Мережа доставки контенту (CDN) — географічно розподілена мережа серверів, яка кешує й віддає вебвміст із точок поблизу користувачів, пришвидшуючи сайти й поглинаючи атаки.
Як працює CDN
Замість того щоб кожен відвідувач підключався до вихідного сервера сайту, DNS або anycast-маршрутизація спрямовує його до найближчого периферійного сервера (edge) CDN. Периферійний сервер віддає закешовані зображення, скрипти й сторінки та пересилає на вихідний сервер лише решту запитів, працюючи як масштабний зворотний проксі-сервер. Модель першою реалізувала заснована в 1998 році компанія Akamai; сьогодні Cloudflare, Fastly, Amazon CloudFront та інші обслуговують значну частку всього вебтрафіку.
Чому CDN важливі для безпеки
Сучасні CDN — це ще й платформи безпеки. Вони термінують TLS, фільтрують трафік міжмережевими екранами вебзастосунків, керують ботами й розподіляють об’ємні DDoS-атаки на величезні глобальні потужності, тож сайти витримують потоки, які обвалили б окремий дата-центр. Крім того, CDN приховують справжню IP-адресу вихідного сервера.
Концентрація несе власні ризики:
- Єдина точка відмови — у червні 2021 року помилка конфігурації у Fastly ненадовго поклала багато великих новинних і урядових сайтів по всьому світу.
- Витоки даних — помилка Cloudbleed у 2017 році змушувала периферійні сервери Cloudflare вставляти у вебсторінки фрагменти пам’яті, зокрема cookie й токени.
- Розкриття вихідного сервера — якщо зловмисники дізнаються IP-адресу вихідного сервера зі старих DNS-записів або заголовків листів, вони можуть оминути захист CDN.
- Зловживання — зловмисники розміщують фішингові сторінки й шкідливе ПЗ на довірених доменах CDN, а техніка domain fronting (MITRE ATT&CK T1090.004) ховає за ними трафік керування.
Рекомендації
- Дозволяти підключення до вихідного сервера лише з діапазонів адрес CDN або через автентифіковані тунелі.
- Увімкнути WAF, обмеження частоти запитів і захист від DDoS та регулярно переглядати їхні правила.
- Використовувати Subresource Integrity для сторонніх скриптів, що завантажуються з публічних CDN.
- Передбачити резервні варіанти для критичних сервісів на випадок збою CDN.
