【爐邊對談】重點筆記回顧!Google Cloud x iKala Cloud 帶你聰明維運防 DDoS

《遊戲技術爐邊對談:聰明維運》於 4/21 圓滿結束。本文帶您回顧講者不藏私分享的雲端技術與維運方法!

第二場的《遊戲技術爐邊對談:聰明維運》在 4/21 晚上圓滿結束啦。這次對談聚焦在遊戲的營運、監控,觀眾也更踴躍地分享許多工作中面臨的問題,與講者切磋。這次,iKala Cloud 按照慣例同樣為讀者畫重點,帶您快速了解這次的爐邊對談上都談了些哪些雲端黑科技!

遊戲從初期的測試到上線營運,都仰賴維運團隊監控遊戲的穩定度。Google Cloud 客戶工程師 Neo 就從營運與資安角度切入,與聽眾分享維運的幾大關注重點。

遊戲爐邊對談二:聰明維運

營運跨國遊戲,您需要的是⋯

要營運一款跨國遊戲絕非易事,所幸 Google Cloud 的骨幹網路遍佈全球;全球 144 個網路邊緣 POP (Edge Point of Presence) 讓玩家流量更快地接入 GCP 網路,以擁有更優秀的網路品質。當然,Google Cloud 台灣資料中心的優勢也讓眾多營運台灣、港澳遊戲的發行商,能實質提升玩家體驗。

Neo 以 Google 的 Global Load Balancer 與 VPC 的架構為例,說明要搭建一個全球性的網路架構,其實並不如想象中困難。舉凡 VPC 的 Subnet 設置、Shared VPC 共用不同專案間甚至地端的資源、或是 Global Load Balancer 的分流機制,都能讓業者用彈性、混合的方式,打造跨國遊戲。

這些超實用工具,幫您提升維運效率

提到網路,業者也能使用 Google Network Intelligence Center 中的 Network Topology 來檢視不同區域的流量分佈狀況、延遲、Ingress、Egress 流量等資訊。

Network Intelligence Center - Network Topology 示意圖
Network Intelligence Center – Network Topology 示意圖

另外,業者可利用 Performance Dashboard 更清楚地看到跨國連線狀況,近一步定義網路連線問題。而維運團隊設定的各種防火牆規則,哪些有真發揮功效,在 Cloud Monitoring 中也有 Firewall Runtime Metrics 可以查詢。

在資料面,除了可以將資料利用 BigQuery 即時分析外,Google Cloud 也提供 Data Loss Prevention (DLP) 服務掃描 BigQuery 或 Google Cloud Storage 中的資料是否隱含個資並進行遮罩。

大規模串流資料、log 資料怎麼處理?點此預約第三場對談:破框分析

當然,部署一款跨國遊戲在安全方面有諸多挑戰、其中更有許多資安架構細節需要思考。接下來,本文將聚焦遊戲業常見的惡意流量攻擊與防禦。

面對惡意攻擊時,雲端如何防禦?

惡意流量攻擊是怎麼發生的?常見的 DDoS(分散式阻斷服務攻擊) 會利用大量的流量請求癱瘓遊戲伺服器,使得一般玩家無法連進遊戲服務。

Google 官方公開的資訊顯示,早在 2015 年他們就收到高達 2.5 Tbps 的 DDoS 攻擊,而這個數字更在近年呈現指數型倍增。可以想像,一場大規模的 DDoS 攻擊就彷彿同時要求觀看 50 到 60 萬部 YouTube 影片一樣驚人。有鑑於此,Google 針對不同 Layer 都具備相應的 DDoS 抵禦解決方案。包括上述的全球網路、頻寬。

Google 如何抵擋 Layer 3、Layer 4 攻擊?

Google Cloud 認證講師暨 iKala Cloud 資深客戶工程師 Sasa 分享,其實 Google Cloud 提供的 DDoS 解決方案能同時應用至地端或其他像 AWS、Azure 等環境。只要這些環境有對外 IP,就都能善用 Google 的網路來保護您的服務。

針對 Layer 3 到 Layer 4,Google 的 Global Load Balancer 能在邊緣端 (Edge) 就做到防護。Global Load Balancer 提供 Anycast IP 以及分流方式,在前端抵擋試圖連到遊戲伺服器的 TCP/UDP 流量。而這些 Load Balancer 也會利用 AI 運算判定流量惡意與否。團隊若要使用 Load Balancer 抵擋攻擊,應使用 Proxy-based 的 Load Balancer。有興趣的讀者,可以在這份文件中了解如何選擇適合的 Load Balancer。

Layer 7 應用層防禦:Cloud Armor

而在 Layer 7 應用層的攻擊,有時攻擊方並非單靠流量灌入,而是抓準應用程式的漏洞,竊取使用者資訊或達到攻擊目的。Google 打造的 Cloud Armor,就是專為解決 Layer 7 的攻擊而存在。Cloud Armor 為一項 WAF (Web Application Firewall),能夠依據各項例如:地理位置、IP、Request Header、Cookie 等條件,來設定要允許或排除過濾的流量,也能防範 OWASP 機構彙整的十大資安風險。

iKala Cloud 客戶工程師 Willie 練場示範幾項 Cloud Armor 規則設定。Cloud Armor 的規則是採用 Common Expressions Language 撰寫,完成規則設定後,這些規則就會被自動部署,使用者無需做太多的底層設置。常見的規則條件如下:

  • IP 白名單 / 黑名單
  • 地理位置存取控管
  • pre-configured rules(阻擋如 XSS、SQL injection 等攻擊)
  • 其他自訂規則(阻擋如 zero-day attack 攻擊)

設置完畢後,搭配 Cloud Monitoring 或 Cloud Logging 使用,維運人員得以即時監看各項指標。例如維運人員在 Cloud Armor 設的規則被觸發的情況、流量被拒絕的數量,都能在 Cloud Monitoring 中查看,藉以分析攻擊者的模式,而若希望針對 JSON Log 做 Rate Limiting 的處理或分析也能在 Cloud Logging 完成。

Cloud Armor 畫面示意圖

簡而言之,您只需要:設置條件、選擇要執行的動作(允許或排除)、定義優先級,就能輕鬆將這些規則發布至正式環境中。

另外,像是將對外 IP 減少、採用最小權限原則、使用 Subnet 或 VPC 將內外部流量分離、控管 API 的 Rate Limit、善用 CDN Cache Server 的優勢等,也都是最大程度降低惡意攻擊機會的必要措施。

想回看《爐邊對談二:聰明維運》完整影音內容,點此填寫表單

 

進階功能:GCP 上的資安還可以這樣玩

Security Command Center 能協助維運團隊綜觀全部資產,偵測並掃描各項雲端資源中的弱點。它能協助使用者管理像是:VM 數量變化、IAM 的變動等,也能偵測不當配置、合規性等問題。

順帶一提,上述介紹的 WAF 工具 Cloud Armor 也會將一些資料洞察在 SCC 當中呈現。例如:被您允許的/被拒絕的流量突然暴增,您可以再依據 SCC 提供的這類洞察,檢視是否應調整 Cloud Armor 的規則。

讀了這麼多,想聽講者完整分享?歡迎填寫表單,就能回看全程活動內容!


連絡「GCP 專門家」