الحماية من هجمات DDoS
يتم امتصاص الفيضانات عند الحافة، وتُصفى هجمات طبقة الشبكة في المراحل السابقة، وكل ما يصل إلى الخادم يتم احتواؤه داخل قفص على مستوى النواة خاص بالموقع المستهدف نفسه. طبقات متعددة، كل منها يؤدي مهمة مختلفة، بحيث لا يتحول الهجوم الموجه إلى موقع واحد إلى انقطاع للمواقع المجاورة له. هذا هو نموذج الدفاع الذي بنيناه لمنصة تستضيف أكثر من 700,000 موقع حول العالم، ويعمل خط الأساس هذا في كل خطة. التوفر: تقييد قواعد البيانات لكل موقع قيد التطوير النشط وليس متاحاً بعد. كل شيء آخر موصوف هنا يعمل بالفعل اليوم.
إن الهجوم الحجمي الغامر، وهجوم التطبيقات في الطبقة السابعة L7، وهجوم استنزاف الاتصال البطيء هي ثلاث مشكلات مختلفة. نحن نتعامل مع كل منها حيثما تكون معالجته هي الأقل تكلفة والأسرع — في مسار الشبكة المسبق للأسطول، وعند الحافة، وداخل القفص.
تعمل حماية DDoS على مستوى المزود على تصفية فيضانات طبقة الشبكة في أعلى مجرى أسطول خوادم المعالجة لدينا، قبل أن تستهلك تلك الحركة أي منفذ أو بطاقة واجهة شبكة (NIC) أو دورة من وحدة المعالجة المركزية (CPU) على الجهاز الذي يعمل عليه موقعكم. وبالنسبة للملفات التعريفية للمخاطر المتقدمة ومخاطر المؤسسات، يوسع Cloudflare Magic Transit وSpectrum نطاق التصفية نفسه ليشمل حركة المرور غير التابعة لـ HTTP.
توجد شبكة أطراف مُدارة أمام كل موقع. فهي تمتص هجمات طوفان HTTP الحجمية، وتُشغّل جدار حماية تطبيقات الويب L7 WAF، وتُطبّق حدود المعدل لكل موقع، وتستخدم إدارة البوتات والتحديات المُدارة لفصل الزوار الحقيقيين عن حركة المرور الآلية — كل ذلك قبل أن يصل الطلب إلى الخادم الأصلي.
يطبق LiteSpeed Enterprise تقييد الاتصالات والطلبات مع حدود اتصال لكل عنوان IP، ويقوم Imunify360 بتشغيل جدار حماية للشبكة مع حماية من هجمات القوة الغاشمة وتصفية سمعة IP، وتحدد حدود عمليات الإدخال CloudLinux LVE عدد الطلبات المتزامنة التي يمكن لموقع واحد فتحها في أي وقت.
تحدد تقنية LVE سقف استخدام وحدة المعالجة المركزية (CPU)، وذاكرة الوصول العشوائي (RAM)، والمدخلات/المخرجات (IO)، وعمليات الإدخال/الإخراج في الثانية (IOPS)، والعمليات، وعمليات الدخول لكل موقع بشكل فردي. وأي تدفق يتجاوز الطبقات العليا يتم تحجيمه داخل القفص الخاص بالموقع المستهدف، وبذلك يظل الضغط الناجم عنه محصوراً في ذلك الموقع بدلاً من أن ينتشر عبر الخادم بأكمله.
معظم انقطاعات الاستضافة أثناء الهجوم لا تنتج عن وصول الهجوم إلى هدفه. بل تنتج عن استهلاك الهدف للموارد مما يؤدي إلى حرمان كل شيء آخر على الخادم. هذا هو نمط الفشل الذي صُممت هذه البنية التحتية لإزالته.
أقل الطلبات تكلفة في التعامل معها هي تلك التي لا تصل أبدًا إلى PHP أو MySQL. تضمن لك طبقتنا المزدوجة من التخزين المؤقت الرد على جزء كبير من هجمات طبقة التطبيقات من خلال بايتات ثابتة بدلاً من استهلاك موارد خادمك الأصلي.
التخفيف ليس تذكرة دعم فني. حيث تُغذي الإشارات محرك سياسات يربط كل إشارة منها بإجراء إنفاذي، وإشعار للعميل، و—حيثما أمكن—معالجة تلقائية، مع تسجيل كل انتقال.
عند انطلاق إشارة هجوم DDoS، يطبّق محرك السياسات إجراءات التخفيف من Cloudflare والحد من معدل الطلبات لكل موقع، ويمكنه تشديد حدود LVE لهذا الموقع بشكل ديناميكي. وعند زوال الإشارة، تعود الحدود إلى طبيعتها تدريجيًا. متدرج، وقابل للإلغاء، ومسجّل في كل خطوة.
إذا كان هناك هجوم يهدد الخادم الأصلي، ينتقل الموقع إلى حالة "مقيّد" (throttled) — حدود LVE أكثر صرامة وتحديد لمعدل الطلبات، مع استمرار عمل الموقع وتقديم الخدمة. يتعافى الموقع من حالة التقييد تلقائيًا بمجرد زوال الضغط؛ وهذا ليس تعليقًا للحساب.
تحت محرك السياسات، يحد LVE من استهلاك المعالج، والإدخال/الإخراج، والعمليات لكل موقع بشكل أصلي وتلقائي. إنه خط الدفاع الأول الذي يعمل دائماً، سواء صُنفت حركة المرور كهجوم أم لا.
تسجل كل عملية انتقال لإنفاذ الإجراءات سببها، وما إذا كانت تلقائية أم بمبادرة من الموظفين، والأدلة التي تستند إليها. يتم إخطاركم بما تم تغييره وكيفية حله، وكل إجراء قابل للاستئناف.
الحماية الأساسية ليست اختيارية، لأن الموقع الذي يتعرض للهجوم أو الاختراق يهدد المواقع المجاورة له وسمعة خوادمنا ونطاقات عناوين بروتوكول الإنترنت (IP) الخاصة بنا. وتتوفر حماية أقوى للمواقع التي يتطلب ملف المخاطر الخاص بها ذلك.
غالبًا ما يكون الارتفاع المفاجئ في حركة المرور مجرد عَرَض. فنفس مسار معالجة الإشارات الذي يتعامل مع التدفقات الهائلة يرصد أيضًا عمليات الاختراق المسببة لها، مما يضمن تصنيف الحادث بشكل صحيح بدلاً من مجرد استيعابه.
الهدف من التصميم هو الاحتواء. يعمل كل موقع داخل قفص CloudLinux LVE خاص به مع حدود قصوى لـ CPU وRAM وIO وIOPS والعمليات وعمليات الدخول، وعرض نظام ملفات CageFS خاص به، والتحكم في قاعدة البيانات لكل موقع عبر MySQL Governor. يتم خنق الموقع الذي يتعرض للهجوم عند سقفه الخاص بدلاً من استهلاك الجهاز بأكمله، وتحد قيود الاتصال لكل IP في LiteSpeed من مقدار ما يمكنه حجزه من خادم الويب. تم تصميم الاحتواء على مستوى النواة، وليس تكوينه لكل عميل.
يتضمن كل مخطط الأساسيات التالية: عزل LVE وCageFS، وتقنين اتصالات وطلبات LiteSpeed، وجدار حماية للشبكة، وWAF استباقي وفحص البرامج الضارة، مع امتصاص Cloudflare عند الحافة وتصفية الشبكة على مستوى المزود أمام الأسطول بأكمله. نحن نضمن ذلك لأننا لا نستطيع ترك حماية أسطولنا كأمر اختياري. تعد الإدارة المتقدمة للروبوتات، والمستويات الأعلى للحماية من هجمات DDoS، وقواعد WAF المحسنة، وقواعد جدار الحماية المخصصة إضافات اختيارية للمواقع التي تحتاج إليها.
التعرض لهجوم DDoS يُترجَم إلى تخفيف عبر Cloudflare بالإضافة إلى تحديد معدل الطلبات لكل موقع، وفي حالة واحدة فقط — إذا كان الهجوم يهدد الخادم الأصلي — يتم الانتقال إلى حالة «التقييد» (throttled): حدود LVE أكثر صرامة مع بقاء الموقع قيد التشغيل والخدمة. يتعافى الموقع من حالة التقييد تلقائيًا بمجرد زوال الضغط. أما التعليق فهو مخصص لعدم الدفع أو إساءة الاستخدام المؤكدة، وحتى في هذه الحالة، يعرض الموقع صفحة توقف مخصصة لعلامتكم التجارية توضح السبب بدلاً من صفحة معطلة.
ليس لأي شيء يتم تقديمه من الذاكرة المؤقتة. يستجيب LSCache لطلبات الصفحات المخزنة مؤقتًا دون استدعاء PHP أو MySQL، كما يعمل التخزين المؤقت للكائنات عبر Redis المخصص لكل موقع على تفريغ عمليات القراءة للصفحات الديناميكية بالفعل. وما يتبقى يخضع لحدود عمليات LVE وعمليات الإدخال لموقعكم، ولتقييد قاعدة البيانات لكل موقع بواسطة MySQL Governor، وبالتالي لا يمكن لضغط قاعدة البيانات من موقع واحد أن يمتد إلى الخادم. تظل صفحات Cart وcheckout وmy-account وsession غير مخزنة مؤقتًا بشكل افتراضي حتى لا تؤدي إجراءات الحماية إلى تعطيل أي معاملة.
نعم، على مستوى طبقة الشبكة. تعمل الحماية من هجمات DDoS على مستوى المزود على تصفية فيضانات L3/4 في مرحلة مبكرة قبل وصولها إلى أسطولنا بغض النظر عن البروتوكول، وبالنسبة للمتطلبات المتقدمة أو متطلبات المؤسسات، يقوم Cloudflare Magic Transit وSpectrum بتوسيع نطاق التخفيف على مستوى الحافة ليشمل حركة المرور غير التابعة لـ HTTP.
يتم تسجيل كل إجراء إنفاذ مع سببه، وما إذا كان تلقائياً أو بتدخل من فريق العمل، بالإضافة إلى الأدلة المؤيدة له. يتم إخطاركم بما تم تغييره وبما يمكن أن يعالجه، وكل إجراء قابل للاستئناف، كما تُسجّل الإجراءات ذات الصلاحيات المتميزة في سجل تدقيق لتوثيق امتثالكم الخاص. يتم تجميع الإشارات في مكتب إساءة استخدام واحد بدلاً من تشتيتها عبر أدوات متعددة.
نعم. تبدأ استضافة Footprint-Free بفترة تجريبية لمدة 14 يومًا دون الحاجة لبطاقة تغطي ما يصل إلى 5 مواقع — دون تفاصيل دفع، ودون أي التزام. الخطط مدعومة بضمان استرداد الأموال لمدة 30 يومًا دون أدنى تردد، وعمليات نقل مجانية، ودون أي تقييد بمزود الخدمة.
يعمل تصفية الشبكة، واستيعاب الحافة، والحد من سرعة الخادم، والاحتواء لكل موقع من لحظة النشر — لا شيء لضبطه، ولا شيء للتشغيل في أثناء الحادث. ابدأ بإصدار تجريبي لمدة 14 يومًا بدون بطاقة، مدعومًا بضمان استرداد الأموال لمدة 30 يومًا ونقل مجاني.
ابدأ مجانًا