2020 年，我們的生活和工作方式在短短幾天內(nèi)被徹底顛覆。隨著 COVID-19 開始在全球范圍內(nèi)蔓延，我們將工作帶回家，與同事、朋友和家人保持在線聯(lián)系成為關(guān)鍵的必需品。這為黑客造成破壞打開了大門。例如，根據(jù) Neustar 的數(shù)據(jù)，今年上半年全球的分布式拒絕服務(wù)(DDOS) 攻擊增長了 151%。

CrowdSec 是一個開源的安全引擎，它可以分析訪問者的行為，并提供適應(yīng)各種攻擊的響應(yīng)。它能解析來自各種來源的日志，并應(yīng)用啟發(fā)式方案來識別攻擊性行為，并防范大多數(shù)攻擊類別。并且，它與其它安裝的 CrowdSec 系統(tǒng)共享該情報。每次 IP 地址被阻止時，它都會通知整個用戶社區(qū)。這就創(chuàng)建了一個實時、協(xié)作的 IP 信譽數(shù)據(jù)庫，利用人群的力量使互聯(lián)網(wǎng)更加安全。

CrowdSec 如何工作：案例研究

Sorf Networks 是一家總部位于土耳其的技術(shù)公司，為客戶提供高配置的托管服務(wù)器和 DDoS 防護解決方案，它提供了一個 CrowdSec 工作的例子。Sorf 的一個客戶每天都會遇到來自 1 萬多臺機器僵尸網(wǎng)絡(luò)的 DDoS 攻擊，并努力尋找一種能夠滿足技術(shù)要求的解決方案來及時處理這些攻擊。

雖然客戶采取了一般的預(yù)防措施來緩解這些攻擊，比如引入 JavaScript(JS)挑戰(zhàn)challenges、限速等，但這些措施在整個攻擊面并不可行。一些 URL 需要被非?；镜能浖褂?，而這些軟件不支持 JS 挑戰(zhàn)。黑客就是黑客，這正是他們每天的目標：鏈條上最薄弱的環(huán)節(jié)。

Sorf Networks 首先使用 Fail2ban(這啟發(fā)了 CrowdSec)為其客戶建立了一個 DDoS 緩解策略。它在一定程度上幫助了客戶，但它太慢了。它需要 50 分鐘來處理日志和處理 7000 到 10000 臺機器的 DDoS 攻擊。這使得它在這種情況下沒有效果。另外，因為它沒有禁止 IP，日志會持續(xù)堆積，它需要每秒處理幾千條日志，這是不可能的。

在使用租用的僵尸網(wǎng)絡(luò)進行的 DDoS 測試中，一次攻擊可以高達每秒 6700 個左右的請求，這些請求來自 8600 個獨立 IP。這是對一臺服務(wù)器流量的捕捉：

Server traffic

雖然 CrowdSec 技術(shù)可以應(yīng)對巨大的攻擊，但其默認設(shè)置每秒只能處理約 1000 個端點。Sorf 需要一個量身定做的配置來處理單臺機器上這么多的流量。

Sorf 的團隊對 CrowdSec 的配置進行了修改，以顯著提高其吞吐量來處理日志。首先，它去掉了高消耗且非關(guān)鍵的富集enrichment解析器，例如 GeoIP 富集。它還將允許的 goroutine 的默認數(shù)量從一個增加到五個。之后，團隊又用 8000 到 9000 臺主機做了一次實測，平均每秒 6000 到 7000 個請求。這個方案是有代價的，因為 CrowdSec 在運行過程中吃掉了 600% 的 CPU，但其內(nèi)存消耗卻保持在 270MB 左右。

然而，結(jié)果卻顯示出明顯的成功：

• 在一分鐘內(nèi)，CrowdSec 能夠處理所有的日志
• 95% 的僵尸網(wǎng)絡(luò)被禁止，攻擊得到有效緩解
• 15 個域現(xiàn)在受到保護，不受 DDoS 攻擊

根據(jù) Sorf Networks 的總監(jiān) Cagdas Aydogdu 的說法，CrowdSec 的平臺使團隊“能夠在令人難以置信的短時間內(nèi)提供一個世界級的高效防御系統(tǒng)”。