Protección contra DDoS
Las inundaciones se absorben en el borde, los ataques a nivel de red se filtran aguas arriba y todo lo que llega al servidor se contiene dentro de la propia jaula a nivel de núcleo del sitio de destino. Varias capas, cada una con una función diferente, de modo que un ataque dirigido a un sitio no se convierta en una interrupción para los que están al lado. Este es el modelo de defensa que hemos creado para una plataforma que aloja más de 650 000 sitios en todo el mundo, y la base se ejecuta en todos los planes. Disponibilidad: la limitación de la base de datos por sitio está en desarrollo activo y aún no está disponible. Todo lo demás descrito aquí está activo hoy en día.
Un ataque de inundación volumétrica, un ataque de capa L7 y un ataque de agotamiento de conexiones lento son tres problemas diferentes. Nos encargamos de cada uno de ellos donde resulta más económico y rápido hacerlo: aguas arriba del cluster, en el borde y dentro del contenedor.
La protección contra ataques DDoS a nivel de proveedor filtra los desbordamientos a nivel de red antes de que lleguen a nuestra flota de workers, y antes de que ese tráfico consuma un puerto, una tarjeta de red (NIC) o un ciclo de CPU en la máquina donde se aloja su sitio web. Para perfiles de riesgo avanzados y empresariales, Cloudflare Magic Transit y Spectrum extienden el mismo filtrado al tráfico que no es HTTP.
Una red perimetral administrada se sitúa frente a cada sitio. Absorbe inundaciones HTTP volumétricas, ejecuta un WAF de capa 7, aplica limitación de velocidad por sitio y utiliza gestión de bots y desafíos administrados para separar a los visitantes reales del tráfico automatizado, todo antes de que una solicitud llegue al origen.
LiteSpeed Enterprise aplica limitación de conexiones y solicitudes con límites de conexiones por IP, Imunify360 ejecuta un cortafuegos de red con protección contra ataques de fuerza bruta y filtrado de reputación de IP, y los límites de procesos de entrada LVE de CloudLinux restringen cuántas solicitudes concurrentes puede mantener abiertas un solo sitio.
LVE limita la CPU, la RAM, las E/S, las IOPS, los procesos y los procesos de entrada para cada sitio de manera individual. Una avalancha que logre superar las capas superiores se restringe dentro de la propia jaula del sitio de destino, por lo que la presión que genera permanece en dicho sitio en lugar de propagarse por el servidor.
La mayoría de las interrupciones del alojamiento durante un ataque no se deben a que el ataque alcance su objetivo. Son causadas por el consumo de recursos del objetivo que agota todo lo demás en el servidor. Ese es el modo de fallo que esta arquitectura está diseñada para eliminar.
La solicitud más económica de sobrevivir es la que nunca toca PHP ni MySQL. Nuestra caché de dos capas significa que una gran parte de una avalancha en la capa de aplicación se responde con bytes estáticos en lugar de hacer que su origen trabaje.
La mitigación no es un ticket de soporte. Las señales alimentan un motor de políticas que asigna cada una a una acción de cumplimiento, una notificación al cliente y —cuando es posible— una solución automática, con cada transición registrada.
Cuando se activa una señal de DDoS, el motor de políticas aplica la mitigación de Cloudflare y la limitación de tasa por sitio, y puede ajustar dinámicamente los límites de LVE de ese sitio. Cuando la señal desaparece, los límites vuelven a relajarse. Gradual, reversible y registrado en cada paso.
Si un ataque amenaza el origen, el sitio pasa a un estado "limitado": límites de LVE y de tasa más estrictos, pero el sitio sigue activo y funcionando. El estado limitado se recupera automáticamente una vez que cesa la presión; no es una suspensión.
Por debajo del motor de políticas, LVE limita el uso de CPU, E/S y procesos por sitio de forma nativa y automática. Es la primera línea de defensa siempre activa, que funciona tanto si el tráfico ha sido clasificado como un ataque como si aún no lo ha sido.
Cada transición de cumplimiento registra su motivo, ya haya sido automática o iniciada por el personal, y las pruebas que la respaldan. Se le notifica qué cambió y cómo solucionarlo, y cada acción es apelable.
La protección básica no es opcional, ya que un sitio atacado o vulnerado amenaza a sus vecinos, la reputación de nuestro servidor y nuestros rangos de IP. Existe una protección más robusta para aquellos sitios cuyo perfil de riesgo así lo requiera.
Un pico de tráfico suele ser un síntoma. La misma tubería de señales que gestiona las inundaciones también detecta las brechas que las producen, por lo que un incidente se clasifica correctamente en lugar de simplemente absorberse.
El objetivo de diseño es el aislamiento. Cada sitio web se ejecuta dentro de su propia jaula CloudLinux LVE con límites de CPU, RAM, E/S, IOPS, procesos y procesos de entrada, su propia vista de sistema de archivos CageFS y limitación de bases de datos por sitio mediante MySQL Governor. Un sitio atacado se restringe en su propio límite en lugar de consumir toda la máquina, y los límites de conexión por IP de LiteSpeed acotan la cantidad del servidor web que puede ocupar. El aislamiento se diseña a nivel de kernel, no se configura por cliente.
La base se incluye en cada plan: aislamiento con LVE y CageFS, limitación de conexiones y solicitudes de LiteSpeed, un cortafuegos de red, el WAF proactivo y análisis de malware, con absorción perimetral de Cloudflare y filtrado de red a nivel de proveedor frente a la flota. Lo incluimos porque no podemos dejar opcional la protección de nuestra propia flota. La gestión avanzada de bots, los niveles superiores de DDoS, las reglas de WAF mejoradas y las reglas de cortafuegos dedicadas son complementos para los sitios que los necesiten.
Ser un objetivo de DDoS se traduce en la mitigación de Cloudflare junto con la limitación de tasa por sitio, y —solo si el ataque amenaza al origen— el estado «limitado»: límites de LVE más estrictos con el sitio aún activo y operativo. El estado limitado se recupera automáticamente una vez que cede la presión. La suspensión se reserva para la falta de pago o abuso confirmado, y aun así el sitio muestra una página de espera personalizada y específica para el motivo en lugar de una rota.
Nada de lo que se sirve desde la caché. LSCache responde a las solicitudes de páginas en caché sin invocar PHP o MySQL, y una caché de objetos Redis por sitio descarga las lecturas de las páginas verdaderamente dinámicas. Lo que queda está limitado por los límites de procesos LVE y de procesos de entrada de su sitio y por la limitación de la base de datos por sitio de MySQL Governor, por lo que la presión sobre la base de datos de un sitio no puede propagarse al servidor. Las páginas de carrito, pago (checkout), mi cuenta y sesiones permanecen sin caché de forma predeterminada para que el endurecimiento (hardening) nunca interrumpa una transacción.
Sí, a nivel de red. La protección contra DDoS a nivel de proveedor filtra las inundaciones de L3/4 antes de llegar a nuestra infraestructura, independientemente del protocolo, y para necesidades avanzadas o empresariales, Cloudflare Magic Transit y Spectrum extienden la mitigación de nivel perimetral al tráfico no HTTP.
Cada transición de aplicación se registra con su motivo, si fue automática o iniciada por el personal, y las pruebas que la respaldan. Se le notifica qué cambió y qué lo resuelve, cada acción es apelable y las acciones privilegiadas se registran en auditoría para su propio historial de cumplimiento. Las señales se agregan en una única Mesa de Abusos en lugar de estar dispersas en varias herramientas.
Sí. Footprint-Free Hosting comienza con una prueba de 14 días sin necesidad de tarjeta que cubre hasta 5 sitios, sin datos de pago ni compromisos. Los planes cuentan con una garantía de devolución de 30 días sin complicaciones, migraciones gratuitas y sin dependencia de proveedores.
El filtrado de red, la absorción perimetral, la limitación de velocidad del servidor y el aislamiento por sitio se ejecutan desde el momento en que realizas el despliegue; sin nada que configurar ni que activar en medio de un incidente. Comienza con una prueba de 14 días sin tarjeta de crédito, respaldada por una garantía de devolución de 30 días y migraciones gratuitas.
Empieza gratis