负载均衡(Server Load Balancer)是将访问流量根据转发策略分发到后端多台云服务器(ECS实例)的流量分发控制服务。负载均衡扩展了应用的服务能力,增强了应用的可用性。
负载均衡通过设置虚拟服务地址,将添加的ECS实例虚拟成一个高性能、高可用的应用服务池,并根据转发规则,将来自客户端的请求分发给云服务器池中的ECS实例。
负载均衡默认检查云服务器池中的ECS实例的健康状态,自动隔离异常状态的ECS实例,消除了单台ECS实例的单点故障,提高了应用的整体服务能力。此外,负载均衡还具备抗DDoS攻击的能力,增强了应用服务的防护能力。
关于负载均衡更加详细的内容:
(课程主要介绍负载均衡的相关技术以及阿里云负载均衡产品的使用方法)
负载均衡由以下三个部分组成:
一个负载均衡实例是一个运行的负载均衡服务,用来接收流量并将其分配给后端服务器。要使用服负载均衡服务,您必须创建一个负载均衡实例,并至少添加一个监听和两台ECS实例。
监听用来检查客户端请求并将请求转发给后端服务器。监听也会对后端服务器进行健康检查。
一组接收前端请求的ECS实例。您可以单独添加ECS实例到服务器池,也可以通过虚拟服务器组或主备服务器组来批量添加和管理。
如下图所示,来自客户端的请求经过负载均衡实例后,监听会将请求根据配置的监听规则分发给后端添加的ECS实例处理。
采用全冗余设计,无单点,支持同城容灾。搭配DNS可实现跨地域容灾,可用性高达99.95%。
根据应用负载进行弹性扩容,在流量波动情况下不中断对外服务。
与传统硬件负载均衡系统高投入相比,成本可下降60%。
阿里云对开源四层负载均衡LVS的管理软件Keepalived进行了全面优化,使得基于LVS的四层负载均衡具备接近于实时防御的能力。结合云盾,可提供5G以下的防DDOS攻击能力。
采用Tengine作为负载均衡基础模块的七层负载均衡具备多维度的CC攻击防御能力。
负载均衡采用集群部署,可实现会话同步,以消除服务器单点故障,提升冗余,保证服务的稳定性。阿里云当前提供四层(TCP协议和UDP协议)和七层(HTTP和HTTPS协议)的负载均衡服务。
四层采用开源软件LVS(Linux Virtual Server)+ keepalived的方式实现负载均衡,并根据云计算需求对其进行了个性化定制。
七层采用Tengine实现负载均衡。Tengine是由淘宝网发起的Web服务器项目,它在Nginx的基础上,针对有大访问量的网站需求,添加了很多高级功能和特性。
如下图所示,各个地域的四层负载均衡实际上是由多台LVS机器部署成一个LVS集群来运行的。采用集群部署模式极大地保证了异常情况下负载均衡服务的可用性、稳定性与可扩展性。
LVS集群内的每台LVS都会进行会话,通过组播报文同步到该集群内的其它LVS机器上,从而实现LVS集群内各台机器间的会话同步。如下图所示,当客户端向服务端传输三个数据包后,在LVS1上建立的会话A开始同步到其它LVS机器上。图中实线表示现有的连接,图中虚线表示当LVS1出现故障或进行维护时,这部分流量会走到一台可以正常运行的机器LVS2上。因而负载均衡集群支持热升级,并且在机器故障和集群维护时最大程度对用户透明,不影响用户业务。
注意:对于连接未建立(三次握手未完成),或者已建立连接但未触发会话同步机制,热升级不保证连接不中断,需要依靠客户端重新发起连接。
负载均衡主要应用于以下场景中:
场景一:应用于高访问量的业务
如果您的应用访问量很高,您可以通过配置监听规则将流量分发到不同的ECS实例上。此外,您可以使用会话保持功能将同一客户端的请求转发到同一台后端ECS,提高访问效率。
您可以根据业务发展的需要,通过随时添加和移除ECS实例来扩展应用系统的服务能力,适用于各种Web服务器和App服务器。
您可以在负载均衡实例下添加多台ECS实例。当其中一部分ECS实例发生故障后,负载均衡会自动屏蔽故障的ECS实例,将请求分发给正常运行的ECS实例,保证应用系统仍能正常工作。
场景四:同城容灾 (多可用区容灾)
为了提供更加稳定可靠的负载均衡服务,阿里云负载均衡已在各地域部署了多可用区以实现同地域容灾。当主可用区出现机房故障或不可用时,负载均衡仍然有能力在非常短的时间内(大约30s中断)切换到另外一个备可用区恢复服务能力;当主可用区恢复时,负载均衡同样会自动切换到主可用区提供服务。
使用负载均衡时,您可以将负载均衡实例部署在支持多可用区的地域以实现同城容灾。此外,建议您结合自身的应用需要,综合考虑后端服务器的部署。如果您的每个可用区均至少添加了一台ECS实例,那么此种部署模式下的负载均衡服务的效率是最高的。
如下图所示,在负载均衡实例下绑定不同可用区的ECS实例。正常情况下,用户访问流量将转发至主可用区内的ECS实例;当可用区A发生故障时,用户访问流量将转发至备可用区内的ECS实例。此种部署既可以避免因为单个可用区的故障而导致对外服务的不可用,也可以通过不同产品间可用区的选择来降低延迟。
如果您采取如下图所示的部署方案,即在负载均衡实例的主可用区下绑定多台ECS实例,而在备可用区没有任何ECS实例。当主可用区发生故障时会造成业务中断,因为备可用区没有ECS实例来接收请求。这样的部署方式很明显是以牺牲高可用性为代价来获取低延时。
您可以在不同地域下部署负载均衡实例,并分别挂载相应地域内不同可用区的ECS。上层利用云解析做智能DNS,将域名解析到不同地域的负载均衡实例服务地址下,可实现全局负载均衡。当某个地域出现不可用时,暂停对应解析即可实现所有用户访问不受影响。
根据全球游戏和全球移动互联网行业第三方分析机构Newzoo的数据显示:2017年上半年,中国以275亿美元的游戏市场收入超过美国和日本,成为全球榜首。
游戏行业的快速发展、高额的攻击利润、日趋激烈的行业竞争,让中国游戏行业的进军者们,每天都面临业务和安全的双重挑战。
游戏行业一直是竞争、攻击最为复杂的一个江湖。 曾经多少充满激情的创业团队、玩法极具特色的游戏产品,被互联网攻击的问题扼杀在摇篮里;又有多少运营出色的游戏产品,因为遭受DDoS攻击,而一蹶不振。
阿里云安全发布的2017年上半年的游戏行业DDoS攻击态势报告中指出:2017年1月至2017年6月,游戏行业大于300G以上的攻击超过1800次,攻击最大峰值为608G;游戏公司每月平均被攻击次数高达800余次。
目前,游戏行业因DDoS攻击引发的危害主要集中在以下几点:
为什么游戏行业是DDoS攻击的重灾区?
据统计表明,超过50%的DDoS和CC攻击,都在针对游戏行业。游戏行业成为攻击的重灾区,主要有以下几点原因:
随着攻击方的手法日趋复杂、攻击点的日趋增多,静态防护策略已无法达到较好的效果,从而加剧了这种不平衡。
一款游戏从出生到消亡,大多只有半年的时间,如果抗不过一次大的攻击,很可能就死在半路上。黑客也是瞄中了这一点,认定只要发起攻击,游戏公司一定会给保护费。
因此如果受到DDoS攻击,很容易会造成大量的玩家流失。在被攻击的2-3天后,玩家数量从几万人掉到几百人的事例屡见不鲜。
游戏行业的DDoS攻击类型
攻击者与服务器频繁建立TCP连接,占用服务端的连接资源,有的会断开、有的则一直保持。空连接攻击就好比您开了一家饭馆,黑帮势力总是去排队,但是并不消费,而此时正常的客人也会无法进去消费。
攻击者采用UDP报文攻击服务器的游戏端口,影响正常玩家的速度。用饭馆的例子,即流量型攻击相当于黑帮势力直接把饭馆的门给堵了。
攻击者攻击服务器的认证页面、登录页面、游戏论坛等。还是用饭馆的例子,CC攻击相当于,坏人霸占收银台结账、霸占服务员点菜,导致正常的客人无法享受到服务。
模拟游戏登录和创建角色过程,造成服务器人满为患,影响正常玩家。
针对对战类游戏,攻击对方玩家的网络使其游戏掉线或者速度慢。
攻击游戏服务器的网关,导致游戏运行缓慢。
频繁的攻击服务器,发送垃圾报文,造成服务器忙于解码垃圾数据。
一旦出现若干天的业务中断,将直接导致前期的投入化为乌有。
游戏行业玩家多、数据库和带宽消耗大、基础设施资源准备时间长,而安全需求往往没有被游戏公司优先考虑。
网关、带宽、数据库、计费系统都可能成为游戏行业攻击的突破口,相关的存储系统、域名DNS系统、CDN系统等也会遭受攻击。
难以使用同一套防御模型去识别攻击并加以防护,许多游戏服务器多用加密私有协议,难以用通用的挑战机制进行验证。
业务不能中断,成为DDoS攻击容易奏效的理由。
DDoS攻击成为打倒竞争对手的工具。
如何判断已遭受DDoS攻击?
假定已排除线路和硬件故障的情况下,突然发现连接服务器困难、正在游戏的用户掉线等现象,则说明您很有可能是遭受了DDoS攻击。
目前,游戏行业的IT基础设施一般有 2 种部署模式:一种是采用云计算或者托管IDC模式,另外一种是自行部署网络专线。无论是前者还是后者接入,正常情况下,游戏用户都可以自由流畅地进入服务器并进行游戏娱乐。因此,如果突然出现以下几种现象,可以基本判断是被攻击状态:
DDoS攻击缓解最佳实践
目前,有效缓解DDoS攻击的方法可分为 3 大类:
您可根据自己的预算和遭受攻击的严重程度,来决定采用哪些安全措施。
在预算有限的情况下,建议您优先从自身架构的优化和服务器加固上下功夫,减缓DDoS攻击造成的影响。
通过智能解析的方式优化DNS解析,有效避免DNS流量攻击产生的风险。同时,建议您托管多家DNS服务商。
典型的DNS交换信息是由请求信息组成的。DNS解析器会将用户的请求信息发送至DNS服务器中,在DNS服务器对查询请求进行处理之后,服务器会将响应信息返回给DNS解析器。
但值得注意的是,响应信息是不会主动发送的。服务器在没有接收到查询请求之前,就已经生成了对应的响应信息,这些回应就应被丢弃。
即便是在数据包丢失的情况下,任何合法的DNS客户端都不会在较短的时间间隔内向同一DNS服务器发送相同的DNS查询请求。如果从相同IP地址发送至同一目标地址的相同查询请求发送频率过高,这些请求数据包可被丢弃。
如果DNS服务器已经将响应信息成功发送了,应该禁止服务器在较短的时间间隔内对相同的查询请求信息进行响应。
对于一个合法的DNS客户端,如果已经接收到了响应信息,就不会再次发送相同的查询请求。每一个响应信息都应进行缓存处理直到TTL过期。当DNS服务器遭遇大量查询请求时,可以屏蔽掉不需要的数据包。
通常情况下,攻击者会利用脚本对目标进行分布式拒绝服务攻击(DDoS攻击),而且这些脚本通常是有漏洞的。因此,在服务器中部署简单的匿名检测机制,在某种程度上可以限制传入服务器的数据包数量。
这类请求信息很可能是由伪造的代理服务器所发送的,或是由于客户端配置错误或者是攻击流量。无论是哪一种情况,都应该直接丢弃这类数据包。
非泛洪攻击 (non-flood) 时段,可以创建一个白名单,添加允许服务器处理的合法请求信息。白名单可以屏蔽掉非法的查询请求信息以及此前从未见过的数据包。
这种方法能够有效地保护服务器不受泛洪攻击的威胁,也能保证合法的域名服务器只对合法的DNS查询请求进行处理和响应。
伪造是DNS攻击中常用的一种技术。如果设备可以启动客户端验证信任状,便可以用于从伪造泛洪数据中筛选出非泛洪数据包。
如果某一查询请求对应的响应信息已经存在于服务器的DNS缓存之中,缓存可以直接对请求进行处理。这样可以有效地防止服务器因过载而发生宕机。
很多请求中包含了服务器不具有或不支持的信息,可以进行简单的阻断设置。例如,外部IP地址请求区域转换或碎片化数据包,直接将这类请求数据包丢弃。
托管DNS服务器的任何企业都有用户轨迹的限制,当攻击数据包被伪造,伪造请求来自世界各地的源地址。设置一个简单的过滤器可阻断不需要的地理位置的IP地址请求或只允许在地理位置白名单内的IP请求。
同时,也存在某些伪造的数据包可能来自与内部网络地址的情况,可以利用BCP38通过硬件过滤清除异常来源地址的请求。
通过部署负载均衡(SLB)服务器有效减缓CC攻击的影响。通过在SLB后端负载多台服务器的方式,对DDoS攻击中的CC攻击进行防护。
部署负载均衡方案后,不仅具有CC攻击防护的作用,也能将访问用户均衡分配到各个服务器上,减少单台服务器的负担,加快访问速度。
通过网络内部逻辑隔离,防止来自内网肉鸡的攻击。
通过服务器性能测试,评估正常业务环境下能承受的带宽和请求数,确保流量通道不止是日常的量,有一定的带宽余量可以有利于处理大规模攻击。
在服务器上进行安全加固,减少可被攻击的点,增大攻击方的攻击成本:
商用DDoS攻击解决方案
针对超大流量的攻击或者复杂的游戏CC攻击,可以考虑采用专业的DDoS解决方案。目前,通用的游戏行业安全解决方案做法是在IDC机房前端部署防火墙或者流量清洗的一些设备,或者采用大带宽的高防机房来清洗攻击。
当宽带资源充足时,此技术模式的确是防御游戏行业DDoS攻击的有效方式。不过带宽资源有时也会成为瓶颈:例如单点的IDC很容易被打满,对游戏公司本身的成本要求也比较高。
DDoS攻击解决方案——游戏盾
游戏盾是阿里云针对游戏行业面对的DDoS、CC攻击推出的具有针对性的网络安全解决方案,相较与高防IP,除了能针对大型DDoS攻击(T级别)进行有效防御外,还具备彻底解决游戏行业特有的TCP协议的CC攻击问题能力,防护成本更低,效果更好!
2017年3月29日,阿里云云盾在深圳云栖大会发布了游戏行业安全风控新模式:游戏盾。游戏盾在风险治理方式、算法技术上全面革新,帮助游戏行业用户用更低的成本缓解超大流量攻击和CC攻击,解决以往的攻防框架中资源不对等的问题。
与传统单点防御DDoS防御方案相比,游戏盾用数据和算法来实现智能调度,将正常玩家流量和黑客攻击流量快速分流至不同的节点,最大限度缓解大流量攻击;通过端到端加密,让模拟用户行为的小流量攻击也无法到达客户端。
同时,在传统防御中,黑客很容易锁定攻击目标IP,在攻击过程中受损非常小。而游戏盾的智能调度和识别,可让用户隐形,让黑客显形 —— 每一次攻击都会让黑客受损一次,攻击设备和肉鸡不再重复可用。颠覆以往DDoS攻防资源不对等的状况。
游戏盾从诞生之初到现在,经历了3次重大的技术变革。从初代的云层,到现在的游戏盾,无论是从技术架构还是从功能实现上,都发生了翻天覆地的变化。
而驱动这些变化的浅层因素,是攻防资源的不对等问题;深层因素则是对现有网络本身的路由规则和基础设施的深度思索。
简单来说,游戏盾通过风控模式调度流量来撬动攻防天平;而从本质来说,游戏盾更像是一个除了路由和DNS之外,能够再次改变流量走向的存在。
游戏盾的前身是云层项目。它诞生在2015年初的一次营救实验。
一家公司遭受黑客的反复攻击,传统的DDoS防御方法已全部败下阵来。在紧急情况下,公司向阿里云安全团队寻求合作,并提出可以尝试一种通过快速流量调度,来躲避黑客攻击的新方法。
当时,这种方法并没有在任何实战场景中被验证过。阿里云DDoS防护安全技术团队在摸着石头过河的情况下,与用户的技术团队一起合作,将这种新的防护方法付诸于实践,成功扛下了一次次攻击。
当时,黑客的攻击手法相对来说比较单一,找到目标IP地址,通过一波大流量(10~50GBps)攻击将IP打进黑洞。而黑客发动下一波攻击的准备时间大约需要10~15分钟。而云层通过秒级分布式IP的快速调度,压制了黑客的分钟级攻击跟随,赢得了这场竞赛的阶段性胜利。
接下来,云层模式在其它几场攻防实战中屡立战功。但与此同时,新形态的攻击方式也在不断地进化,云层尽管实现了秒级的IP调度速度,但要跟上黑客的嗅探和跟随,其算法和效率仍然需要进化。在这种背景下,游戏盾的时代来了!
一直以来,国内超过50%的DDoS和CC攻击,都是针对游戏行业。因此,游戏成了DDoS攻防最好的战场,也是调度算法的最佳训练场。
于是,阿里云安全团队决定将云层时代积累下来的技术经验,应用在游戏行业中,成为所有用户能够用得上、并且管用的风控模式。
在游戏盾诞生之前的很长一段时间,阿里云安全团队对游戏行业的攻防对抗模式反复分析,深入了解了游戏业务的注册特点、登录特点、玩家特点,并在此基础上重构了游戏盾的智能调度算法。
游戏盾继承了云层快速调度的能力,又通过对端信息的采集、和对网络通信等行为进行归一化的处理分析。基于云上的资源和特性,游戏盾得以对海量的端数据进行计算、处理和存储。相比线下环境,借助云计算平台在计算和数据处理上的优势,阿里云取得了实质性的突破——完成对每一个终端设备的画像,并最终沉淀为端威胁值这一新的调度因子。
游戏盾所有数据处理的核心是空中流量调度系统(AirTraffic Control ,ATC),它以深度机器学习(DL)和神经网络(LSTM)为认知基础,将恶意用户快速隔离在调度体系之外。
在游戏行业炮火重重的前线上,游戏盾完成了涅槃重生,并在最猛烈的攻击之下不断进行自我升级。同时,威胁识别和影响面控制代替调度成为了新的技术关键词。
精细化和分层而治:领先一小步
当然,这仍只是一个开始。攻击方也在逐步加重自己的兵力投入。想要领先黑客一小步,光靠数据和算法还不够,需要真正了解对方的攻击趋势和攻击手法。
在实战的磨砺中,游戏盾正式踏入精细化攻防对抗这一领域:NetGuard应运而生。借助前2个阶段所积累的AI建模分析能力,游戏盾向针对业务层的攻击发起挑战。
游戏盾通过串行学习特定业务数据特征,快速识别畸形和突发的异常流量,并在干路上进行阻截。与此同时,阿里云安全团队提出了由用户层、网络层、接入层和业务层4级联动的立体防护体系,让游戏盾帮助用户搭建最适合自己的安全架构。
游戏盾的立体防护体系的核心,在于分层而治。首先,大流量攻击依托网络层去解决;而技巧型CC攻击通过接入层去解决。立体防护体系可以达到突破带宽限制,控制攻击影响范围和时间,精准识别用户行为的目标。
从2015到2017,经过2年的攻防实战和技术打磨让游戏盾将一种新的安全风控模式,应用到攻防战场中,帮助游戏行业的用户去解决实质性的问题。
然而,从云层到游戏盾,只是阿里云安全团队撬动DDoS攻防天平的第一步。真正前进的方向,是构筑一张安全、可信、承载着“干净流量”的网络,并将这张网络延展到更广的边界。
游戏盾是阿里云DDoS高防IP产品系列中针对游戏行业的安全解决方案。游戏盾专为游戏行业定制,针对性解决游戏行业中复杂的DDoS攻击、游戏CC攻击等问题。
游戏盾由 2 大模块组成:
游戏盾如何防御DDoS攻击?
与普通的DDoS高防机房不同,游戏盾并不是通过海量的带宽硬抗攻击,而是通过分布式的抗D节点,将黑客的攻击进行有效的拆分和调度,使得攻击无法集中到某一个点上。同时基于SDK端数据、流量数据,可以通过动态的调度策略将黑客隔离!
游戏盾如何防御CC攻击?
一般来说,游戏行业的CC攻击跟网站的CC攻击不同。网站类的CC攻击主要是基于HTTP或者HTTPS协议,协议比较规范,相对容易进行数据分析和协议分析。但是游戏行业的协议大部分是私有的或者不常见的协议,因此对于CC攻击的防御,阿里云推出了专业的云上防御游戏安全网关(原称NetGuard、简称NG)。
技术革新——智能调度算法拆分流量
DDoS攻防的本质,是资源的对抗。从网络、CDN、服务器到数据库,只要存在资源差的地方,就可以有DDoS攻击在发生。
从云层、弹性安全网络到现在的游戏盾,阿里云安全团队在与游戏行业用户并肩作战几年后,用数据和算法来改变了大流量攻击防御的模式。
今天,游戏盾在应对黑客攻击的时候,不仅是被动在防御,也具备主动的反击能力。有效识别哪个客户端是黑客、哪个客户端是好的用户,通过更加灵活的调度算法,让用户的正常流量和黑客的攻击流量不往一处走,扛住一次次超大型的DDoS攻击。
风控模式革新——从单点防御到分层治理
在游戏盾的演进过程中,阿里云安全团队成功平衡了 4 大资源不对等的难题:
分层而治,是解决这些问题的基础。所有资源的不对等,都是因为攻击方太容易找到目标,而防御方太容易成为目标。分层而治中的分,代表流量的拆分、业务的拆分和目标的拆分;让攻击者的成本和门槛增大,把用户成本控制到最低;层代表一种漏斗模型。
游戏盾改变了DDoS攻防只是拼带宽的传统概念,成为针对游戏行业用户的整体风控方案。在游戏盾的风控理论下,只要您解决好用户端的问题,就可以解决无限大的DDoS攻击,从而达到攻防成本的平衡。
与传统DDoS攻击解决方案对比
阿里云深度分析游戏安全问题,基于阿里巴巴集团海量攻防实战积累,为游戏运营量身打造最全面、最可信的阿里云游戏安全完整解决方案。
该解决方案具有以下特点:
本方案能够全面解决游戏行业安全风险,涉及的云产品具体如下:
除DDoS攻击之外,游戏行业另一大安全威胁就是欺诈作弊,包括:
然而,这些安全威胁会直接导致游戏公司耗费大量心血设计的游戏平衡遭到破坏,从而大大降低玩家体验、导致用户流失。因此,在游戏安全解决方案中,数据风控是必不可少的安全产品之一。
阿里云数据风控产品由阿里聚安全提供,凝聚了阿里巴巴集团多年业务风控经验,专业、实时对抗垃圾注册、刷库撞库、活动作弊、论坛灌水等严重威胁游戏业务安全的风险。在拦截恶意欺诈、作弊流量的同时,保障正常玩家体验顺畅无影响。
相较业内同类产品,阿里云的数据风控针对游戏行业具有以下优势:
依据历史大数据分析,数据风控可以达到高于于95%95%的风险识别率,并保持低于1%的风险误识率。
在游戏行业中,实行恶意欺诈作弊的拦截过程中,除了尽可能阻断恶意请求,更重要的是不能误拦截正常玩家的访问请求。因此,从业务安全角度来说,风险识别的精准度至关重要。
通过创新的验证技术,极大提高对恶意用户的拦截能力。在保证精准的风险识别率的前提下,尽可能多的拦截恶意用户请求,就是对绿色游戏环境最大的守护。同时,随着游戏行业的快速发展,新型的欺诈、作弊方式层出不穷,创新领先的验证技术是提升拦截能力的关键。
同时支持Web端和移动平台的风险防控。近些年,随着移动端游戏的兴起,移动游戏行业的竞争早已白热化,支持移动平台的业务风险防控能力甚至比Web端更为重要。
高于99.99%的可用性、毫秒级响应时间、每秒万级并发量,保障业务顺利进行。
对于游戏行业爆发式的流量涌入(游戏新上线、推广活动期间等),需要高可用、高性能的业务安全产品进行护航。
说明:在用户注册过程中应用数据风控后,垃圾账号比例显著下降,大幅提高垃圾账号注册团伙的欺诈成本。
在游戏账户登录过程中应用数据风控后,被盗账号数量显著下降,大幅降低玩家因恶意盗号而产生重大损失的可能性。
在游戏推广活动过程中应用数据风控后,恶意领用情况比例大幅下降,游戏公司花费的推广费用起到实质效果。
游戏公司的官方网站页面是游戏的门户,也是游戏公司推出活动的宣传窗口,同时大多游戏公司也会在网站中提供社区功能供玩家进行交流。因此,对于游戏官方网站的安全防护也必不可少。另外,部分游戏直接以网页的形式(页游)供玩家进行游玩,对于这种情况,Web应用的防护更是重中之重。
Web应用防火墙(WAF)基于云安全大数据能力,防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击,并过滤海量恶意CC攻击,避免您的资产数据泄露,保障网站或App业务的安全与可用性。
相较业内同类产品,阿里云的 Web 应用防火墙具有以下优势:
游戏行业另一大安全威胁是破解、外挂,包括客户端破解和伪造数据包等风险。
破解客户端游戏程序,免费获得游戏内购,改变游戏设定。
通过破解游戏和数据包结构,逆向出或直接调用发包函数,改变正常游戏数据,实现超出正常玩家的水平和能力。
完全脱离游戏客户端程序,但可以与游戏服务器自由通讯的外挂程序。此类外挂对游戏的危害最大,严重破坏游戏平衡,缩短游戏运营周期。无论是手游还是端游在被破解之后都可以做外挂,还能够通过破解协议报文模拟数据并发送到服务器上去,消耗游戏的资源使得正常玩家也无法进行游戏。
阿里云移动安全(Mobile Security)基于阿里聚安全的核心技术,为游戏移动端应用(App)提供全生命周期的安全服务,准确发现游戏移动端应用的安全漏洞、恶意代码、仿冒应用等安全风险;通过应用加固和安全组件等功能,大幅提高应用反逆向、反破解能力。移动安全包含以下功能:
依托阿里巴巴集团专利安全技术,提供深度静态检测、和业界先进的动态分析技术,查找代码后门及应用漏洞。
对全网应用渠道进行持续监测,可以收集仿冒应用,二次打包等各种威胁,为用户提供仿冒应用数,装机量,资产损失等数据。
安全组件SDK提供的安全存储、安全加密、安全签名、安全检测等功能,可有效抵御游戏外挂、二次打包等风险,保障移动平台应用完整性、执行环境可信、数据机密性。
实时联动全网安全事件、最新互联网及应用安全问题,动态调整安全防护策略。
相较业内同类产品,阿里云的移动安全服务有如下优势:
自主研发的恶意代码扫描引擎是AV-Test历史上最年轻的满分冠军,漏洞扫描引擎领先业界同类竞品一代以上,覆盖95%以上的已知漏洞,仿冒监测引擎实现全网覆盖。
强大的漏洞扫描能力可以帮助游戏公司发现游戏移动客户端存在的安全漏洞,大幅降低恶意攻击者利用漏洞破解游戏客户端的可能性。
移动安全由应用加固和安全组件组成的内外结合的全方位安全防护技术应用于支付宝和淘宝等超级应用上,稳定性强、兼容性好、体积小,对移动应用几乎没有影响。
通过对手游客户端进行应用加固,并添加安全组件的方式,增强手游客户端程序安全的健壮性,进一步降低被破解的风险。
移动安全拥有多位业界重大影响力的白帽子,如Xfocus创始人,dex2jar作者,Black Hat /RSA特约Speaker,具有非常雄厚的技术实力。
手游客户端的反破解是游戏公司与黑客之间的攻防战,开放于应用市场的移动客户端可能遭受各种技术手段的破解尝试,而雄厚的安全技术实力正是移动端应用安全的强力后盾。
所有服务都可以通过SaaS服务提供,方便企业用户能够简单快速接入,并可集成到自有系统中,实现自动化服务。
移动安全可以简单快速的接入手游客户端程序,将对游戏的开发、上线进度的影响降到最低,并且可以集成到游戏公司自有系统中,轻松完成移动应用的安全改造。
通过恶意代码扫描、漏洞扫描发现内在风险,通过应用加固、安全组件抵御外部攻击风险,通过仿冒检测快速掌握品牌风险。完整的风险管控流程,覆盖移动应用全生命周期的可能遇到的风险。
完整的全生命周期风险管控,帮助游戏公司在手游客户端应用的各个阶段实现安全加固,发现内在风险、抵御外部风险、掌握品牌风险。
具备App自主开发能力的游戏公司,通过移动安全对已上线的版本进行漏洞扫描和仿冒检测,修复线上漏洞,举报封杀仿冒应用来源。在后续的新版本开发中,在开发阶段就接入移动安全的安全组件,在测试阶段进行漏洞扫描和修复,并在上线前进行应用加固,从内到外进行安全增强。移动App新版本上线一段时间后,不定时进行仿冒检测,掌握仿冒应用情况。
对于委托第三方开发的游戏移动端App应用,游戏公司验收时无法及时发现App的安全问题,比如无意或有意使用了恶意代码,上线后可能蒙受巨大损失。因此,需要对已上线的应用进行漏洞扫描、仿冒检测、恶意代码扫描,及时排查修复线上问题。在后续的新版本的验收时,使用漏洞扫描和恶意代码扫描,及时发现安全隐患。
加固移动客户端的安全之后,您更需要全面加固服务器端的安全能力,保障游戏业务的安全稳定。服务器经常面临着各类漏洞、木马后门、异常登录等威胁,而任何一项风险事件被恶意攻击者利用都意味着用户信息、账号数据、游戏数据等可能泄露或被恶意篡改。
安骑士是一款服务器主机安全管理产品。通过安装在服务器上的轻量级Agent插件与云端防护中心的规则联动,实时感知和防御入侵事件,保障服务器的安全。
相较业内同类产品,阿里云的安骑士具有以下优势:
随着游戏的内容更新、新版本的发布,承载着游戏运行的这些服务器上经常会进行各类操作。同时,游戏服务器的运维也需要大批人员进行操作,一旦某个操作出现失误,往往带来巨大的损失,比如紧急停服维护在各类游戏运营过程中都司空见惯。因此,对于游戏服务器上的操作需要慎之又慎,并且需要完善的服务器审计进行监控和记录,便于第一时间发现误操作,并对经常出现的失败操作进行分析改进。
堡垒机主要是基于协议正向代理实现,对SSH、Windows远程桌面、SFTP等常见运维协议的数据流进行全程记录,再通过协议数据流重组的方式进行录像回放,达到运维审计的目的。
相较业内同类产品,阿里云的堡垒机具有以下优势:
满足《萨班斯法案》、金融监管、《等级保护》的审计要求。
管理界面简洁易用,可快捷同步当前云账号中的ECS列表。
支持SSH、Windows远程桌面、SFTP等常见运维协议。
追溯运维操作的故障,在线回放操作记录。
游戏行业遭受的恶意攻击往往错综复杂,在被动采取各种安全防护措施之后,如何能够主动发现、预知攻击,才是更为领先的防御理念。不再仅仅是头痛医头脚痛医脚的传统安全解决思路,而将整个安全数据进行整体分析,从更全面的角度看待自己当前面临的安全威胁,并预知可能发生的安全攻击。
态势感知是一个大数据安全分析平台,能对您云上所有资产进行安全告警,并用机器学习来发现潜在的入侵和高隐蔽性攻击,回溯攻击历史,预测即将发生的安全事件。态势感知收集企业 20 种原始日志和网络空间威胁情报,利用机器学习还原已发生的攻击,并预测未发生的攻击,扩大安全可见性,并集中管理云上资产安全事件。
不同的游戏环境、不同的游戏运营方式可能存在着不同的漏洞,借助专家群众的力量去发现自身全链路的安全问题,才是互联网思路的解决方式。
先知平台提供私密的安全众测服务,可帮助游戏公司全面发现业务漏洞及风险,按效果付费。加入先知平台后,可自主发布奖励计划,激励先知平台的安全专家来测试和提交企业自身网站或业务系统的漏洞,保证安全风险可以快速进行响应和修复,防止造成更大的业务损失。相比传统渗透测试,先知具有测试效率高、测试人员多、测试效果好、性价比高等优势。
相对于其他众测平台,先知平台有如下优势:
游戏公司 A,其主要游戏业务是地方棋牌游戏,刚开始时发展非常迅速,但是却在2016年5月和6月份时被DDoS攻击打击得非常惨烈,使得其业务基本上无法开展并且接近倒闭边缘。
这时,阿里云向该游戏公司提供了游戏行业安全解决方案,并且将安全解决方案应用到了其整个游戏攻防体系中去。在4月份到11月份期间,经历了 2 次大型的攻击对抗。
第一次对抗发生在安全解决方案部署完成之后,黑客很快发现仅靠大流量攻击完全打不下来,于是黑客开始破解游戏客户端,将游戏客户端破解之后就发现了游戏客户端中对于流量调度的原理,这样就能够把所有的 IP 防护节点全部找出来,之后对于找出的节点进行逐个打死。阿里云在第一轮对抗中做的就是将应用进行加密,并将逻辑进行混淆,这样就使得黑客难以在同一时间发现更多的节点的IP地址,而最多一次只能获取一个节点的IP。
在第二轮攻防中,黑客发现使用大流量攻击无法打下来,但是使用CC攻击却非常有效,于是他们使用CC攻击的手法去攻击登录服务,当登录服务受到攻击时就发现防御能力急剧下降,即便其他的游戏节点都正常也是无济于事,不能起到任何作用,所以阿里云此时推出了游戏安全网关的CC防护能力,使用游戏安全网关的CC防护之后即便是 500 万QPS也能够轻松防御。
2016年2月,游戏公司B在一个月的时间内连续被攻击了多次,并且攻击流量超过了 400 G,而这个流量在2016年初时是非常高的,公司B同样也快被打挂了,此时阿里云帮助其启用了高防+游戏盾的安全解决方案,同时帮助该公司实现了态势感知和溯源,也帮其找到了在背后进行攻击的黑客并通过游戏公司报警,阿里云提供证据最后将犯罪嫌疑人捉拿归案,这也是反击能力的体现。
很多游戏公司被攻击之后往往是打不还手的,其实并不是因为游戏公司脾气好,而是往往通常情况下游戏公司并不知道到底谁在发起攻击,所以如果客户拥有了溯源的能力就可以找到在背后对自己发起攻击的那个人并将其绳之以法,同时也将会为自己的业务赢得一定时间的安全发展时机。
本文档从行业背景、DDoS攻击分析、常用缓解DDoS攻击方法、阿里云游戏盾DDoS攻击解决方案以及阿里云游戏安全整体解决方案等多个方面进行了阐述,旨在为游戏行业的客户提供全面的安全解决方案。
阿里云游戏行业DDoS攻击解决方案——游戏盾,是阿里云的人工智能技术与调度算法在安全行业中的成功实践。
随着攻防进程的推进,网络层和接入层逐步壮大,游戏盾的风控模式,会逐步延展到各个行业中,建立起一张安全、可信的网络。在这张网络中,传输着干净的流量,而攻击被前置到网络的边缘处。所有的端,在接入这张网络时,都会经过风险控制的识别,同时网内的风控系统,也让恶意攻击者无法访问到他锁定的资源。
未来,以资源为基础的DDoS防护时代终将被打破,推出对DDoS真正免疫的风控架构,而这不仅仅局限于游戏行业。
版权声明:文章内容来源于网络,版权归原作者所有,如有侵权请点击这里与我们联系,我们将及时删除。