DDoS-Schutz
Überflutungen werden am Netzwerkrand absorbiert, Angriffe auf Netzwerkebene vorgelagert gefiltert und alles, was den Server erreicht, wird im kernelbasierten Sicherheitskäfig der Zielseite isoliert. Mehrere Ebenen erfüllen jeweils unterschiedliche Aufgaben, sodass ein Angriff auf eine Website nicht zum Ausfall der benachbarten Websites führt. Dies ist das Sicherheitsmodell, das wir für eine Plattform mit weltweit über 700.000 gehosteten Websites entwickelt haben, und die Basisfunktionen sind in jedem Tarif enthalten. Verfügbarkeit: Die Drosselung der Datenbank pro Website befindet sich in der aktiven Entwicklung und ist noch nicht verfügbar. Alles andere hier Beschriebene ist ab heute aktiv.
Ein volumetrischer Flood, ein L7-Anwendungs-Flood und ein langsamer Angriff zur Erschöpfung von Verbindungen sind drei verschiedene Probleme. Wir behandeln jedes davon dort, wo es am kostengünstigsten und schnellsten ist — vor der Serverflotte, am Edge und innerhalb des Cages.
DDoS-Schutz auf Provider-Ebene filtert Überlastungen der Vermittlungsschicht vor unserer Worker-Flotte heraus, bevor dieser Datenverkehr jemals einen Port, eine Netzwerkkarte oder einen CPU-Zyklus auf dem Rechner beansprucht, auf dem Ihre Website läuft. Für erweiterte und unternehmensweite Risikoprofile erweitern Cloudflare Magic Transit und Spectrum dieselbe Filterung auf Nicht-HTTP-Datenverkehr.
Vor jeder Website befindet sich ein verwaltetes Edge-Netzwerk. Es fängt volumetrische HTTP-Floods ab, führt eine L7 WAF aus, wendet Ratenbegrenzungen pro Website an und nutzt Bot-Management sowie verwaltete Abfragen, um echte Besucher von automatisiertem Datenverkehr zu trennen — alles, bevor eine Anfrage den Ursprungsserver erreicht.
LiteSpeed Enterprise wendet Verbindungs- und Anfragedrosselungen mit Verbindungslimits pro IP an, Imunify360 betreibt eine Netzwerk-Firewall mit Brute-Force-Schutz und IP-Reputationsfilterung, und CloudLinux LVE-Einstiegsprozessbeschränkungen begrenzen, wie viele gleichzeitige Anfragen eine einzelne Website jemals offen halten kann.
LVE begrenzt CPU, RAM, IO, IOPS, Prozesse und Einstiegsprozesse für jede Website individuell. Ein Datenstrom, der die oberen Schichten durchdringt, wird innerhalb des isolierten Bereichs der Zielwebsite gedrosselt, sodass der entstehende Druck auf diese Website beschränkt bleibt, anstatt sich über den gesamten Server zu verteilen.
Die meisten Hosting-Ausfälle während eines Angriffs werden nicht dadurch verursacht, dass der Angriff sein Ziel erreicht. Sie werden dadurch verursacht, dass der Ressourcenverbrauch des Ziels allem anderen auf dem Server die Ressourcen entzieht. Das ist genau die Fehlerart, die durch diese Architektur beseitigt werden soll.
Die ressourcenschonendste Anfrage ist diejenige, die PHP oder MySQL gar nicht erst erreicht. Unser zweistufiger Cache sorgt dafür, dass ein Großteil einer Überlastung auf Anwendungsebene durch statische Bytes beantwortet wird, anstatt dass Ihr Ursprungsserver Rechenleistung aufwenden muss.
Schadensbegrenzung ist kein Support-Ticket. Signale speisen eine Richtlinien-Engine, die jedes Signal einer Durchsetzungsmaßnahme, einer Kundenbenachrichtigung und – wo möglich – einer automatischen Behebung zuordnet, wobei jeder Übergang protokolliert wird.
Wenn ein DDoS-Signal ausgelöst wird, wendet die Richtlinien-Engine Cloudflare-Mitigation sowie Ratenbegrenzung pro Website an und kann die LVE-Grenzwerte dieser Website dynamisch verschärfen. Sobald das Signal abklingt, werden die Grenzwerte wieder gelockert. Abgestuft, reversibel und bei jedem Schritt protokolliert.
Wenn ein Angriff den Origin-Server gefährdet, wechselt die Website in den Status „gedrosselt“ — strengere LVE-Limits und Ratenbegrenzung, während die Website weiterhin online ist und Anfragen beantwortet. Der gedrosselte Zustand wird automatisch aufgehoben, sobald der Druck nachlässt; es handelt sich nicht um eine Sperrung.
Unterhalb der Richtlinien-Engine drosselt LVE die CPU-, IO- und Prozessauslastung pro Website nativ und automatisch. Es ist die stets aktive erste Verteidigungslinie, die unabhängig davon läuft, ob der Datenverkehr bereits als Angriff eingestuft wurde oder nicht.
Jeder Durchsetzungsübergang erfasst seinen Grund, ob er automatisch oder durch Mitarbeiter veranlasst wurde, sowie die entsprechenden Nachweise. Sie werden darüber informiert, was sich geändert hat und wie das Problem gelöst werden kann, und jede Maßnahme kann angefochten werden.
Der Basisschutz ist nicht optional, da eine angegriffene oder kompromittierte Website ihre Nachbarn, die Reputation unserer Server und unsere IP-Bereiche gefährdet. Ein verstärkter Schutz steht für Websites zur Verfügung, deren Risikoprofil dies erfordert.
Ein Traffic-Anstieg ist oft nur ein Symptom. Dieselbe Signal-Pipeline, die Überlastungen bewältigt, fängt auch die Kompromittierungen ab, die sie verursachen, sodass ein Vorfall korrekt klassifiziert und nicht nur absorbiert wird.
Das Entwicklungsziel ist die Kapselung. Jede Website läuft in ihrem eigenen CloudLinux LVE cage mit Obergrenzen für CPU, RAM, IO, IOPS, Prozesse und Entry-Prozesse, einer eigenen CageFS-Dateisystemansicht und website-basierter Datenbankdrosselung über MySQL Governor. Eine angegriffene Website wird an ihrer eigenen Obergrenze gedrosselt, anstatt das gesamte System zu überlasten, und LiteSpeed-Verbindungslimits pro IP begrenzen, wie viel des Webservers sie belegen kann. Die Kapselung ist im Kernel verankert und wird nicht pro Kunde konfiguriert.
Die Basisausstattung ist in jedem Tarif enthalten: LVE- und CageFS-Isolierung, LiteSpeed-Verbindungs- und Anfragedrosselung, eine Netzwerk-Firewall, die proaktive WAF und Malware-Scans sowie Cloudflare Edge Absorption und Netzwerkfilterung auf Provider-Ebene vor der gesamten Flotte. Wir beziehen dies standardmäßig ein, da der Schutz unserer eigenen Flotte nicht optional sein darf. Erweitertes Bot-Management, höhere DDoS-Stufen, erweiterte WAF-Regeln und dedizierte Firewall-Regeln sind Add-ons für Websites, die diese benötigen.
Ziel eines DDoS-Angriffs zu sein, bedeutet Cloudflare-Mitigation plus Ratenbegrenzung pro Website und — nur wenn der Angriff den Origin-Server bedroht — den Status „throttled“: strengere LVE-Limits, während die Website weiterhin online bleibt und Anfragen bedient. Die Drosselung wird automatisch aufgehoben, sobald der Druck nachlässt. Eine Suspendierung ist ausbleibenden Zahlungen oder bestätigtem Missbrauch vorbehalten, und selbst dann liefert die Website statt einer fehlerhaften Seite eine gebrandete, ursachenspezifische Halteseite aus.
Nicht für Inhalte, die aus dem Cache bereitgestellt werden. LSCache beantwortet Anfragen für zwischengespeicherte Seiten, ohne PHP oder MySQL aufzurufen, und ein Website-spezifischer Redis-Objekt-Cache entlastet Lesezugriffe für tatsächlich dynamische Seiten. Was übrig bleibt, wird durch die LVE-Prozess- und Entry-Process-Limits Ihrer Website sowie durch die datenbankspezifische Drosselung von MySQL Governor begrenzt, sodass der Datenbankdruck einer einzelnen Website nicht auf den Server übergreifen kann. Cart-, checkout-, my-account- und Sitzungsseiten bleiben standardmäßig ungecached, damit Härtungsmaßnahmen niemals eine Transaktion unterbrechen.
Ja, auf der Netzwerkebene. Der DDoS-Schutz auf Provider-Ebene filtert L3/4-Floods vor unserer Flotte unabhängig vom Protokoll, und für erweiterte oder unternehmensweite Anforderungen erweitern Cloudflare Magic Transit und Spectrum die Mitigation auf Edge-Ebene auf Nicht-HTTP-Datenverkehr.
Jeder Durchsetzungsübergang wird mit seiner Begründung protokolliert, unabhängig davon, ob er automatisch oder durch Mitarbeiter veranlasst wurde, sowie mit den zugrunde liegenden Nachweisen. Sie werden darüber benachrichtigt, was geändert wurde und wie es behoben werden kann, jede Maßnahme ist anfechtbar und privilegierte Aktionen werden für Ihren eigenen Compliance-Prüfpfad protokolliert. Signale werden in einem einzigen Abuse Desk zusammengefasst, anstatt über verschiedene Tools verteilt zu sein.
Ja. Das Footprint-Free-Hosting beginnt mit einer kartenfreien 14-tägigen Testversion für bis zu 5 Websites — ohne Zahlungsdaten, ohne Verpflichtung. Die Tarife sind durch eine 30-tägige Geld-zurück-Garantie ohne Wenn und Aber, kostenlose Migrationen und keine Herstellerbindung abgesichert.
Netzwerkfilterung, Edge-Absorption, Server-Drosselung und Eindämmung auf Website-Ebene sind ab dem Moment der Bereitstellung aktiv — Sie müssen nichts konfigurieren und während eines Vorfalls nichts einschalten. Starten Sie mit einer 14-tägigen Testversion ohne Kreditkarte, abgesichert durch eine 30-tägige Geld-zurück-Garantie und kostenlose Migrationen.
Kostenlos starten