Proteksyon sa DDoS

May-patong na depensa sa DDoS, kaya ang isang pag-atake ay problema lang ng isang site

Sinisipsip ang mga baha sa gilid, sinasala ang mga pag-atake sa network-layer bago pa man makarating, at anumang umabot sa server ay kinukulong sa loob ng cage sa antas ng kernel ng mismong target na site. May ilang layer na bawat isa ay may iba't ibang ginagawa, upang ang pag-atake na nakatutok sa isang site ay hindi maging sanhi ng outage para sa mga katabi nito. Ito ang modelo ng depensa na binuo namin para sa isang platform na nagho-host ng 700,000+ site sa buong mundo, at tumatakbo ang baseline sa bawat plano. Availability: kasalukuyang aktibong binubuo ang bawat-site na throttling ng database at hindi pa available. Live na ngayon ang lahat ng iba pang inilarawan dito.

Magsimula nang libre Tingnan ang pagpepresyo

3mga antas ng pagpapagaan: network, edge, server
700,000+mga site na naka-host sa buong mundo
Kasamabaseline na paghihiwalay, WAF at throttling
99.99%Garantiyang uptime

May mga layer ayon sa disenyo, dahil hindi kailanman sapat ang isa

Ang volumetric flood, L7 application flood, at mabagal na connection-exhaustion attack ay tatlong magkakaibang problema. Hinahawakan namin ang bawat isa sa mga ito kung saan pinakamura at pinakamabilis itong asikasuhin — sa upstream ng fleet, sa edge, at sa loob ng cage.

Network layer (L3/4)

Sinasala ng antas-ng-provider na proteksyon sa DDoS ang mga network-layer flood bago makarating sa aming fleet ng mga worker, bago pa man kumonsumo ang trapikong iyon ng port, NIC, o cycle ng CPU sa makinang pinapatakbuhan ng inyong site. Para sa mga advanced at enterprise na profile ng panganib, pinalalawak ng Cloudflare Magic Transit at Spectrum ang parehong pagsala sa trapikong hindi HTTP.

Application layer (L7) sa gilid

Isang pinamamahalaang edge network ang nakalagay sa harap ng bawat site. Sumisipsip ito ng volumetric HTTP floods, nagpapatakbo ng L7 WAF, naglalapat ng limitasyon sa rate bawat site, at gumagamit ng pamamahala ng bot at pinamamahalaang mga hamon upang ihiwalay ang mga tunay na bisita mula sa automated na trapiko — lahat bago makarating ang isang kahilingan sa pinagmulan.

Antas ng server

Naglilapat ang LiteSpeed Enterprise ng connection at request throttling na may mga limitasyon sa koneksyon bawat IP, nagpapatakbo ang Imunify360 ng network firewall na may proteksyon sa brute-force at pagsala sa reputasyon ng IP, at nililimitahan ng mga limitasyon sa entry-process ng CloudLinux LVE kung gaano karaming magkakasabay na kahilingan ang maaaring panatilihing bukas ng isang site.

Pagbubukod bawat site

Nililimitahan ng LVE ang CPU, RAM, IO, IOPS, mga proseso, at mga entry-process para sa bawat site nang paisa-isa. Ang pagbaha ng trapiko na nakakalusot sa mga mas matataas na layer ay pinapabagal sa loob mismo ng hawla ng target na site, kaya ang presyong dulot nito ay nananatili sa site na iyon sa halip na kumalat sa buong server.

Ang pagpigil ang siyang punto

Karamihan sa mga pagkaantala ng hosting habang may pag-atake ay hindi sanhi ng pag-abot ng pag-atake sa target nito. Ang mga ito ay sanhi ng pagkaubos ng resource ng target na nagdudulot ng kakulangan sa lahat ng iba pa sa server. Iyan ang uri ng pagkabigo na idinisenyo ng arkitekturang ito na alisin.

Tumatakbo ang bawat site sa loob ng sarili nitong CloudLinux LVE resource cage — ang inaataking site ay nililimitahan sa sarili nitong hangganan, at pinapanatili ng mga kalapit na site ang mga resource na ginagarantiya sa kanila ng sarili nilang mga limitasyon.
Nagbibigay ang CageFS sa bawat tenant ng nakabukod na view ng filesystem, kaya ang isang pag-atake na lumalala tungo sa isang pagtatangkang panghihimasok ay napipigilan sa halip na kumalat sa mga tenant.
Nililimitahan ng CloudLinux MySQL Governor ang paggamit ng database bawat site, kaya ang pagbaha sa application-layer na nagpupukpok ng mga uncached query ay hindi makakapagpabagsak sa database para sa lahat ng iba pa sa server.
Ang mga worker ng LiteSpeed LSAPI bawat site ay nakatakda ayon sa mga limitasyon ng LVE ng site na iyon, kaya hindi makakabuo ang isang baha ng trapiko ng walang limitasyong mga proseso ng PHP.
Sinisipsip ng mga limitasyon sa koneksyon bawat IP at pag-throttle ng koneksyon ng LiteSpeed ang mga pag-atake ng mabagal na koneksyon at pagkaubos ng koneksyon sa web server, hindi sa application.

Ang cache ang shock absorber na nakakalimutan ng karamihan sa mga host

Ang pinakamatipid na kahilingan na kayang tugunan ay ang hindi kailanman umaabot sa PHP o MySQL. Dahil sa aming dalawang-patong na cache, ang malaking bahagi ng pagbaha sa antas ng aplikasyon ay sinasagot ng mga static na byte sa halip na magproseso pa ang iyong pinagmulang server.

Ang LSCache, ang full-page cache ng LiteSpeed Enterprise, ay naghahatid ng mga naka-cache na pahina nang hindi pinapagana ang PHP o ang database — kaya ang mga paulit-ulit na kahilingan para sa parehong URL ay nagkakahalaga lamang ng maliit na bahagi kumpara sa karaniwang stack.
Ang isang per-site na Redis object cache ay nagpapagaan ng mga pagbasa sa database para sa mga pahina na talagang kailangang maging dynamic.
Sinasagot ng edge caching ng Cloudflare ang mga kahilingan sa rehiyon ng bisita, kaya ang baha ng trapiko ay nakakalat sa buong edge network sa halip na magtagpo sa iisang pinagmulan.
Ang mga pahina ng cart, checkout, aking account, nonce, at session ay hindi kasama sa cache bilang default, kaya ang pagpapatibay sa ilalim ng mabigat na karga ay hindi kailanman sumisira sa isang transaksyon.
Ang pag-purge ay pinag-uugnay sa parehong layer mula sa isang kontrol, kaya ang pagpapataas ng saklaw ng cache sa panahon ng isang insidente ay hindi mag-iiwan sa inyo ng mga lumang pahina pagkatapos.

Mula sa signal patungo sa aksyon, awtomatiko

Ang pagpapagaan ay hindi isang tiket sa suporta. Nagpapakain ang mga signal sa isang policy engine na nagmamapa sa bawat isa sa isang aksyon sa pagpapatupad, isang abiso sa customer at — kung posible — isang awtomatikong remediation, kung saan naka-log ang bawat paglipat.

Dinamikong paghihigpit

Kapag nag-trigger ang isang DDoS signal, naglalapat ang policy engine ng Cloudflare mitigation at per-site rate limiting, at maaari nitong dynamic na higpitan ang mga limitasyon sa LVE ng site na iyon. Kapag nawala ang signal, lumuluwag muli ang mga limitasyon. Nakapagtapos, nababaligtad, at naka-log sa bawat hakbang.

Pinabagal, hindi naka-off

Kung may pag-atakeng nagbabanta sa pinagmulan, ang site ay lilipat sa 'throttled' na katayuan — mas mahigpit na mga limitasyon sa LVE at paglilimita sa rate, habang ang site ay nananatiling gumagana at nagseserbisyo. Awtomatikong bumabalik sa normal ang pagka-throttle kapag nawala na ang presyur; hindi ito isang suspensyon.

Katutubong awtomatikong pag-throttle ng LVE

Sa ilalim ng policy engine, natural at awtomatikong nililimitahan ng LVE ang paggamit ng CPU, IO, at proseso sa bawat site. Ito ang laging aktibong unang linya, tumatakbo man o hindi pa nauuri ang trapiko bilang isang pag-atake.

Kumpletong audit trail

Itinatala ng bawat paglipat ng pagpapatupad ang dahilan nito, kung ito ay awtomatiko o pinasimulan ng kawani, at ang ebidensya sa likod nito. Aabisuhan kayo tungkol sa kung ano ang nagbago at kung paano ito lulutasin, at maaaring iapela ang bawat aksyon.

Kung ano ang kasama, at kung ano ang binibili ninyo kapag tumaas ang panganib

Hindi opsyonal ang pangunahing proteksyon, dahil ang isang inatake o nakompromisong site ay nagdudulot ng banta sa mga kapitbahay nito, sa reputasyon ng aming server, at sa aming mga saklaw ng IP. Mayroong mas mabigat na proteksyon para sa mga site na nangangailangan nito batay sa kanilang risk profile.

Kasama sa bawat plano: paghihiwalay ng LVE at CageFS, pag-throttle ng koneksyon at kahilingan ng LiteSpeed, isang network firewall na may proteksyon sa brute-force at pag-filter ng reputasyon ng IP, ang maagap na WAF, at pag-scan ng malware.
Available bilang mga add-on: advanced na pamamahala ng bot, mas matataas na tier ng proteksyon sa DDoS, pinahusay na mga panuntunan sa WAF, priority scanning, at nakalaang mga panuntunan sa firewall.
Iniaalok din bilang karagdagang serbisyo kapag kailangan ninyo: isang-click na paglilinis at pag-aayos ng malware, para sa pagkakataong ang isang pag-atake ay pantakip lamang sa pagkakakompromiso sa halip na siyang mismong layunin.
Mayroong advanced na network-layer mitigation sa pamamagitan ng Cloudflare Magic Transit o Spectrum para sa enterprise at may mataas na panganib na workloads.

Mga pag-atake na talagang pambihira

Ang biglaang pagtaas ng trapiko ay kadalasang isang sintomas. Ang parehong signal pipeline na humahawak sa mga pagbaha ay nakakakita rin sa mga kompromisong sanhi nito, upang ang isang insidente ay maiuri nang tama sa halip na basta na lamang ma-absorb.

Bawat site na aming hino-host ay ini-scan para sa malware araw-araw, at hinaharangan ng maagap na WAF ang mga kilalang pamamaraan ng pagsasamantala bago pa magkaroon ng patch para sa pinagbabatayang kahinaan — ang daan kung saan ang isang site ay nagiging kagamitan sa pag-atake ng iba.
Ang papalabas na mail ay may limitasyon bawat site at binabantayan para sa mga biglaang pagtaas ng dami, bounce rate, pagkakasama sa blocklist, at mga ulat ng reklamo, kaya ang isang nakompromisong site na nagpapadala ng spam ay nahuhuli sa loob ng ilang minuto sa halip na pagkatapos itong ma-blocklist.
Ang pinaghihinalaang malware at phishing ay sinusuri laban sa Google Safe Browsing, PhishTank, at SURBL/APWG, at iniuugnay sa mga resulta ng pag-scan bago gumawa ng desisyon sa pagpapatupad.
Ang pag-abuso sa resource at mga crypto-miner ay lumalabas bilang mga LVE CPU at IO fault na naitatala bawat site, na awtomatikong naglilimita sa lumalabag.
Lahat ng signal ay napupunta sa isang Abuse Desk sa admin console — pinagsama-sama, inalisan ng duplicate, at binigyan ng prayoridad — sa halip na sa apat na magkakahiwalay na tool.

Mga Madalas Itanong

Kung inatake ang isa pang site sa aking server, ano ang mangyayari sa akin?

Ang layunin ng disenyo ay pagpigil (containment). Ang bawat site ay tumatakbo sa loob ng sarili nitong CloudLinux LVE cage na may limitadong CPU, RAM, IO, IOPS, mga proseso at entry-process, sarili nitong view ng CageFS filesystem, at throttling ng database bawat site sa pamamagitan ng MySQL Governor. Ang isang inatakeng site ay nililimitahan sa sarili nitong hangganan sa halip na ubusin ang buong makina, at ang mga limitasyon sa koneksyon bawat IP ng LiteSpeed ang naglilimita kung gaano karami ng web server ang maaari nitong sakupin. Ang pagpigil ay inhinyero sa antas ng kernel, hindi kinokumpigura bawat customer.

Kasama ba ang proteksyon sa DDoS, o isang add-on?

Kasama ang baseline sa bawat plano: paghihiwalay ng LVE at CageFS, paglilimita ng koneksyon at kahilingan ng LiteSpeed, isang firewall ng network, ang maagap na WAF at pag-scan ng malware, na may edge absorption ng Cloudflare at pag-filter ng network sa antas ng provider sa harap ng fleet. Isinasama namin ito dahil hindi namin maaaring gawing opsyonal ang proteksyon ng aming sariling fleet. Ang advanced na pamamahala ng bot, mas matataas na tier ng DDoS, pinahusay na mga panuntunan ng WAF at mga nakalaang panuntunan sa firewall ay mga add-on para sa mga site na nangangailangan nito.

I-offline ba ninyo ang aking site kung ito ay atakihin?

Ang pagiging target ng DDoS ay tumutukoy sa Cloudflare mitigation kasama ang rate limiting bawat site, at — kung banta lamang ang pag-atake sa origin — ang 'throttled' na katayuan: mas mahihigpit na limitasyon sa LVE habang gumagana at naglilingkod pa rin ang site. Awtomatikong bumabalik sa dati ang throttled kapag nawala na ang presyur. Ang suspension ay nakalaan lamang para sa hindi pagbabayad o kumpirmadong pang-aabuso, at kahit ganoon pa man, nagpapakita ang site ng may-brand at partikular-sa-dahilan na holding page sa halip na isang sirang page.

Tumatama pa rin ba ang pagbaha sa layer ng application sa aking database?

Hindi para sa anumang inihahatid mula sa cache. Sinasagot ng LSCache ang mga kahilingan sa naka-cache na pahina nang hindi pinapagana ang PHP o MySQL, at pinapagaan ng isang per-site na Redis object cache ang mga pagbasa para sa mga tunay na dynamic na pahina. Ang natitira ay nalilimitahan ng mga limitasyon sa proseso ng LVE at entry-process ng inyong site at ng per-site na pag-throttle ng database ng MySQL Governor, kaya ang presyon ng database mula sa isang site ay hindi maaaring umapaw sa server. Ang mga pahina ng Cart, checkout, my-account at session ay nananatiling hindi naka-cache bilang default upang ang pagpapatibay ay hindi kailanman sumira sa isang transaksyon.

Maaari mo bang protektahan ang trapiko na hindi HTTP?

Oo, sa network layer. Sinasala ng proteksyon sa DDoS sa antas ng provider ang mga L3/4 flood upstream ng aming fleet anuman ang protocol, at para sa mga advanced o pampirmang kinakailangan, pinalalawak ng Cloudflare Magic Transit at Spectrum ang mitigasyon sa antas ng edge sa hindi HTTP na trapiko.

Paano ko malalaman na may nangyaring pag-atake at kung ano ang ginawa ninyo tungkol dito?

Ang bawat pagbabago sa pagpapatupad ay itinatala kasama ang dahilan nito, awtomatiko man ito o sinimulan ng kawani, at ang ebidensyang sumusuporta rito. Inaabisuhan kayo kung ano ang nagbago at kung ano ang lulutas dito, maaaring iapela ang bawat aksyon, at ang mga pribilehiyong aksyon ay itinatala sa audit para sa sarili ninyong compliance trail. Ang mga signal ay pinagsasama-sama sa iisang Abuse Desk sa halip na nakakalat sa iba't ibang tool.

Maaari ko ba itong subukan bago magbayad?

Oo. Ang Footprint-Free Hosting ay nagsisimula sa isang 14-araw na pagsubok na hindi nangangailangan ng card at sumasaklaw sa hanggang 5 site — walang detalye ng pagbabayad, walang obligasyon. Ang mga plan ay sinusuportahan ng 30-araw na garantiyang pagbabalik ng pera nang walang tanong-tanong, libreng migrasyon, at walang vendor lock-in.

Kaugnay

Depensang aktibo na bago pa man dumating ang trapiko

Gumagana ang pag-filter ng network, edge absorption, server throttling, at per-site containment mula sa sandaling mag-deploy kayo — walang kailangang i-configure, walang kailangang buksan sa kalagitnaan ng insidente. Magsimula sa isang 14-araw na pagsubok na hindi kailangan ng card, na sinusuportahan ng 30-araw na garantiyang ibabalik ang pera at mga libreng paglipat.

Magsimula nang libre