DDoS защита
Заливанията се абсорбират в периферията, атаките на мрежовия слой се филтрират по-нагоре по веригата, а всичко, което достигне до сървъра, се изолира в рамките на собствена клетка на ниво ядро за целевия сайт. Няколко слоя, всеки изпълняващ различна задача, така че атака, насочена към един сайт, да не доведе до прекъсване за съседните. Това е моделът за защита, който изградихме за платформа, хостваща над 700 000 сайта по целия свят, като базовата защита работи при всеки план. Наличност: ограничаването на базите данни за отделен сайт е в активна разработка и все още не е налично. Всичко останало, описано тук, е активно от днес.
Обемната атака с претоварване, атаката с претоварване на приложно ниво (L7) и бавната атака за изчерпване на връзките са три различни проблема. Справяме се с всеки от тях там, където това е най-евтино и най-бързо — преди инфраструктурата, на ниво крайна точка (edge) и вътре в клетката.
Защитата от DDoS атаки на ниво доставчик филтрира наводненията на мрежовия слой преди нашия флот от работни сървъри, преди този трафик да изразходва порт, мрежова карта (NIC) или процесорен цикъл на машината, на която работи Вашият сайт. За профили с напреднал и корпоративен риск, Cloudflare Magic Transit и Spectrum разширяват същото филтриране и за трафик, различен от HTTP.
Управлявана периферна мрежа се намира пред всеки сайт. Тя абсорбира обемни HTTP наводнения, изпълнява L7 WAF, прилага ограничения на скоростта за всеки сайт и използва управление на ботове и управлявани предизвикателства, за да отдели реалните посетители от автоматизирания трафик — всичко това преди дадена заявка да достигне произхода.
LiteSpeed Enterprise прилага ограничаване на връзките и заявките с лимити за връзка на IP адрес, Imunify360 управлява мрежова защитна стена със защита от атаки с груба сила и филтриране по репутация на IP адреси, а ограниченията за входящи процеси на CloudLinux LVE определят колко едновременни заявки може да поддържа отворени даден сайт.
LVE ограничава индивидуално за всеки сайт процесора (CPU), оперативната памет (RAM), IO, IOPS, процесите и входните процеси. Трафик, преминал през горните слоеве, бива ограничен в собствената изолирана среда на целевия сайт, така че създаденото натоварване остава в рамките на този сайт, вместо да се разпространява по целия сървър.
Повечето сривове на хостинга по време на атака не са причинени от това, че атаката достига целта си. Те са причинени от това, че потреблението на ресурси от страна на целта изчерпва ресурсите за всичко останало на сървъра. Това е режимът на повреда, за чието отстраняване е проектирана тази архитектура.
Най-икономичната за обработка заявка е тази, която изобщо не достига до PHP или MySQL. Нашият двуслоен кеш гарантира, че голяма част от натоварването на приложно ниво се обслужва от статични байтове, вместо от вашия първоначален сървър.
Смекчаването не е тикет за поддръжка. Сигналите захранват механизъм за политики, който съпоставя всеки от тях с действие по прилагане, известие до клиента и — където е възможно — автоматично отстраняване, като всеки преход се регистрира.
Когато се задейства DDoS сигнал, системата за правила прилага смекчаване чрез Cloudflare и ограничаване на честотата на заявките за конкретния сайт, като може динамично да затегне LVE лимитите на този сайт. Когато сигналът изчезне, ограниченията отново се облекчават. Поетапно, обратимо и записвано на всяка стъпка.
Ако атака застрашава източника, сайтът преминава в състояние „дроселиран“ (throttled) — по-строги LVE лимити и ограничаване на скоростта, докато сайтът все още работи и обслужва заявки. Дроселирането се възстановява автоматично, след като натоварването спадне; това не е спиране на услугата.
Под модула за политики LVE ограничава използването на CPU, IO и процеси за всеки сайт директно и автоматично. Това е постоянно активната първа линия на защита, работеща независимо дали трафикът вече е класифициран като атака или не.
Всеки преход по прилагане записва своята причина, дали е бил автоматичен или иницииран от служител, както и доказателствата зад него. Вие бивате уведомявани за това какво се е променило и как да го разрешите, като всяко действие подлежи на обжалване.
Базовата защита не е опционална, тъй като атакуван или компрометиран сайт застрашава съседите си, репутацията на нашите сървъри и нашите IP диапазони. Съществува по-засилена защита за сайтове, чийто рисков профил го изисква.
Скокът в трафика често е само симптом. Същият сигнален конвейер, който обработва претоварванията, улавя и пробивите в сигурността, които ги причиняват, така че инцидентът да бъде правилно класифициран, а не просто погълнат.
Целта на дизайна е изолирането. Всеки сайт работи в своя собствена клетка CloudLinux LVE с лимитирани CPU, RAM, IO, IOPS, процеси и входни процеси, собствен изглед на файловата система CageFS и ограничаване на базата данни за всеки сайт чрез MySQL Governor. Атакуван сайт се ограничава до собствения си таван, вместо да консумира цялата машина, а лимитите за връзка на IP адрес на LiteSpeed ограничават колко от уеб сървъра може да заеме той. Изолирането е проектирано на ниво ядро, а не конфигурирано за всеки клиент поотделно.
Базовото ниво е включено във всеки план: изолация с LVE и CageFS, ограничаване на връзките и заявките с LiteSpeed, мрежова защитна стена, проактивен WAF и сканиране за зловреден софтуер, с поглъщане на трафика в периферията на Cloudflare и мрежово филтриране на ниво доставчик пред целия автопарк. Включваме го, защото не можем да оставим защитата на собствения си автопарк като опция. Усъвършенстваното управление на ботове, по-високите нива на защита от DDoS, подобрените правила на WAF и специалните правила за защитна стена са добавки за сайтове, които се нуждаят от тях.
Да бъдете цел на DDoS атака означава Cloudflare смекчаване плюс ограничаване на честотата на заявките за всеки сайт и — само ако атаката застрашава първоначалния сървър — състояние „дротлинг“ (throttled): по-строги LVE лимити, докато сайтът продължава да работи и да обслужва потребители. Състоянието на дротлинг се възстановява автоматично след отминаване на натоварването. Спирането на услугата е запазено само при неплащане или потвърдено нарушение, като дори тогава сайтът показва брандирана междинна страница с конкретната причина, вместо счупена страница.
Не и за съдържание, обслужвано от кеша. LSCache отговаря на заявки за кеширани страници, без да извиква PHP или MySQL, а обектният кеш на Redis за всеки сайт разтоварва операциите по четене за наистина динамичните страници. Останалото е ограничено от лимитите за процеси на LVE и входни процеси на Вашия сайт, както и от регулирането на базата данни за всеки сайт от MySQL Governor, така че натоварването на базата данни от един сайт не може да се прехвърли върху сървъра. Страниците за Cart, checkout, my-account и сесии остават некеширани по подразбиране, така че затягането на сигурността никога да не прекъсва трансакция.
Да, на мрежово ниво. Защитата от DDoS на ниво доставчик филтрира L3/4 наводнения преди нашата флота, независимо от протокола, а за разширени или корпоративни изисквания Cloudflare Magic Transit и Spectrum разширяват защитата на ниво периферия към трафик, който не е HTTP.
Всяка промяна в прилагането се записва с нейната причина, независимо дали е автоматична или инициирана от персонала, както и с доказателствата за нея. Ще бъдете уведомявани за това какво се е променило и какво го разрешава, всяко действие подлежи на обжалване, а действията с повишени привилегии се одитират за Вашата собствена одитна следа за съответствие. Сигналите се обобщават в едно единствено Abuse Desk, вместо да бъдат разпръснати из различни инструменти.
Да. Footprint-Free хостингът започва с 14-дневен пробен период без изискване за карта за до 5 сайта — без данни за плащане, без ангажимент. Плановете са подкрепени от 30-дневна гаранция за възстановяване на сумата без възражения, безплатни миграции и без обвързване с доставчик.
Филтрирането на мрежата, абсорбирането в периферията, регулирането на сървъра и изолирането за всеки сайт работят от момента на внедряване — няма нищо за конфигуриране, нищо за включване по време на инцидент. Започнете с 14-дневен пробен период без карта, подкрепен с 30-дневна гаранция за връщане на парите и безплатни миграции.
Започнете безплатно