Προστασία DDoS
Οι επιθέσεις υπερχείλισης απορροφώνται στο άκρο του δικτύου, οι επιθέσεις επιπέδου δικτύου φιλτράρονται ανάντη και οτιδήποτε φτάνει στον διακομιστή περιορίζεται μέσα στο κλωβό επιπέδου πυρήνα του ίδιου του ιστότοπου-στόχου. Πολλαπλά επίπεδα, καθένα από τα οποία εκτελεί διαφορετική λειτουργία, ώστε μια επίθεση που στοχεύει έναν ιστότοπο να μην εξελίσσεται σε διακοπή λειτουργίας για τους διπλανούς του. Αυτό είναι το μοντέλο άμυνας που δημιουργήσαμε για μια πλατφόρμα που φιλοξενεί 700.000+ ιστότοπους παγκοσμίως, και η βασική γραμμή εκτελείται σε κάθε πρόγραμμα. Διαθεσιμότητα: ο περιορισμός ρυθμού βάσης δεδομένων ανά ιστότοπο βρίσκεται υπό ενεργή ανάπτυξη και δεν είναι ακόμη διαθέσιμος. Οτιδήποτε άλλο περιγράφεται εδώ λειτουργεί κανονικά σήμερα.
Μια ογκομετρική επίθεση (volumetric flood), μια επίθεση επιπέδου εφαρμογής L7 και μια αργή επίθεση εξάντλησης συνδέσεων αποτελούν τρία διαφορετικά προβλήματα. Αντιμετωπίζουμε το καθένα από αυτά εκεί όπου είναι πιο οικονομικό και ταχύτερο — ανάντη του στόλου, στις παρυφές του δικτύου και εντός του κλωβού.
Η προστασία DDoS σε επίπεδο παρόχου φιλτράρει τις υπερχειλίσεις του επιπέδου δικτύου ανοδικά του στόλου των worker μας, προτού αυτή η κίνηση καταναλώσει μια θύρα, μια κάρτα δικτύου (NIC) ή έναν κύκλο CPU στο μηχάνημα όπου εκτελείται ο ιστότοπός σας. Για προηγμένα και εταιρικά προφίλ κινδύνου, τα Cloudflare Magic Transit και Spectrum επεκτείνουν το ίδιο φιλτράρισμα και στην κυκλοφορία εκτός HTTP.
Ένα διαχειριζόμενο δίκτυο άκρων βρίσκεται μπροστά από κάθε ιστότοπο. Απορροφά ογκομετρικές επιθέσεις HTTP flood, εκτελεί L7 WAF, εφαρμόζει περιορισμό ρυθμού ανά ιστότοπο και χρησιμοποιεί διαχείριση bot καθώς και διαχειριζόμενες προκλήσεις για να διαχωρίσει τους πραγματικούς επισκέπτες από την αυτοματοποιημένη κίνηση — όλα αυτά πριν ένα αίτημα φτάσει στον διακομιστή προέλευσης.
Το LiteSpeed Enterprise εφαρμόζει περιορισμό συνδέσεων και αιτημάτων με όρια σύνδεσης ανά IP, το Imunify360 εκτελεί ένα τείχος προστασίας δικτύου με προστασία από επιθέσεις brute-force και φιλτράρισμα φήμης IP, και τα όρια διαδικασιών εισόδου του CloudLinux LVE περιορίζουν πόσα ταυτόχρονα αιτήματα μπορεί να διατηρεί ανοιχτά ένας μεμονωμένος ιστότοπος.
Το LVE περιορίζει την CPU, τη RAM, το IO, τα IOPS, τις διεργασίες και τις διεργασίες εισόδου για κάθε ιστότοπο ξεχωριστά. Μια ροή επισκεψιμότητας που διαπερνά τα ανώτερα επίπεδα περιορίζεται εντός του απομονωμένου περιβάλλοντος του ίδιου του ιστότοπου-στόχου, έτσι ώστε η πίεση που δημιουργείται να παραμένει σε αυτόν τον ιστότοπο αντί να διαχέεται σε ολόκληρο τον διακομιστή.
Οι περισσότερες διακοπές φιλοξενίας κατά τη διάρκεια μιας επίθεσης δεν προκαλούνται από το ότι η επίθεση φτάνει στον στόχο της. Προκαλούνται από το ότι η κατανάλωση πόρων του στόχου αποστερεί πόρους από οτιδήποτε άλλο στον διακομιστή. Αυτός είναι ο τρόπος αστοχίας που σχεδιάστηκε να εξαλείψει αυτή η αρχιτεκτονική.
Το πιο οικονομικό αίτημα προς διαχείριση είναι αυτό που δεν φτάνει ποτέ στην PHP ή τη MySQL. Η προσωρινή μνήμη δύο επιπέδων που διαθέτουμε σημαίνει ότι ένα μεγάλο μέρος μιας πλημμύρας αιτημάτων στο επίπεδο εφαρμογής εξυπηρετείται από στατικά bytes αντί να επιβαρύνει τον αρχικό διακομιστή σας.
Ο μετριασμός δεν είναι δελτίο υποστήριξης. Τα σήματα τροφοδοτούν έναν μηχανισμό πολιτικής που αντιστοιχίζει το καθένα σε μια ενέργεια επιβολής, μια ειδοποίηση πελάτη και — όπου είναι δυνατόν — μια αυτόματη αποκατάσταση, με καταγραφή κάθε μετάβασης.
Όταν ενεργοποιείται ένα σήμα DDoS, ο μηχανισμός πολιτικών εφαρμόζει μετριασμό Cloudflare και περιορισμό ρυθμού ανά ιστότοπο, ενώ μπορεί να αυστηροποιήσει δυναμικά τα όρια LVE αυτού του ιστοτόπου. Όταν το σήμα εξαλειφθεί, τα όρια χαλαρώνουν ξανά. Κλιμακωτό, αναστρέψιμο και καταγεγραμμένο σε κάθε βήμα.
Εάν μια επίθεση απειλεί τον διακομιστή προέλευσης, ο ιστότοπος μεταβαίνει σε κατάσταση «περιορισμού» (throttled) — αυστηρότερα όρια LVE και περιορισμός ρυθμού αιτημάτων, με τον ιστότοπο να παραμένει ενεργός και σε λειτουργία. Η κατάσταση περιορισμού αποκαθίσταται αυτόματα μόλις εκλείψει η πίεση· δεν πρόκειται για αναστολή λειτουργίας.
Κάτω από τη μηχανή πολιτικών, το LVE περιορίζει τη χρήση CPU, IO και διεργασιών ανά ιστότοπο εγγενώς και αυτόματα. Είναι η πάντα ενεργή πρώτη γραμμή άμυνας, η οποία λειτουργεί ανεξάρτητα από το αν η κίνηση έχει ήδη κατηγοριοποιηθεί ως επίθεση ή όχι.
Κάθε μετάβαση επιβολής καταγράφει την αιτία της, εάν ήταν αυτόματη ή αν ξεκίνησε από το προσωπικό, καθώς και τα αποδεικτικά στοιχεία που τη στηρίζουν. Ενημερώνεστε για το τι άλλαξε και πώς να το επιλύσετε, και κάθε ενέργεια υπόκειται σε έφεση.
Η βασική προστασία δεν είναι προαιρετική, επειδή ένας ιστότοπος που δέχεται επίθεση ή έχει παραβιαστεί απειλεί τους γείτονές του, τη φήμη των διακομιστών μας και τα εύρη διευθύνσεων IP μας. Υπάρχει ισχυρότερη προστασία για ιστότοπους των οποίων το προφίλ κινδύνου το απαιτεί.
Μια απότομη αύξηση της κίνησης είναι συχνά ένα σύμπτωμα. Ο ίδιος δίαυλος σημάτων που διαχειρίζεται τις πλημμύρες εντοπίζει επίσης τις παραβιάσεις που τις προκαλούν, έτσι ώστε το περιστατικό να ταξινομείται σωστά και όχι απλώς να απορροφάται.
Ο σχεδιαστικός στόχος είναι ο περιορισμός. Κάθε ιστότοπος εκτελείται μέσα στο δικό του cage CloudLinux LVE με ανώτατα όρια σε CPU, RAM, IO, IOPS, διεργασίες και διεργασίες εισόδου, δική του προβολή συστήματος αρχείων CageFS και ρύθμιση ρυθμού διαμεταγωγής βάσης δεδομένων ανά ιστότοπο μέσω του MySQL Governor. Ένας ιστότοπος που δέχεται επίθεση περιορίζεται στο δικό του ανώτατο όριο αντί να καταναλώνει ολόκληρο το μηχάνημα, και τα όρια σύνδεσης ανά IP του LiteSpeed καθορίζουν πόσο μέρος του διακομιστή ιστού μπορεί να δεσμεύσει. Ο περιορισμός έχει σχεδιαστεί στον πυρήνα και δεν παραμετροποιείται ανά πελάτη.
Η βασική γραμμή προστασίας περιλαμβάνεται σε κάθε πρόγραμμα: απομόνωση LVE και CageFS, περιορισμός συνδέσεων και αιτημάτων LiteSpeed, τείχος προστασίας δικτύου, προληπτικό WAF και σάρωση κακόβουλου λογισμικού, με απορρόφηση Cloudflare edge και φιλτράρισμα δικτύου σε επίπεδο παρόχου μπροστά από τον στόλο. Το συμπεριλαμβάνουμε επειδή δεν μπορούμε να αφήσουμε την προστασία του δικού μας στόλου προαιρετική. Η προηγμένη διαχείριση bot, τα υψηλότερα επίπεδα DDoS, οι βελτιωμένοι κανόνες WAF και οι αποκλειστικοί κανόνες τείχους προστασίας είναι πρόσθετα για ιστότοπους που τα χρειάζονται.
Το να αποτελείτε στόχο DDoS μεταφράζεται σε μετριασμό μέσω Cloudflare συν περιορισμό ρυθμού ανά ιστότοπο, και — μόνο εάν η επίθεση απειλεί τον διακομιστή προέλευσης — στην κατάσταση «throttled»: αυστηρότερα όρια LVE ενώ ο ιστότοπος παραμένει ενεργός και εξυπηρετεί αιτήματα. Η κατάσταση περιορισμού αποκαθίσταται αυτόματα μόλις υποχωρήσει η πίεση. Η αναστολή προορίζεται για μη πληρωμή ή επιβεβαιωμένη κατάχρηση, και ακόμη και τότε ο ιστότοπος εμφανίζει μια επώνυμη σελίδα αναμονής με συγκεκριμένη αιτιολογία αντί για μια κατεστραμμένη σελίδα.
Όχι για οτιδήποτε εξυπηρετείται από την προσωρινή μνήμη. Το LSCache απαντά σε αιτήματα προσωρινά αποθηκευμένων σελίδων χωρίς να καλεί την PHP ή τη MySQL, και μια προσωρινή μνήμη αντικειμένων Redis ανά ιστότοπο αποφορτίζει τις αναγνώσεις για πραγματικά δυναμικές σελίδες. Ό,τι απομένει περιορίζεται από τα όρια διεργασιών LVE και διεργασιών εισόδου του ιστοτόπου σας και από τον περιορισμό βάσης δεδομένων ανά ιστότοπο του MySQL Governor, επομένως η πίεση στη βάση δεδομένων από έναν ιστότοπο δεν μπορεί να επεκταθεί στον διακομιστή. Οι σελίδες Cart, checkout, my-account και συνεδρίας παραμένουν εκτός προσωρινής μνήμης από προεπιλογή, έτσι ώστε η θωράκιση να μην διακόπτει ποτέ μια συναλλαγή.
Ναι, στο επίπεδο δικτύου. Η προστασία DDoS σε επίπεδο παρόχου φιλτράρει τις πλημμύρες L3/4 ανάντη του στόλου μας ανεξαρτήτως πρωτοκόλλου, και για προηγμένες ή εταιρικές απαιτήσεις, το Cloudflare Magic Transit και το Spectrum επεκτείνουν τον μετριασμό επιπέδου άκρου σε κίνηση εκτός HTTP.
Κάθε μετάβαση επιβολής καταγράφεται μαζί με την αιτία της, εάν ήταν αυτόματη ή αν ξεκίνησε από το προσωπικό, καθώς και με τα σχετικά αποδεικτικά στοιχεία. Ενημερώνεστε για το τι άλλαξε και τι το επιλύει, κάθε ενέργεια μπορεί να προσβληθεί και οι ενέργειες με προνόμια καταγράφονται σε αρχείο καταγραφής ελέγχου για το δικό σας ίχνος συμμόρφωσης. Τα σήματα συγκεντρώνονται σε ένα ενιαίο Abuse Desk αντί να είναι διασκορπισμένα σε διάφορα εργαλεία.
Ναι. Η φιλοξενία Footprint-Free ξεκινά με μια δοκιμή 14 ημερών χωρίς κάρτα που καλύπτει έως και 5 ιστότοπους — χωρίς στοιχεία πληρωμής, χωρίς δεσμεύσεις. Τα προγράμματα υποστηρίζονται από εγγύηση επιστροφής χρημάτων 30 ημερών χωρίς αντιρρήσεις, δωρεάν μεταφορές και χωρίς δέσμευση προμηθευτή.
Το φιλτράρισμα δικτύου, η απορρόφηση στα άκρα, ο περιορισμός διακομιστή και ο περιορισμός ανά ιστότοπο λειτουργούν από τη στιγμή της ανάπτυξης — τίποτα προς ρύθμιση, τίποτα προς ενεργοποίηση κατά τη διάρκεια ενός συμβάντος. Ξεκινήστε με μια δοκιμή 14 ημερών χωρίς κάρτα, υποστηριζόμενη από εγγύηση επιστροφής χρημάτων 30 ημερών και δωρεάν μεταφορές.
Ξεκινήστε δωρεάν