Προστασία DDoS
Οι πλημμύρες απορροφώνται στην άκρη, οι επιθέσεις στο επίπεδο δικτύου φιλτράρονται ανάντη και ό,τι φτάνει στον διακομιστή περιορίζεται μέσα στο κλουβί επιπέδου πυρήνα του ίδιου του ιστότοπου-στόχου. Αρκετά επίπεδα, το καθένα με διαφορετική εργασία, ώστε μια επίθεση που στοχεύει έναν ιστότοπο να μην μετατρέπεται σε διακοπή λειτουργίας για τους διπλανούς. Αυτό είναι το μοντέλο άμυνας που χτίσαμε για μια πλατφόρμα που φιλοξενεί 650.000+ ιστότοπους παγκοσμίως, και η βάση εκτελείται σε κάθε πρόγραμμα. Διαθεσιμότητα: ο περιορισμός βάσης δεδομένων ανά ιστότοπο βρίσκεται σε ενεργό στάδιο ανάπτυξης και δεν είναι ακόμη διαθέσιμος. Όλα τα υπόλοιπα που περιγράφονται εδώ είναι ζωντανά σήμερα.
Μια ογκομετρική επίθεση άρδευσης (flood), μια επίθεση εφαρμογών L7 και μια επίθεση εξάντλησης αργών συνδέσεων είναι τρία διαφορετικά προβλήματα. Τα διαχειριζόμαστε το καθένα εκεί όπου είναι φθηνότερα και ταχύτερα να αντιμετωπιστούν — ανάντη του στόλου, στην άκρη (edge), και μέσα στο κλουβί (cage).
Η προστασία DDoS σε επίπεδο παρόχου φιλτράρει τις πλημμύρες επιπέδου δικτύου ανάντη του στόλου των worker μας, πριν η κυκλοφορία αυτή καταναλώσει έστω και μία θύρα, μια κάρτα δικτύου (NIC) ή έναν κύκλο CPU στο μηχάνημα στο οποίο φιλοξενείται ο ιστότοπός σας. Για προφίλ κινδύνου προηγμένου και εταιρικού επιπέδου, τα Cloudflare Magic Transit και Spectrum επεκτείνουν την ίδια προστασία φιλτραρίσματος σε μη HTTP κυκλοφορία.
Ένα διαχειριζόμενο δίκτυο edge βρίσκεται μπροστά από κάθε ιστότοπο. Απορροφά ογκομετρικές επιθέσεις HTTP floods, εκτελεί ένα L7 WAF, εφαρμόζει περιορισμό ρυθμού ανά ιστότοπο και χρησιμοποιεί διαχείριση bot και διαχειριζόμενες προκλήσεις για να διαχωρίσει τους πραγματικούς επισκέπτες από την αυτοματοποιημένη κίνηση — όλα αυτά πριν ένα αίτημα φτάσει στον προέλευση.
Το LiteSpeed Enterprise εφαρμόζει περιορισμό ταχύτητας συνδέσεων και αιτημάτων με όρια συνδέσεων ανά IP, το Imunify360 εκτελεί ένα τείχος προστασίας δικτύου (firewall) με προστασία από επιθέσεις βίας (brute-force) και φιλτράρισμα φήμης IP, και τα όρια διεργασιών εισόδου LVE του CloudLinux δεσμεύουν πόσα ταυτόχρονα αιτήματα μπορεί να διατηρεί ανοιχτά ένας και μόνο ιστότοπος.
Το LVE περιορίζει την CPU, τη RAM, το IO, τα IOPS, τις διεργασίες και τις διεργασίες εισόδου (entry-processes) για κάθε ιστότοπο ξεχωριστά. Μια επίθεση τύπου flood που διαπερνά τα ανώτερα στρώματα περιορίζεται εντός του απομονωμένου περιβάλλοντος (cage) του στοχευμένου ιστότοπου, επομένως η πίεση που δημιουργεί παραμένει σε αυτόν τον ιστότοπο αντί να εξαπλώνεται σε ολόκληρο τον διακομιστή.
Οι περισσότερες διακοπές λειτουργίας φιλοξενίας κατά τη διάρκεια μιας επίθεσης δεν προκαλούνται από το ότι η επίθεση φτάνει στον στόχο της. Προκαλούνται από την κατανάλωση πόρων του στόχου που στερεί τους πόρους από οτιδήποτε άλλο στο μηχάνημα. Αυτός είναι ο τρόπος αστοχίας που αυτή η αρχιτεκτονική έχει σχεδιαστεί για να εξαλείφει.
Το φθηνότερο αίτημα που μπορεί να επιβιώσει είναι αυτό που δεν αγγίζει ποτέ την PHP ή τη MySQL. Η κρυφή μνήμη δύο στρωμάτων μας σημαίνει ότι ένα μεγάλο μέρος μιας πλημμύρας επιπέδου εφαρμογής απαντάται με στατικά byte και όχι από την εκτέλεση εργασιών από την προέλευσή σας.
Η μετρίαση δεν είναι ένα δεltio υποστήριξης. Τα σήματα τροφοδοτούν μια μηχανή πολιτικής που αντιστοιχίζει το καθένα σε μια ενέργεια επιβολής, μια ειδοποίηση πελάτη και —όπου είναι δυνατόν— σε μια αυτόματη αποκατάσταση, με κάθε μετάβαση να καταγράφεται.
Όταν ενεργοποιείται ένα σήμα DDoS, η μηχανίδα πολιτικής εφαρμόζει την προστασία του Cloudflare και τον περιορισμό ρυθμού ανά ιστότοπο, και μπορεί να αυστηροποιήσει δυναμικά τα όρια LVE αυτού του ιστότοπου. Όταν το σήμα εξαλειφθεί, τα όρια χαλαρώνουν ξανά. Κλιμακωτά, αναστρέψιμα και καταγεγραμμένα σε κάθε βήμα.
Αν μια επίθεση απειλεί την προέλευση, ο ιστότοπος μεταβαίνει σε κατάσταση «περιορισμού» — αυστηρότερα όρια LVE και περιορισμός ρυθμού, ενώ ο ιστότοπος παραμένει ενεργός και εξυπηρετεί. Ο περιορισμός αποκαθίσταται αυτόματα μόλις υποχωρήσει η πίεση· δεν πρόκειται για αναστολή λειτουργίας.
Κάτω από τη μηχανή πολιτικής, το LVE περιορίζει εγγενώς και αυτόματα τη χρήση CPU, IO και διεργασιών ανά ιστότοπο. Είναι η πάντα ενεργaιή πρώτη γραμμή άμυνας, η οποία λειτουργεί είτε η κυκλοφορία έχει χαρακτηριστεί ως επίθεση είτε όχι ακόμη.
Κάθε μετάβαση επιβολής καταγράφει την αιτία της, είτε ήταν αυτόματη είτε ξεκινήθηκε από το προσωπικό, καθώς και τα αποδεικτικά στοιχεία πίσω από αυτήν. Ενημερώνεστε για το τι άλλαξε και πώς να το επιλύσετε, και κάθε ενέργεια είναι εφεσιβάλλεται.
Η βασική προστασία δεν είναι προαιρετική, επειδή ένας ιστότοπος που έχει δεχθεί επίθεση ή έχει παραβιαστεί απειλεί τους γείτονές του, τη φήμη του διακομιστή μας και τα εύρη των διευθύνσεων IP μας. Υπάρχει ισχυρότερη προστασία για ιστότοπους των οποίων το προφίλ κινδύνου το απαιτεί.
Μια αύξηση της κίνησης είναι συχνά ένα σύμπτωμα. Ο ίδιος αγωγός σημάτων που διαχειρίζεται τις πλημμύρες εντοπίζει επίσης τις παραβιάσεις που τις προκαλούν, οπότε ένα περιστατικό ταξινομείται σωστά αντί απλώς να απορροφάται.
Ο σχεδιαστικός στόχος είναι η απομόνωση. Κάθε ιστότοπος εκτελείται εντός του δικού του κλωβού CloudLinux LVE με περιορισμένη CPU, RAM, IO, IOPS, διεργασίες και διεργασίες εισόδου (entry-processes), τη δική του προβολή συστήματος αρχείων CageFS, και περιορισμό βάσης δεδομένων ανά ιστότοπος μέσω του MySQL Governor. Ένας ιστότοπος που έχει δεχθεί επίθεση περιορίζεται στο δικό του όριο αντί να καταναλώνει ολόκληρο το μηχάνημα, ενώ τα όρια συνδέσεων ανά IP του LiteSpeed περιορίζουν το πόσο από τον διακομιστή ιστού μπορεί να δεσμεύσει. Η απομόνωση είναι σχεδιασμένη σε επίπεδο πυρήνα, όχι ρυθμισμένη ανά πελάτη.
Η βάση περιλαμβάνεται σε κάθε πρόγραμμα: απομόνωση LVE και CageFS, περιορισμός συνδέσεων και αιτημάτων LiteSpeed, τείχος προστασίας δικτύου, προληπτικό WAF και σάρωση κακόβουλου λογισμικού, με απορρόφηση άκρου Cloudflare και φιλτράρισμα δικτύου σε επίπεδο παρόχου μπροστά από τον στόλο. Την συμπεριλαμβάνουμε επειδή δεν μπορούμε να αφήσουμε την προστασία του ίδιου μας του στόλου προαιρετική. Η προηγμένη διαχείριση bot, τα υψηλότερα επίπεδα DDoS, οι βελτιωμένοι κανόνες WAF και οι αποκλειστικοί κανόνες τείχους προστασίας αποτελούν πρόσθετα στοιχεία για ιστότοπους που τα χρειάζονται.
Η στόχευση σε DDoS αντιστοιχεί σε μετριασμό από το Cloudflare συν περιορισμό ρυθμού ανά ιστότοπο, και —μόνο εάν η επίθεση απειλεί την προέλευση— στην κατάσταση «σε περιορισμό» (throttled): αυστηρότερα όρια LVE, ενώ ο ιστότοπος εξακολουθεί να είναι ενεργός και να εξυπηρετεί. Η κατάσταση περιορισμού επανέρχεται αυτόματα μόλις υποχωρήσει η πίεση. Η αναστολή προορίζεται για περιπτώσεις μη πληρωμής ή επιβεβαιωμένης κατάχρησης, και ακόμη και τότε ο ιστότοπος εμφανίζει μια επώνυμη σελίδα αναμονής που εξηγεί τον λόγο, αντί για μια σπασμένη σελίδα.
Δεν ισχύει για οτιδήποτε σερβίρεται από την προσωρινή μνήμη. Το LSCache απαντά σε αιτήματα προσωρινά αποθηκευμένων σελίδων χωρίς να καλεί PHP ή MySQL, ενώ μια προσωρινή μνήμη αντικειμένων Redis ανά ιστότοπο ελαφρύνει τις αναγνώσεις για πραγματικά δυναμικές σελίδες. Ό,τι απομένει περιορίζεται από τα όρια διεργασιών LVE και εισερχόμενων διεργασιών του ιστότοπού σας, καθώς και από τον περιορισμό βάσης δεδομένων ανά ιστότοπο του MySQL Governor, ώστε η πίεση στη βάση δεδομένων από έναν ιστότοπο να μην επηρεάζει τον διακομιστή. Οι σελίδες καλαθιού, ολοκλήρωσης αγορών, ο λογαριασμός μου και οι σελίδες συνεδρίας παραμένουν εκτός προσωρινής μνήμης από προεπιλογή, ώστε η ενίσχυση ασφαλείας να μην διακόπτει ποτέ μια συναλλαγή.
Ναι, σε επίπεδο δικτύου. Η προστασία DDoS σε επίπεδο παρόχου φιλτράρει τις πλημμύρες L3/4 ανάντη του στόλου μας ανεξαρτήτως πρωτοκόλλου, ενώ για προηγμένες απαιτήσεις ή απαιτήσεις επιχείρησης, τα Cloudflare Magic Transit και Spectrum επεκτείνουν την άμβυνση σε επίπεδο edge σε μη HTTP κίνηση.
Κάθε μετάβαση επιβολής καταγράφεται με την αιτιολογία της, είτε ήταν αυτόματη είτε ξεκινήθηκε από το προσωπικό, καθώς και τα αποδεικτικά στοιχεία πίσω από αυτήν. Ενημερώνεστε για το τι άλλαξε και τι το επιλύει, κάθε ενέργεια είναι εφεσιβάλλητη, και οι προνομιακές ενέργειες καταγράφονται σε αρχείο καταγραφής ελέγχου (audit log) για το δικό σας ιστορικό συμμόρφωσης. Τα σήματα συγκεντρώνονται σε ένα ενιαίο Γραφείο Κατάχρησης (Abuse Desk) αντί να είναι διασπαρμένα σε διάφορα εργαλεία.
Ναι. Το Footprint-Free Hosting ξεκινά με μια 14ήμερη δοκιμή χωρίς κάρτα για έως 5 ιστότοπους — χωρίς στοιχεία πληρωμής, χωρίς δέσμευση. Τα προγράμματα υποστηρίζονται από εγγύηση επιστροφής χρημάτων 30 ημερών χωρίς αστερίσκους, δωρεάν μεταφορές και χωρίς δέσμευση σε έναν πάροχο.
Φιλτράρισμα δικτύου, απορρόφηση στην άκρη, περιορισμός διακομιστή και απομόνωση ανά ιστότοπο λειτουργούν από τη στιγμή της ανάπτυξης — τίποτα για διαμόρφωση, τίποτα για ενεργοποίηση εν μέση κρίσει. Ξεκινήστε μια 14ήμερη δοκιμή χωρίς χρέωση κάρτας, με την υποστήριξη 30ήμερης εγγύησης επιστροφής χρημάτων και δωρεάν μεταναστεύσεων.
Ξεκινήστε δωρεάν