì đó sai và sự khác biệt giữa sự cố có giới hạn và mất điện hoàn toàn.

Thực ra là gì, giải thích đơn giản

Mỗi website chạy trên máy chủ ở đâu đó. Câu hỏi trang này trả lời là: cái gì đứng giữa internet mở và máy chủ đó — và ai thực sự chạy các phần của sự hiện diện trực tuyến của bạn?

Có hai phần:

  1. CDN / WAF — tấm chắn ở phía trước. CDN (Content Delivery Network) là mạng toàn cầu ngồi phía trước trang của bạn, phục vụ nội dung nhanh cho khách truy cập bất cứ đâu, và hấp thu các đợt lưu lượng tăng đột biến. WAF (Web Application Firewall) là bộ lọc kiểm tra các yêu cầu đến và chặn các yêu cầu độc hại trước khi chúng tiếp cận máy chủ của bạn. Các dịch vụ phổ biến (Cloudflare, AWS CloudFront, Fastly, Akamai, Sucuri, và những dịch vụ khác) gói cả hai. Chúng tôi nhìn vào response của trang của bạn và báo cáo liệu chúng tôi có thể thấy tấm chắn ở phía trước không.

  2. Bản đồ Hosting / nhà cung cấp — ai chạy cơ sở hạ tầng của bạn. Chúng tôi đọc các bản ghi công khai nói ai xử lý DNS của bạn (thư mục biến tên miền thành địa chỉ), và ai xử lý email của bạn. Từ đó chúng tôi có thể nói DNS, website và email của bạn có được chia trên các nhà cung cấp (kiên cường) hay xếp chồng trên một (tiện lợi, nhưng điểm lỗi đơn).

Điều quan trọng nhất cần biết ngay từ đầu: trong tính điểm của chúng tôi, cả hai đều là thông tin. Chúng không ảnh hưởng điểm của bạn. Chúng tôi hiển thị chúng vì chúng mô tả mức độ phơi lộ của doanh nghiệp với downtime và tấn công — đây là câu hỏi khác nhau, và rất thực tế, so với điểm.

Điều này có thể khiến bạn mất gì

Đây không phải rủi ro trừu tượng — chúng là những cách hàng ngày mà thiết lập không được che chắn, rối rắm biến vấn đề nhỏ thành ngày tệ.

Thực ra nó là gì

CDN / WAF — lớp bảo vệ

Khi khách truy cập (hoặc kẻ tấn công) yêu cầu trang của bạn, yêu cầu có thể đi thẳng đến máy chủ gốc, hoặc nó có thể đi qua CDN/WAF trước. Nếu có tấm chắn ở phía trước, tấm chắn đó có thể:

Chúng tôi phát hiện tấm chắn bằng cách nhìn vào dấu vết mà các dịch vụ này để lại trong response header của trang — ví dụ header cf-ray (Cloudflare), x-amz-cf-id (Amazon CloudFront), x-served-by (Fastly), x-akamai-transformed (Akamai), hoặc x-sucuri-id (Sucuri). Chúng tôi cũng đọc header Server để xác định máy chủ web cơ bản của bạn, và gắn cờ bất kỳ header X-Powered-By nào đang chia sẻ quá mức.

“Tốt” trông như thế nào: CDN/WAF được phát hiện phía trước gốc của bạn, và header Server không quảng cáo số phiên bản cụ thể.

Bản đồ Hosting / nhà cung cấp — phụ thuộc cơ sở hạ tầng của bạn

Tên miền của bạn lặng lẽ trỏ đến nhiều dịch vụ khác nhau:

Từ đây chúng tôi có thể thấy liệu các trách nhiệm này có được chia trên các nhà cung cấp (lỗi trong một không hạ gục những cái khác) hay xếp chồng trên một nhà cung cấp duy nhất (tiện lợi, nhưng một sự cố hoặc vi phạm hạ gục mọi thứ).

“Tốt” trông như thế nào: ít nhất, DNS được giữ bởi nhà cung cấp chuyên dụng, đáng tin thay vì được gói vào cùng tài khoản với mọi thứ khác — vì vậy thư mục tên miền của bạn không chia sẻ số phận với website và hộp thư của bạn.

Cách sửa (miễn phí, ~1 buổi chiều)

Chuyển cho người IT hoặc nhà phát triển web của bạn — bản sửa miễn phí. Đặt CDN/WAF phía trước trang không tốn gì trên các tầng miễn phí phổ biến, và ức chế phiên bản máy chủ của bạn là một cài đặt một dòng. Không có giấy phép cần mua. (Các tùy chọn trả phí ở đây chỉ theo dõi, theo dõi portfolio và kiểm toán — không bao giờ là bản sửa.) Quyết định duy nhất của chủ sở hữu là: có, đặt tấm chắn phía trước trang.

Vì cả hai kiểm tra đều là thông tin, không có gì ở đây được tính điểm — nhưng CDN/WAF là một trong những nâng cấp kiên cường giá trị cao nhất mà doanh nghiệp nhỏ có thể thực hiện, vì vậy đáng làm.

1. Đặt CDN/WAF phía trước trang của bạn

Đường phổ biến, miễn phí nhất là Cloudflare:

  1. Tạo tài khoản Cloudflare miễn phí và thêm tên miền của bạn.
  2. Cloudflare đọc bản ghi DNS hiện có của bạn; kiểm tra chúng được nhập đúng.
  3. Thay đổi nameserver của tên miền (tại registrar của bạn — nơi bạn mua tên miền) thành hai nameserver Cloudflare cung cấp. Đây là công tắc định tuyến lưu lượng qua Cloudflare.
  4. Đặt chế độ SSL/TLS thành Full (strict) để mã hóa vẫn end-to-end giữa khách truy cập → Cloudflare → gốc của bạn. (Tránh “Flexible,” để lại chân cuối không mã hóa.)
  5. CDN và WAF cơ bản hiện đang hoạt động. Bạn có thể điều chỉnh quy tắc WAF sau, nhưng mặc định đã lọc nhiều.

Đường khác, tùy thuộc vào stack của bạn:

Sau khi chuyển đổi, kiểm tra trang, xác nhận HTTPS hoạt động khắp nơi, và xem nó trong một ngày. Đừng aggressively cache các trang phải ở lại cá nhân hoặc live (khu vực đã đăng nhập, giỏ hàng, trang thanh toán).

2. Dừng quảng cáo phiên bản máy chủ của bạn

Dù bạn có thêm CDN hay không, ức chế phiên bản máy chủ của bạn quảng cáo — đó là thông tin miễn phí bạn đang trao cho kẻ tấn công.

Nginx:

server_tokens off;

Apache (trong cấu hình chính):

ServerTokens Prod
ServerSignature Off

Xóa header X-Powered-By chia sẻ quá mức (ví dụ từ PHP hoặc framework ứng dụng) ở cấp máy chủ hoặc CDN — trên Cloudflare bạn có thể xóa nó với quy tắc response-header transform.

3. Kiểm tra nhanh bản đồ nhà cung cấp (tùy chọn, ~10 phút)

Nhìn vào nơi DNS, website và email của bạn thực sự sống:

Ghi chú nền tảng

Các lỗi phổ biến

Ghi chú về điểm

Để hoàn toàn rõ ràng: không kiểm tra nào trong hai cái này ảnh hưởng điểm của bạn. Chúng được đăng ký trong phương pháp của chúng tôi là thông tin, với không điểm, và chúng tôi không bao giờ phạt bạn vì gốc không được che chắn hoặc thiết lập một nhà cung cấp. Chúng tôi báo cáo chúng vì chúng mô tả phơi lộ thật với downtime, tấn công và phục hồi sự cố chậm — và vì thêm CDN/WAF miễn phí là một trong những nâng cấp giá trị tốt nhất mà doanh nghiệp nhỏ có thể thực hiện. Nếu bạn không làm gì ở đây, điểm của bạn không thay đổi. Nếu bạn đặt tấm chắn phía trước trang và chia DNS ra, bạn đã làm cho doanh nghiệp kiên cường hơn có ý nghĩa miễn phí. Đó là cách đúng để đọc trang này: không phải số để bảo vệ, mà là nâng cấp kiên cường đáng thực hiện.

FAQ

Những cái này không ảnh hưởng điểm của tôi — vậy tại sao tôi nên quan tâm?

Vì điểm đo các kiểm soát bảo mật cụ thể (mã hóa, chống giả mạo email, header bảo mật), trong khi hai kiểm tra này mô tả khả năng kiên cường của bạn — mức độ phơi lộ của bạn với downtime và tấn công. Máy chủ bare không có tấm chắn vẫn có thể điểm cao trên các kiểm tra có điểm và vẫn bị đánh sập bởi lũ bot vào ngày ra mắt. Điểm và khả năng kiên cường là những câu hỏi khác nhau; trang này là về câu hỏi thứ hai. Thêm CDN/WAF là một trong những nâng cấp giá trị tốt nhất bạn có thể thực hiện, điểm hay không điểm.

Tôi không rành kỹ thuật — tôi thực sự cần làm gì?

Một quyết định và một chuyển giao. Quyết định: bạn có muốn tấm chắn bảo vệ (CDN/WAF) phía trước trang không? Với hầu như mọi doanh nghiệp câu trả lời là có, và đường phổ biến — tầng miễn phí Cloudflare — không tốn gì. Chuyển giao: cho phần 'Cách sửa' cho người quản lý website hoặc tên miền của bạn. Thiết lập CDN/WAF miễn phí thường là công việc buổi chiều và không có phí giấy phép. Bản sửa miễn phí; chỉ theo dõi và công cụ portfolio tùy chọn là trả phí.

Sự khác biệt giữa CDN và WAF là gì — tôi có cần cả hai không?

CDN (Content Delivery Network) là mạng máy chủ toàn cầu ngồi phía trước trang của bạn, phục vụ nội dung nhanh cho khách truy cập bất cứ đâu, và hấp thu các đợt lưu lượng tăng đột biến để tăng đột biến không nghiền nát gốc của bạn. WAF (Web Application Firewall) là lớp lọc kiểm tra các yêu cầu đến và chặn các yêu cầu độc hại — các nỗ lực injection, tấn công bot, các mẫu khai thác đã biết — trước khi chúng tiếp cận máy chủ của bạn. Tin tốt là các dịch vụ phổ biến gói cả hai: bật Cloudflare (hoặc tương tự) và bạn nhận CDN và WAF cơ bản cùng nhau. Vì vậy thực tế, đó là một thiết lập, hai lợi ích.

Tất cả dịch vụ của tôi với một nhà cung cấp có xấu không?

Đó là rủi ro tập trung, không phải tội lỗi. Sự tiện lợi là thật — một hóa đơn, một đăng nhập, một đường hỗ trợ. Nhưng sự đánh đổi là một sự cố hoặc một xâm phạm tài khoản có thể đưa DNS, website và email của bạn xuống cùng nhau, và để bạn không thể thậm chí giao tiếp về nó. Nhiều doanh nghiệp nhỏ chấp nhận điều này có ý thức. Điểm của kiểm tra là đơn giản làm cho phụ thuộc hiển thị để nó là quyết định, không phải bất ngờ. Cải tiến phổ biến, ít nỗ lực là chuyển DNS đến nhà cung cấp chuyên dụng (DNS Cloudflare miễn phí), vì vậy ít nhất thư mục tên miền của bạn không chia sẻ số phận với hosting.

Bạn phát hiện phần mềm và phiên bản máy chủ của chúng tôi — tại sao điều đó quan trọng?

Khi máy chủ của bạn quảng cáo chính xác phần mềm nó chạy và phiên bản nào (trong header 'Server' hoặc 'X-Powered-By'), nó trao cho kẻ tấn công lối tắt: họ có thể tra cứu các lỗ hổng đã biết cho chính xác phiên bản đó và nhắm thẳng vào chúng. Nó không làm bạn không an toàn một mình, nhưng đó là công bố thông tin không cần thiết — như để lại hãng và kiểu dáng khóa của bạn trên cửa trước. Ức chế phiên bản (một cài đặt máy chủ một dòng, miễn phí) là bước hardening nhỏ, hợp lý. Nó được bao gồm trong các bước sửa bên dưới.

Đặt CDN phía trước trang của tôi có làm hỏng gì hoặc làm chậm nó không?

Được thực hiện đúng, nó tăng tốc trang — đó là toàn bộ ý nghĩa của CDN. Những thứ chính cần làm đúng trong khi thiết lập là: đảm bảo HTTPS vẫn end-to-end (dùng chế độ 'Full (strict)' trên Cloudflare, không phải 'Flexible'), và đừng aggressively cache các trang cần cá nhân hóa hoặc live (bảng điều khiển đã đăng nhập, giỏ hàng). Các nhà cung cấp uy tín mặc định thành cài đặt hợp lý. Kiểm tra trang sau khi chuyển nameserver, xem nó trong một ngày, và bạn sẽ có trang nhanh hơn, được che chắn không có nhược điểm.