Protección contra DDoS
Las sobrecargas se absorben en el perímetro, los ataques a nivel de red se filtran antes de llegar y todo lo que alcanza el servidor queda contenido dentro de la propia jaula a nivel de kernel del sitio afectado. Varias capas, cada una cumpliendo una función distinta, evitan que un ataque dirigido a un sitio provoque una interrupción en los adyacentes. Este es el modelo de defensa que diseñamos para una plataforma que aloja más de 700.000 sitios en todo el mundo, y la protección base opera en todos los planes. Disponibilidad: la limitación de base de datos por sitio se encuentra en desarrollo activo y aún no está disponible. Todo lo demás descrito aquí se encuentra operativo hoy mismo.
Un ataque de inundación volumétrica, una inundación a nivel de aplicación L7 y un ataque lento de agotamiento de conexiones son tres problemas diferentes. Gestionamos cada uno de ellos donde resulta más económico y rápido: antes de la flota, en el perímetro y dentro de la jaula.
La protección contra DDoS a nivel de proveedor filtra los desbordamientos de la capa de red aguas arriba de nuestra flota de workers, antes de que ese tráfico consuma un puerto, una NIC o un ciclo de CPU en la máquina donde se ejecuta su sitio. Para perfiles de riesgo avanzados y empresariales, Cloudflare Magic Transit y Spectrum extienden el mismo filtrado al tráfico no perteneciente a HTTP.
Una red perimetral administrada se ubica frente a cada sitio. Absorbe inundaciones HTTP volumétricas, ejecuta un L7 WAF, aplica limitación de velocidad por sitio y utiliza la gestión de bots y desafíos administrados para separar a los visitantes reales del tráfico automatizado, todo antes de que una solicitud llegue al origen.
LiteSpeed Enterprise aplica limitación de conexiones y solicitudes con límites de conexión por IP, Imunify360 ejecuta un firewall de red con protección contra fuerza bruta y filtrado de reputación de IP, y los límites de procesos de entrada de CloudLinux LVE restringen cuántas solicitudes simultáneas puede mantener abiertas un único sitio.
LVE limita la CPU, la RAM, el IO, los IOPS, los procesos y los procesos de entrada para cada sitio individualmente. El tráfico desmedido que atraviesa las capas superiores se restringe dentro de la propia jaula del sitio de destino, de modo que la presión que genera permanece en ese sitio en lugar de propagarse por todo el servidor.
La mayoría de las interrupciones del alojamiento durante un ataque no se deben a que el ataque alcance su objetivo. Se deben a que el consumo de recursos del objetivo agota todo lo demás en el servidor. Este es el modo de fallo que esta arquitectura está diseñada para eliminar.
La solicitud más económica de procesar es la que nunca llega a PHP ni a MySQL. Nuestra caché de dos capas permite responder a una gran parte de las saturaciones a nivel de aplicación mediante bytes estáticos, evitando que su servidor de origen tenga que trabajar.
La mitigación no es un ticket de soporte. Las señales alimentan un motor de políticas que asigna cada una a una acción de cumplimiento, una notificación al cliente y, cuando es posible, una solución automática, registrando cada transición.
Cuando se activa una señal de DDoS, el motor de políticas aplica la mitigación de Cloudflare y la limitación de frecuencia por sitio, y puede restringir dinámicamente los límites de LVE de ese sitio. Cuando la señal desaparece, los límites vuelven a flexibilizarse. Escalonado, reversible y registrado en cada paso.
Si un ataque amenaza el origen, el sitio pasa a un estado «limitado» (throttled): límites de LVE más estrictos y limitación de velocidad, mientras el sitio sigue activo y prestando servicio. El estado limitado se restablece automáticamente una vez que desaparece la presión; no se trata de una suspensión.
Por debajo del motor de políticas, LVE limita de forma nativa y automática el uso de CPU, IO y procesos por sitio. Es la primera línea siempre activa, que funciona independientemente de si el tráfico ya ha sido clasificado como un ataque o no.
Cada transición de cumplimiento registra su motivo, si fue automática o iniciada por el personal, y las pruebas correspondientes. Se le notifica qué ha cambiado y cómo resolverlo, y todas las acciones son apelables.
La protección básica no es opcional, ya que un sitio atacado o comprometido amenaza a sus vecinos, la reputación de nuestros servidores y nuestros rangos de IP. Existe una protección más avanzada para los sitios cuyo perfil de riesgo así lo requiera.
Un pico de tráfico suele ser un síntoma. La misma canalización de señales que gestiona las inundaciones también detecta los riesgos de seguridad que las provocan, de modo que el incidente se clasifica correctamente en lugar de solo absorberse.
El objetivo de diseño es la contención. Cada sitio se ejecuta dentro de su propia jaula CloudLinux LVE con límites fijados de CPU, RAM, IO, IOPS, procesos y procesos de entrada, su propia vista del sistema de archivos CageFS y limitación de base de datos por sitio mediante MySQL Governor. Un sitio atacado se limita a su propio techo en lugar de consumir toda la máquina, y los límites de conexión por IP de LiteSpeed restringen cuánto del servidor web puede acaparar. La contención está desarrollada a nivel de kernel, no configurada por cliente.
El nivel base está incluido en todos los planes: aislamiento con LVE y CageFS, limitación de conexiones y solicitudes con LiteSpeed, cortafuegos de red, WAF proactivo y escaneo de malware, junto con absorción en el perímetro mediante Cloudflare y filtrado de red a nivel de proveedor frente a la flota. Lo incluimos porque no podemos dejar la protección de nuestra propia flota como algo opcional. La gestión avanzada de bots, niveles superiores de DDoS, reglas mejoradas de WAF y reglas de cortafuegos dedicadas son complementos para los sitios que los necesiten.
Ser objetivo de un ataque DDoS se traduce en mitigación de Cloudflare más límite de peticiones por sitio y —solo si el ataque amenaza al servidor de origen— el estado «throttled»: límites de LVE más estrictos manteniendo el sitio activo y operativo. El estado limitado se recupera automáticamente una vez que disminuye la presión. La suspensión se reserva para casos de impago o abuso confirmado, e incluso entonces el sitio muestra una página de espera personalizada con el motivo correspondiente en lugar de una página rota.
No para nada que se sirva desde la caché. LSCache responde a las solicitudes de páginas en caché sin invocar PHP ni MySQL, y una caché de objetos Redis por sitio descarga las lecturas de las páginas genuinamente dinámicas. Lo que queda está delimitado por los límites de procesos LVE y procesos de entrada de su sitio y por la limitación de bases de datos por sitio de MySQL Governor, por lo que la presión sobre la base de datos de un sitio no puede extenderse al servidor. Las páginas de Cart, checkout, my-account y de sesión permanecen sin almacenar en caché de forma predeterminada para que el fortalecimiento de la seguridad nunca interrumpa una transacción.
Sí, en la capa de red. La protección DDoS a nivel de proveedor filtra las inundaciones de L3/4 antes de llegar a nuestra flota, independientemente del protocolo, y para requisitos avanzados o empresariales, Cloudflare Magic Transit y Spectrum extienden la mitigación de nivel perimetral al tráfico que no es HTTP.
Cada transición de cumplimiento se registra con su motivo, tanto si fue automática como si fue iniciada por el personal, y las pruebas que la respaldan. Se le notifica qué ha cambiado y qué lo resuelve, cada acción es apelable y las acciones privilegiadas se registran para su propia pista de auditoría de cumplimiento. Las señales se agregan en un único Abuse Desk en lugar de estar dispersas entre varias herramientas.
Sí. El alojamiento Footprint-Free comienza con una prueba de 14 días sin tarjeta que cubre hasta 5 sitios: sin datos de pago ni compromisos. Los planes están respaldados por una garantía de devolución de dinero de 30 días sin complicaciones, migraciones gratuitas y sin permanencia con el proveedor.
El filtrado de red, la absorción en el perímetro, la limitación de servidores y la contención por sitio web funcionan desde el momento de la implementación: nada que configurar, nada que activar en medio de un incidente. Comience con una prueba de 14 días sin tarjeta, respaldada por una garantía de devolución de dinero de 30 días y migraciones gratuitas.
Empiece gratis