CDN
Una CDN, o red de distribución de contenido, se pone delante de un servidor de origen, cachea recursos cerca de los usuarios y absorbe los picos de tráfico. En términos de seguridad es una capa de proxy, y la protección que da es condicional: aguanta solo mientras al origen no se pueda llegar directamente, que en la mayoría de los parques no es el caso.
Las funciones de protección son reales. Absorber un ataque volumétrico de DDoS en el borde, terminar TLS e inspeccionar las peticiones con un web application firewall antes de que lleguen a la aplicación merecen la pena las tres. Y las tres comparten una suposición: que el tráfico tiene que pasar por el borde para llegar.
En un proyecto externo, poner a prueba esa suposición es trabajo de rutina y no investigación avanzada. La dirección del origen se filtra por los registros de transparencia de certificados del mismo nombre de máquina, por el DNS histórico, por las cabeceras del correo que envía la misma infraestructura, por un subdominio que nunca se puso detrás del borde y por servicios en la misma dirección a los que el borde no hace de proxy. Cuando aparece, la petición va directa al origen y todos los controles del borde sencillamente no están.
Lo que recogemos en un informe es la dirección del origen, el método que la reveló y una demostración de que una petición que el borde habría bloqueado tiene éxito por la vía directa. El arreglo no es un ajuste del producto del borde: es una regla de cortafuegos en el origen que solo acepte conexiones desde los rangos publicados del proveedor, o autenticación mutua entre el borde y el origen, comprobada después en vez de darla por hecha. Esa comprobación pertenece a las pruebas externas donde encontrar el origen es un paso de rutina.