Изолация за всеки сайт
Изолацията е разликата между инцидент и пълно прекъсване. Всеки сайт, който хостваме, работи в рамките на CloudLinux LVE cage на ниво ядро със собствени лимити за процесор, оперативна памет, входно-изходни операции и процеси, собствен изглед на файловата система CageFS, собствена версия на PHP и собствено ограничаване на базата данни. Сайт, който е атакуван, компрометиран или просто изпълнява прекомерно натоварваща заявка, бива изолиран на място — а базовата изолация е включена във всеки план, без да Ви бъде продавана като допълнително надграждане. Наличност: ограничаването на базата данни за отделен сайт и статистиката на ресурсите за отделен сайт са в активна разработка и все още не са налични. Всичко останало, описано тук, функционира в реално време днес.
Работният флот работи с CloudLinux OS, която пренася мултитенантността директно в ядрото. Всеки сайт получава Лека виртуална среда — LVE — която представлява твърда граница, а не просто вежливо споразумение. Нищо, което сайтът извършва в своята клетка, не може да бъде изразходвано от бюджета на някой друг.
LVE ограничава процесора (CPU), оперативната памет (RAM), IO, IOPS, процесите и входните процеси за всеки сайт независимо. Когато даден сайт надвиши своя лимит, той се ограничава в собствената си изолирана среда — грешката се отчита за този сайт, а съседните сайтове продължават да работят незасегнати.
Плъгин, заседнал в цикъл, лошо написана cron задача или робот, претоварващ крайна точка, първо достигат лимитите за процеси и входни процеси на самия сайт. Един сайт не може просто да изразходи ресурсите на цялата машина.
Тъй като входящите процеси са ограничени за всяка изолирана среда, масиран трафик, насочен към един сайт, не може да създаде неограничено натоварване на хоста. Ограничаването на връзките и заявките на LiteSpeed и мрежовата защитна стена на Imunify360 са разположени пред това, така че атаката остава проблем единствено за целта.
Всяка LVE грешка се записва за всеки сайт и постъпва в механизма за политики на платформата, който може автоматично да затяга или облекчава ограниченията. Виждате защо даден сайт е бил ограничен и кога — поетапно, обратимо и регистрирано в дневника.
Изолацията на ресурсите спира прекомерното натоварване от даден сайт. Изолацията на файловата система спира любопитството му. CageFS предоставя на всеки наемател частен, ограничен изглед към машината.
Под CageFS наемателят вижда единствено своите собствени файлове и минимален, саниран набор от системни бинарни файлове — и не може да вижда други наематели, техните сайтове или чувствителни системни файлове. Обичайният режим на срив при споделен хостинг, при който един компрометиран акаунт се превръща в позиция за четене на всеки друг акаунт на машината, е блокиран на ниво ядро.
Това има най-голямо значение в деня, в който нещо се обърка. Ако даден сайт бъде компрометиран — чрез остарял плъгин, откраднати идентификационни данни, уязвима тема — CageFS е това, което ограничава радиуса на поражението само до тази отделна клетка. Нашата спецификация за сигурност е умишлено прецизна в изказа си: CageFS локализира пробивите. Локализирането е честното твърдение и именно то решава дали даден инцидент изисква почистване на един сайт или на цялата инфраструктура.
Резервните копия укрепват същата граница. Резервните копия за всеки отделен сайт са неизменяеми, изнесени извън обекта и изолирани от работещия сървърен парк, с тествани възстановявания, така че дори най-тежкият пробив в сигурността на един сайт да разполага с чист, независим път за възстановяване, който не зависи от състоянието на машината, на която е работил.
Изолацията на уеб нивото е само половината от историята. В една WordPress група от сървъри това, което най-често прави сървъра бавен, са заявките на един сайт, а не трафикът на един сайт. Това се управлява изрично.
CloudLinux MySQL Governor ограничава използването на базата данни за всеки сайт, така че тежките заявки на един сайт да не могат да забавят сървъра за всички останали. Това е контрол срещу забавяне и работи независимо дали шумният сайт забелязва, че е ограничен.
Флотът работи с MariaDB (или Percona), избрана специално за натоварванията на WordPress, а не просто наследена по подразбиране, като Governor служи като слой за справедливо разпределение на ресурсите между отделните наематели.
Обектният кеш на Redis за всеки сайт поема повтарящите се четения, преди те да достигнат до базата данни, което от самото начало намалява натиска, който Governor трябва да регулира. Кеширането и изолацията работят като една система.
CloudLinux alt-PHP предоставя на всеки сайт собствен инструмент за избор на версия на PHP, собствени разширения (imagick, gd, redis и останалите) и собствени защитени настройки — като работните процеси на LSAPI са ограничени от LVE лимитите на съответния сайт, така че конкурентността на PHP е част от изолацията, а не бягство от нея.
Изолацията определя докъде ще се разпространи проблемът. Прилагането на мерки определя какво ще се случи след това. Заменихме грубото спиране тип включване/изключване с машина на състоянията, управлявана от устойчиви работни процеси и прилагана към работния процес чрез LiteSpeed, LVE и Imunify.
Изолацията не е функция на плана, която се появява три нива по-нагоре. Тя е характеристика на субстрата, така че е напълно еднаква независимо дали управлявате един магазин на WooCommerce, или две хиляди мрежови сайта.
Мрежите за масово разпространение и PBN работят върху същата LVE и CageFS основа, заедно с ротация на CDN акаунти, съобразена с дигиталния отпечатък, и доставка на статичен HTML. Изолацията е това, което прави плътността безопасна: сайтовете споделят общ флот, без да споделят обща съдба.
Управляваните сайтове на WordPress, WooCommerce, PHP, статични и Node получават същите изолирани среди (cages) плюс пълно самообслужване — ваша собствена PHP версия и разширения, Redis кеш на обекти, тестова среда (staging) и качване към продукция (push-to-live).
За работни натоварвания, изискващи по-силна граница от оптимизираната за плътност по подразбиране, се предлага пълна изолация от тип контейнер за всеки сайт като вариант на драйвера за осигуряване: същият двигател, същата контролна равнина, различно разположение, при по-високи допълнителни разходи.
Изолацията чрез LVE и CageFS, проактивният WAF и сканирането за зловреден софтуер са включени за всеки клиент, тъй като заразен или излязъл извън контрол уебсайт застрашава съседите си и нашата репутация на IP адресите. Почистването на зловреден софтуер с едно щракване и разширените нива на защита са платени добавки — базовото ниво не е.
Търговското изкушение в хостинга е сигурността да се продава на нива: евтините клиенти да се поставят на споделен сървър с меки лимити, а на тези, за които границата е важна, да се таксува допълнително. Ние не го правим, защото клиентът, който не е платил за изолация, е точно този, чийто компрометиран сайт се превръща в инцидент за всички останали.
Ние хостваме повече от 700 000 сайта по целия свят на инфраструктура, където плътността е цялото икономическо предложение. Това работи само ако изолацията под нея е безусловна. Клетки на ниво ядро, персонализиран изглед на файловата система, ограничаване на базата данни за всеки отделен сайт и самостоятелен PHP за всеки сайт са цената за опериране в такъв мащаб без споделена съдба — затова те са включени за всички, във всеки план, още от първия сайт, който внедрите.
Резултатът е платформа, която функционира предвидимо дори в най-тежките моменти на другите. Зад нея стоят гаранция за 99.99% непрекъсната работа, неизменяеми външни резервни копия за всеки сайт с тествани възстановявания и пълна одитна следа за всяко приложено действие по Вашите сайтове.
Изолацията е създадена специално, за да предотврати това. LVE ограничава CPU, RAM, IO, IOPS и процесите за всеки сайт, MySQL Governor регулира използването на базата данни за всеки сайт, а работните процеси на LSAPI са ограничени от собствения cage на сайта — така че пикът в трафика или голямото натоварване от заявки на съседен сайт се ограничават спрямо техния лимит, а не Вашия. Всяка грешка се записва за съответния сайт, а механизмът за политики може автоматично да затегне лимитите на шумен сайт.
Честният отговор е ограничаване, а не гаранция. CageFS предоставя на всеки наемател изолиран изглед на файловата система — компрометиран наемател не може да вижда други наематели, техните сайтове или чувствителни системни файлове — а потвърден случай на зловреден софтуер или фишинг премества този сайт в карантина: офлайн, заключени файлове, без изпълнение на код, изолиран за криминалистичен анализ. Именно това ограничава радиуса на поражение. Наред с това изпълняваме сканиране за зловреден софтуер и проактивен WAF за всеки сайт, плюс неизменяеми външни резервни копия за всеки отделен сайт с тествани възстановявания, така че възстановяването никога да не зависи от състоянието на засегнатата машина.
Включено е във всеки план. Изолацията с LVE и CageFS, проактивният WAF и сканирането за зловреден софтуер са базови за всеки клиент, тъй като заразен или излязъл извън контрол сайт застрашава съседите си и нашата IP репутация — не можем разумно да оставим това по избор. Това, което се продава като добавка, е изчистване и отстраняване на зловреден софтуер с едно щракване, както и разширени нива на защита като подобрени WAF правила, приоритетно сканиране, управление на ботове и по-високи нива на DDoS защита.
Ресурсът бива ограничен в рамките на собствената си клетка, вместо да бъде изключен. Ограничаването означава по-строги LVE лимити и ограничаване на заявките, докато сайтът продължава да работи и да обслужва потребители, като се възстановява автоматично, след като причината изчезне. Ще бъдете уведомени за причината, преходът се записва в системния дневник с доказателства и подлежи на обжалване. Ако натоварването се дължи на реален растеж, а не на повреда, решението е преминаване към по-голям план, а не постоянно ограничаване.
Не — спреният сайт показва брандирана страница за задържане с конкретна причина (фактуриране, поддръжка или злоупотреба), за да изглежда целенасочено спрян, а не повреден. Спирането се отменя при плащане, при отстраняване на проблема или при обжалване. Карантината е по-строга и работи по различен начин: тя се отменя само след изчистване и преглед, никога автоматично.
При Zinn® Managed WordPress – да, CloudLinux alt-PHP предоставя на всеки сайт собствен селектор на версия на PHP, собствени разширения като imagick, gd и redis, както и собствени подсилени настройки, като всички те са ограничени от LVE лимитите на съответния сайт. Footprint-Free хостингът умишлено поддържа по-стандартизирана и заключена конфигурация за всеки отделен сайт, тъй като разнообразието в конфигурациите само по себе си представлява цифров отпечатък (footprint).
Да. CloudLinux LVE и CageFS е оптимизираният за плътност стандарт и за двете продуктови линии. За работни натоварвания, които изискват по-строги граници, се предлага пълна изолация от тип контейнер за всеки сайт като вариант на драйвера за осигуряване — същият двигател и контролна равнина с различно разположение, заменяйки системните ресурси за по-силно разделяне.
Да. Footprint-Free хостингът започва с 14-дневен пробен период без изискване за карта, обхващащ до пет сайта — без данни за плащане, без ангажимент. Внедрете няколко сайта, насочете малко натоварване към тях и вижте как се държат изолационните клетки, преди да решите.
Започнете 14-дневен пробен период без банкова карта на Footprint-Free хостинг — до пет сайта, без данни за плащане, без ангажименти. Изолацията на ниво ядро, проактивният WAF и сканирането за зловреден софтуер са включени още от първото внедряване.
Започнете безплатно