Site Meter Como Funciona o Site Microsoft.com - Segurança na Microsoft - Site Home - TechNet Blogs

Segurança na Microsoft

Comentários e Análises sobre Segurança da Informação, por Fernando Cima

Como Funciona o Site Microsoft.com

Como Funciona o Site Microsoft.com

  • Comments 8
  • Likes

O portal Microsoft.com é o maior site corporativo da Internet e um dos maiores do mundo em acessos. Entre os seus mais de 120 Web sites individuais estão o site principal http://www.microsoft.com/ e o windowsupdate.microsoft.com, este último responsável por um tráfego médio variando de 30 a 100 Gigabytes por segundo (GB/sec), com picos após os lançamentos dos patches de segurança mensais.  No total são 120 GB/sec distribuídos em seis datacenters diferentes e nas redes de distribuição de conteúdo como a Akamai e a Savvis, usadas para distribuir o conteúdo estático.

Manter uma estrutura deste tamanho por si só já é um desafio, mas o Microsoft.com tem ainda alguns desafios adicionais. A Microsoft usa os sites do Microsoft.com para testar os softwares em beta, e por exemplo o site já está rodando o Windows Server 2008 Beta 3 com IIS 7 em todos os seus servidores. Isso é excelente para garantir a qualidade dos produtos, mas você pode imaginar o desafio que é manter um software Beta em produção!

O maior desafio, no entanto, é garantir a segurança do site que é a face da Microsoft Corp. perante os seus clientes. O site é um dos alvos mais visados da Internet, e além das tentativas de invasão e defacing o site vive sobre ataque constante de negação de serviço distribuído (DDoS), 24 horas por dia x 365 dias por semana. Pode parecer loucura, mas em qualquer hora do dia em torno de 80-90% das requisições recebidas pelo site são proveniente de ataques, vindo por exemplo de worms como o MyDoom.

O resultado é a arquitetura mostrada nesta apresentação, feita pelo time de arquitetura e operação do site. Esta arquitetura sai do conceito básico de recuperação de desastre e tenta atingir resiliência - manter o serviço operacional e com a mesma qualidade de serviço, de forma automática, mesmo sob múltiplas formas de ataque. É uma estratégia de arquitetura diferente um tanto diferente dos sites "comuns", como vamos ver.

Arquitetura do site Microsoft.com

O diagrama acima mostra a arquitetura do site. De longe parece uma arquitetura comum, com a camada Web e os banco de dados em back-end, mas o Microsoft.com tem algumas diferenças interessantes:

Proteção contra ataques DDoS - o site utiliza appliances Cisco Guard para a proteção contra ataques de negação de serviço distribuído. Estes appliances funcionam analisando o tráfego e comparando com certos limites (thresholds) definidos para cada endereço IP de origem. Caso um IP exceda por exemplo um limite de conexões iniciadas (SYN) por segundo, ele é automaticamente bloqueado e as conexões filtradas. Estes appliances filtram em torno de 80 a 90% das requisições recebidas pelo site, todos gerados por ataques de negação de serviço.

Onde estão os firewalls? - Não estão. Isso mesmo, o Microsoft.com não utiliza firewalls. Existem somente ACLs definidas nos roteadores de borda, permitindo somente conexões nas portas 80 e 443 (HTTP e HTTPS). Os servidores Web tem duas interfaces de rede (dual-homed), uma externa que recebe as conexões da Internet, e uma outra interna que fala com a rede de back-end. A interface externa somente é escutada pelo serviço Web e está exposta diretamente na Internet. Nessas horas vale a pena ter um servidor Web como o IIS, sem nenhuma vulnerabilidade crítica em mais de quatro anos.

■ Alta Disponibilidade - O site utiliza uma combinação de balanceamento de carga por hardware e usando o Network Load Balancing (NLB) para os seus 80 servidores Web. Os bancos de dados são replicados via Log Shipping e Mirroring (nada de clustering), e tem servidores distintos para as bases somentes de leitura e para as bases onde é feito também escrita. As bases de dados usam NLB para balancear a carga entre os vários servidores.

■ 64-bits - A arquitetura x64 traz enormes benefícios para sites Web de grande movimento. O Windows x64 quebra o limite de memória não-paginada de 256MB existente no Windows 32-bits e isso faz uma grande diferença quando se tem que manter muitas conexões TCP simultâneas dentro do kernel. Se você for rodar um site Web, ou um controlador de domínio, ou um servidor de terminais, não pense duas vezes antes de utilizar a versão 64-bits do Windows.

■ Content Delivery Network (CDN) - A maior parte do tráfego de um site (em volume) é causado por conteúdo estático como imagens, vídeos e arquivos. Apenas uma pequena parte consiste do HTML gerado pelas aplicações do site. As redes de distribuição de conteúdo utilizam esse fato para armazenar as imagens, vídeos e arquivos fora do site principal, em servidores auxiliares distribuídos pelo mundo. Isso faz com que o acesso do usuário seja mais rápido e mais eficiente, e a banda necessária nos datacenters da Microsoft seja menor.

Com isso ao acessar o site da Microsoft você realmente se conecta diretamente sites do Microsoft.com, que armazena todas as páginas e aplicações, mas as imagens e outros objetos estáticos vêm de um site da Akamai localizado no Brasil. Para entender melhor como funciona o CDN da Akamai, veja este paper.

■ Monitoração - Além da monitoração de serviço feita pelo Microsoft Operations Manager, o site utiliza sistema de detecção de intrusão monitorando os servidores Web e o tráfego na rede back-end.

A tecnologia no entanto é apenas um componente da solução. Tão ou mais importante é uma extrema disciplina na operação e o trabalho de gente altamente qualificada. O resultado é um índice de 99.87% de disponibilidade no ano de 2006 mesmo em condições bastante adversas. 

Para mais informações, você pode assistir um Webcast apresentando a a arquitetura do site, e vale a pena ler também blog do time do Microsoft.com.

 

Comments
  • PingBack from http://blog.keep-learning.com/2007/07/21/como-funciona-o-site-microsoftcom/

  • Cima,

    Leio seus feeds há algum tempo, e gosto muito do seu material.. Porém, neste post, há uma informação errada. As conexões não são nos servidores da Microsoft e sim na Akamai. A Akamai faz a busca na microsoft pelo conteúdo, caso ele não esteja cacheado.

    Se vc realizar um NSLOOKUP, verá que os apontamentos são todos para a Akamai. Assim, uns 70% do tráfego não chegam na microsoft.

    Somente conteúdo dinâmico é direcionado diretamente para o site, mas são URLs estecíficas informadas na akamai, como por exemplo, uma carrinho de uma loja virtual.

    Atuo com a Akamai já há um bom tempo :-)

    SDS

  • O portal Microsoft.com é o maior site corporativo da Internet e um dos maiores do mundo em acessos....

  • Oi Daniel, nós usamos a Akamai de uma forma diferente da sua, e no nosso caso o acesso aos sites dinâmicos é mesm feito diretamente aos servidores da Microsoft. Isso está muito resumido no meu post, então aqui abaixo vai uma descrição mais completa.

    O Microsoft.com usa dois serviços diferentes da Akamai. O primeiro serviço se chama Enhanced DNS (http://www.akamai.com/html/technology/products/enhanced_dns.html), onde a Akamai cuida do serviço de resolução de nomes para todos os domínios do site. Isso é utilizado para fazer o balanceamento de carga global entre os vários datacenters da Microsoft e melhorar a disponibibilidade do próprio serviço DNS.

    Todos os sites do Microsoft.com usam o Enhanced DNS, e é por isso que você vê o nome Akamai quando faz um nslookup.

    O segundo serviço é o de distribuição de conteúdo, chamado Edgesuite (http://www.akamai.com/html/solutions/edgesuite_delivery.html), que funciona exatamente da forma que você falou. Mas esse serviço somente é utilizado para os sites de conteúdo estático, como o download.microsoft.com (download de produtos), i.microsoft.com (imagens), etc. Os sites dinâmicos como o próprio www.microsoft.com e o windowsupdate.microsoft.com não usam o Edgesuite e o acesso é feito diretamente aos servidores da Microsoft.

    Ou seja, ao baixar por exemplo a página principal da Microsoft, você se conecta diretamente ao servidor da Microsoft para receber o HTML dinâmico do site, e recebe as imagens via Akamai do i.microsoft.com.

    Você pode confirmar isso usando o nslookup para ver o IP do www.microsoft.com, e depois consultando o ARIN para ver a quem pertence o IP. Faça a mesma coisa para o i.microsoft.com ou o download.microsoft.com e veja a diferença.

    Obrigado pela contribuição! Abracos, - Fernando Cima

  • isso é uma maravilha

  • myspace backgrounds html codes with bob marley iv

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment