DDoS-Schutz
Überschwemmungen werden am Rand absorbiert, Angriffe auf der Netzwerkschicht vorgelagert gefiltert und alles, was den Server erreicht, im Kernel-Level-Container der jeweiligen Ziel-Website eingeschlossen. Mehrere Ebenen, von denen jede eine andere Aufgabe erfüllt, damit ein auf eine Website gerichteter Angriff nicht zu einem Ausfall für die benachbarten wird. Dies ist das von uns entwickelte Verteidigungsmodell für eine Plattform, die weltweit über 650.000 Websites hostet, und die Basis läuft in jedem Tarif. Verfügbarkeit: Das pro Website geltende Datenbank-Throttling befindet sich in der aktiven Entwicklung und ist noch nicht verfügbar. Alles andere, was hier beschrieben wird, ist ab heute live.
Eine volumetrische Flut, eine L7-Anwendungsflut und ein langsamer Verbindungserschöpfungsangriff sind drei verschiedene Probleme. Wir bewältigen jedes davon dort, wo es am günstigsten und schnellsten zu handhaben ist – upstream vor der Fleet, am Edge und innerhalb des Cage.
Der DDoS-Schutz auf Provider-Ebene filtert Angriffe auf Netzwerkebene vor unserer Worker-Flotte heraus, noch bevor dieser Traffic auch nur einen Port, eine Netzwerkkarte (NIC) oder einen CPU-Zyklus auf der Maschine beansprucht, auf der Ihre Website läuft. Für fortgeschrittene und Enterprise-Risikoprofile erweitern Cloudflare Magic Transit und Spectrum denselben Filter auf Nicht-HTTP-Traffic.
Ein verwaltetes Edge-Netzwerk befindet sich vor jeder Website. Es fängt volumetrische HTTP-Floods ab, führt eine L7-WAF aus, wendet standortbezogene Ratenbegrenzungen an und nutzt Bot-Management sowie verwaltete Prüfungen, um echte Besucher von automatisiertem Datenverkehr zu trennen – und das alles, bevor eine Anfrage den Ursprungsserver erreicht.
LiteSpeed Enterprise wendet Verbindungs- und Anfragendrosselung mit pro-IP-Verbindungslimits an, Imunify360 betreibt eine Netzwerk-Firewall mit Brute-Force-Schutz und IP-Reputationsfilterung, und CloudLinux LVE-Entry-Process-Caps begrenzen, wie viele gleichzeitige Anfragen eine einzelne Website jemals offen halten kann.
LVE limitiert CPU, RAM, IO, IOPS, Prozesse und Entry-Processes für jede Website individuell. Ein Angriff, der die oberen Ebenen passiert, wird im eigenen Käfig der Ziel-Website gedrosselt, sodass der dadurch erzeugte Druck bei dieser Website verbleibt, anstatt sich auf dem Server auszubreiten.
Die meisten Hosting-Ausfälle während eines Angriffs werden nicht dadurch verursacht, dass der Angriff sein Ziel erreicht. Sie werden dadurch verursacht, dass der Ressourcenverbrauch des Ziels alles andere auf dem Server zum Erliegen bringt. Genau diesen Ausfallmodus soll diese Architektur beseitigen.
Die günstigste Anfrage, die überlebt, ist die, die niemals PHP oder MySQL berührt. Unser Zwei-Schichten-Cache sorgt dafür, dass ein Großteil einer Flut auf Anwendungsebene durch statische Bytes beantwortet wird, anstatt dass Ihr Ursprungserver Arbeit leisten muss.
Mitigation ist kein Support-Ticket. Signale speisen eine Richtlinien-Engine, die jedes Signal einer Durchsetzungsmaßnahme, einer Kundenbenachrichtigung und – wo möglich – einer automatischen Behebung zuordnet, wobei jeder Übergang protokolliert wird.
Wenn ein DDoS-Signal ausgelöst wird, wendet die Policy Engine die Cloudflare-Mitigation und das Rate-Limiting pro Website an und kann die LVE-Limits dieser Website dynamisch verschärfen. Wenn das Signal abklingt, werden die Limits wieder gelockert. Abstufbar, umkehrbar und bei jedem Schritt protokolliert.
Wenn ein Angriff den Ursprung bedroht, wechselt die Website in einen „gedrosselten“ Zustand – strengere LVE-Grenzen und Ratenbegrenzung, wobei die Website weiterhin online ist und Anfragen bedient. Die Drosselung hebt sich automatisch auf, sobald der Druck nachlässt; es handelt sich dabei nicht um eine Sperrung.
Unterhalb der Richtlinien-Engine drosselt LVE CPU-, E/A- und Prozessnutzung pro Site nativ und automatisch. Es ist die dauerhaft aktive erste Verteidigungslinie, die unabhängig davon läuft, ob der Traffic bereits als Angriff klassifiziert wurde oder nicht.
Jeder Durchsetzungsübergang dokumentiert seinen Grund, ob er automatisch oder durch Mitarbeiter initiiert wurde, sowie die zugrundeliegenden Beweise. Sie werden darüber benachrichtigt, was sich geändert hat und wie dies behoben werden kann, und gegen jede Maßnahme kann Berufung eingelegt werden.
Basisschutz ist nicht optional, da eine angegriffene oder kompromittierte Website ihre Nachbarn, unsere Serverreputation und unsere IP-Bereiche gefährdet. Für Websites, deren Risikoprofil dies erfordert, gibt es einen stärkeren Schutz.
Ein Verkehrsanstieg ist oft nur ein Symptom. Dieselbe Signal-Pipeline, die Lastspitzen bewältigt, erkennt auch die Kompromittierungen, die diese verursachen, sodass ein Vorfall korrekt klassifiziert und nicht einfach nur absorbiert wird.
Das Designziel ist Isolierung. Jede Website läuft in ihrer eigenen CloudLinux LVE-Cage mit limitierten CPU-, RAM-, IO-, IOPS-, Prozess- und Entry-Prozess-Limits, einer eigenen CageFS-Dateisystemansicht und einer Website-spezifischen Datenbankdrosselung über MySQL Governor. Eine angegriffene Site wird an ihrem eigenen Limit gedrosselt, anstatt die gesamte Maschine zu beanspruchen, und die LiteSpeed-Verbindungs limits pro IP begrenzen, wie viel vom Webserver sie beanspruchen kann. Die Isolierung ist auf Kernel-Ebene implementiert und wird nicht pro Kunde konfiguriert.
Die Basislinie ist in jedem Tarif enthalten: LVE- und CageFS-Isolierung, LiteSpeed-Verbindungs- und Anfragendrosselung, eine Netzwerk-Firewall, der proaktive WAF- und Malware-Scannschutz sowie Cloudflare-Edge-Absorption und netzwerkweite Filterung auf Provider-Ebene vor dem gesamten Server-Cluster. Wir bieten dies standardmäßig an, da der Schutz unseres eigenen Netzwerks für uns keine optionale Komponente sein kann. Erweiterte Bot-Verwaltung, höhere DDoS-Stufen, verbesserte WAF-Regeln und dedizierte Firewall-Regeln sind als Add-ons für Websites verfügbar, die diese benötigen.
Ein DDoS-Ziel zu sein, führt zu Cloudflare-Mitigation sowie einer Rate-Limiting-Funktion pro Website und – nur wenn der Angriff den Ursprung bedroht – zum „Gedrosselt“-Zustand: strengere LVE-Limits, während die Website weiterhin online ist und Anfragen bedient. Der gedrosselte Zustand hebt sich automatisch auf, sobald der Druck nachlässt. Eine Sperrung ist für Nichtzahlung oder bestätigten Missbrauch vorbehalten, und selbst dann zeigt die Website eine gebrandete, spezifische Hinweisseite anstelle einer defekten Seite.
Nicht für Inhalte, die aus dem Cache ausgeliefert werden. LSCache beantwortet Anforderungen an gecachte Seiten, ohne PHP oder MySQL aufzurufen, und ein Site-spezifischer Redis-Objektcache entlastet Lesezugriffe für echte dynamische Seiten. Was übrig bleibt, wird durch die LVE-Prozess- und Entry-Process-Limits Ihrer Site sowie durch die Site-spezifische Datenbankdrosselung von MySQL Governor begrenzt, sodass der Datenbankdruck einer Site nicht auf den Server übergreifen kann. Warenkorb, Kasse, Mein-Konto- und Sitzungsseiten bleiben standardmäßig ungeechelt, damit das Hardening niemals eine Transaktion unterbricht.
Ja, auf der Netzwerkschicht. Der DDoS-Schutz auf Provider-Ebene filtert L3/4-Angriffe netzwerkseitig vor unserer Infrastruktur unabhängig vom Protokoll, und für fortgeschrittene oder Enterprise-Anforderungen erweitern Cloudflare Magic Transit und Spectrum die Schutzmaßnahmen auf Edge-Niveau für Nicht-HTTP-Datenverkehr.
Jeder Durchsetzungsübergang wird mit seinem Grund protokolliert, unabhängig davon, ob er automatisch oder von Mitarbeitern initiiert wurde, sowie mit den zugrunde liegenden Beweisen. Sie werden darüber benachrichtigt, was sich geändert hat und wie es behoben werden kann, jede Maßnahme ist anfechtbar und privilegierte Aktionen werden für Ihren eigenen Compliance-Pfad protokolliert. Signale werden in einem einzigen Abuse Desk zusammengefasst, anstatt über verschiedene Tools verstreut zu sein.
Ja. Footprint-Free Hosting beginnt mit einer kartenlosen 14-tägigen Testversion für bis zu 5 Websites – ganz ohne Zahlungsdaten und ohne Verpflichtung. Tarife beinhalten eine 30-geld-zurück-Garantie ohne Wenn und Aber, kostenlose Migrationen und keine Anbieterbindung.
Netzwerkfilterung, Edge-Absorption, Server-Throttling und site-spezifische Isolierung greifen ab dem Moment des Deployments – nichts muss konfiguriert oder während eines Vorfalls aktiviert werden. Starten Sie eine 14-tägige Testphase ganz ohne Kreditkarte, abgesichert durch eine 30-jährige Geld-zurück-Garantie und kostenlose Migrationen.
Kostenlos starten