הגנת DDoS
הצפות נבלמות בקצה הרשת, מתקפות ברמת הרשת מסוננות במעלה הזרם, וכל מה שמגיע לשרת מבודד בתוך כלוב ברמת הליבה של אתר היעד בלבד. מספר שכבות, שכל אחת מהן מבצעת תפקיד שונה, כדי שמתקפה המכוונת לאתר אחד לא תהפוך להשבתה עבור האתרים שלצידו. זהו מודל ההגנה שבנינו עבור פלטפורמה המארחת למעלה מ-700,000 אתרים ברחבי העולם, וקו הבסיס פועל בכל תוכנית. זמינות: ויסות מסדי נתונים ברמת האתר נמצא בפיתוח פעיל ועדיין אינו זמין. כל שאר הדברים המתוארים כאן פועלים כבר היום.
מתקפת הצפה נפחית, מתקפת הצפה ברמת היישום (L7) ומתקפת מיצוי חיבורים איטית הן שלוש בעיות שונות. אנו מטפלים בכל אחת מהן במקום שבו הטיפול הוא הזול והמהיר ביותר — במעלה הזרם של הצי, בקצה הרשת ובתוך הכלוב.
הגנת DDoS ברמת הספק מסננת הצפות בשכבת הרשת במעלה הזרם של צי השרתים שלנו, לפני שתעבורה זו תצרוך יציאה, כרטיס רשת (NIC) או מחזור מעבד במחשב שבו האתר שלכם פועל. עבור פרופילי סיכון מתקדמים וארגוניים, Cloudflare Magic Transit ו-Spectrum מרחיבים את אותו הסינון גם לתעבורה שאינה HTTP.
רשת קצה מנוהלת ניצבת לפני כל אתר. היא סופגת הצפות HTTP נפחיות, מפעילה L7 WAF, מחילה הגבלת קצב לכל אתר, ומשתמשת בניהול בוטים ובאתגרים מנוהלים כדי להפריד בין מבקרים אמיתיים לתעבורה אוטומטית — כל זאת לפני שבקשה מגיעה למקור.
LiteSpeed Enterprise מחיל הגבלת חיבורים ובקשות עם מגבלות חיבור לכל כתובת IP, Imunify360 מפעיל חומת אש לרשת עם הגנה מפני מתקפות כוח גס וסינון מוניטין IP, ומגבלות תהליכי הכניסה של CloudLinux LVE מגבילות את מספר הבקשות המקבילות שאתר יחיד יכול להחזיק פתוחות בו-זמנית.
LVE מגביל את ה-CPU, ה-RAM, ה-IO, ה-IOPS, התהליכים ותהליכי הכניסה עבור כל אתר בנפרד. הצפה שמצליחה לחדור דרך השכבות העליונות מוגבלת בתוך הכלוב המבודד של אתר היעד עצמו, כך שהעומס שהיא יוצרת נשאר באותו אתר במקום להתפשט ברחבי השרת כולו.
מרבית השבתות האחסון במהלך מתקפה אינן נגרמות מכך שהמתקפה מגיעה ליעדה. הן נגרמות מכך שצריכת המשאבים של היעד מרעיבה את כל שאר הדברים בשרת. זהו מצב הכשל שארכיטקטורה זו תוכננה לבטל.
הבקשה הזולה ביותר להתמודדות היא זו שלעולם אינה נוגעת ב-PHP או ב-MySQL. המטמון הדו-שכבתי שלנו מבטיח שחלק ניכר מהצפת תעבורה ברמת היישום ייענה באמצעות בתים סטטיים, במקום ששרת המקור שלכם יידרש לפעול.
הפחתת סיכונים אינה פניית תמיכה. אותות מזינים מנוע מדיניות הממפה כל אחד מהם לפעולת אכיפה, להודעה ללקוח ו—במידת האפשר—לתיקון אוטומטי, כאשר כל מעבר מתועד ביומן.
כאשר מופעל אות DDoS, מנוע המדיניות מחיל הפחתת סיכונים של Cloudflare והגבלת קצב לפי אתר, ויכול להחמיר באופן דינמי את מגבלות ה-LVE של אותו אתר. כאשר האות מתנקה, המגבלות משתחררות שוב. הדרגתי, הפיך ומתועד בכל שלב.
אם מתקפה מאיימת על שרת המקור, האתר עובר למצב 'מוגבל' (throttled) — מגבלות LVE מחמירות יותר והגבלת קצב בקשות, כאשר האתר עדיין פעיל ומספק שירות. המצב המוגבל משתחרר אוטומטית ברגע שהעומס יורד; לא מדובר בהשעיה.
מתחת למנוע המדיניות, LVE מווסת באופן טבעי ואוטומטי את השימוש במעבד, ב-IO ובתהליכים לכל אתר. זהו קו ההגנה הראשון שפועל תמיד, בין אם התעבורה כבר סווגה כמתקפה ובין אם לא.
כל מעבר אכיפה מתעד את הסיבה שלו, האם היה אוטומטי או ביוזמת צוות, ואת הראיות שמאחוריו. תקבלו הודעה על מה שהשתנה וכיצד לפתור זאת, וניתן לערער על כל פעולה.
הגנת בסיס אינה עניין של בחירה, מכיוון שאתר מותקף או פרוץ מסכן את שכניו, את מוניטין השרתים שלנו ואת טווחי ה-IP שלנו. קיימת הגנה מוגברת עבור אתרים שפרופיל הסיכון שלהם דורש זאת.
זינוק בתעבורה הוא לעיתים קרובות תסמין. אותו צינור עיבוד אותות שמטפל בהצפות קולט גם את החדירות שיוצרות אותן, כך שהאירוע מסווג נכון במקום רק להיספג.
מטרת התכנון היא הכלה ובידוד. כל אתר פועל בתוך כלוב CloudLinux LVE משלו עם מגבלות מוגדרות מראש עבור CPU, RAM, IO, IOPS, תהליכים ותהליכי כניסה, תצוגת מערכת קבצים של CageFS משלו, וויסות מסד נתונים ברמת האתר באמצעות MySQL Governor. אתר המותקף מוגבל לתקרה שלו במקום לצרוך את משאבי המכונה כולה, ומגבלות החיבורים לכל כתובת IP ב-LiteSpeed מגבילות את היקף משאבי שרת האינטרנט שהוא יכול לתפוס. ההכלה מתוכננת ברמת הליבה (kernel), ולא מוגדרת ברמת הלקוח הבודד.
קו הבסיס כלול בכל תוכנית: בידוד LVE ו-CageFS, הגבלת קצב חיבורים ובקשות של LiteSpeed, חומת אש לרשת, WAF פרואקטיבי וסריקת תוכנות זדוניות, עם ספיגת קצה של Cloudflare וסינון רשת ברמת הספק לפני הצי. אנו כוללים זאת מכיוון שאיננו יכולים להשאיר את ההגנה על הצי שלנו כאופציונלית. ניהול בוטים מתקדם, רמות DDoS גבוהות יותר, כללי WAF משופרים וכללי חומת אש ייעודיים הם תוספות עבור אתרים הזקוקים להם.
היותכם יעד למתקפת DDoS מתורגם להגנה באמצעות Cloudflare לצד הגבלת קצב לכל אתר, ו—רק אם המתקפה מאיימת על שרת המקור—מצב 'throttled': מגבלות LVE מחמירות יותר כאשר האתר עדיין פעיל ומגיש תוכן. מצב הוויסות מתאושש אוטומטית ברגע שהעומס חולף. השעיה שמורה למקרי אי-תשלום או שימוש לרעה מאומת, וגם אז האתר מציג עמוד המתנה ממותג המציין את הסיבה הספציפית במקום עמוד שבור.
לא עבור שום דבר המוגש מתוך המטמון. LSCache משיב לבקשות של דפים שמורים במטמון מבלי להפעיל את PHP או MySQL, ומטמון אובייקטים של Redis ברמת האתר מקל על פעולות הקריאה עבור דפים דינמיים לחלוטין. מה שנותר מוגבל על ידי מגבלות תהליכי LVE ותהליכי הכניסה של האתר שלכם, ועל ידי ויסות מסד הנתונים ברמת האתר של MySQL Governor, כך שלחץ על מסד הנתונים מאתר אחד אינו יכול לזלוג אל השרת. דפי Cart, checkout, my-account ודפי הפעלה (sessions) נותרים ללא שמירה במטמון כברירת מחדל, כך שהקשחת המערכת לעולם אינה פוגעת בעסקה.
כן, בשכבת הרשת. הגנת DDoS ברמת הספק מסננת הצפות L3/4 במעלה הזרם של הצי שלנו ללא קשר לפרוטוקול, ועבור דרישות מתקדמות או ארגוניות, Cloudflare Magic Transit ו-Spectrum מרחיבים את ההפחתה ברמת הקצה לתעבורה שאינה HTTP.
כל מעבר אכיפה מתועד עם הסיבה שלו, בין אם הוא היה אוטומטי ובין אם יזום על ידי הצוות, וכן הראיות שמאחוריו. אתם מקבלים הודעה על מה שהשתנה ומה שפותר זאת, כל פעולה ניתנת לערעור, ופעולות בעלות הרשאות מתועדות ביומן ביקורת עבור נתיב הציות שלכם. אותות מרוכזים ב-Abuse Desk יחיד במקום להיות מפוזרים בין כלים שונים.
כן. אחסון Footprint-Free מתחיל בניסיון של 14 יום ללא צורך בכרטיס אשראי המכסה עד 5 אתרים — ללא פרטי תשלום, ללא התחייבות. התוכניות מגובות באחריות להחזר כספי מלא למשך 30 יום ללא ויכוחים, הגירות בחינם וללא נעילת ספק.
סינון רשת, קליטה בקצה, הגבלת עומס השרת והכלה ברמת האתר פועלים מרגע הפריסה — אין מה להגדיר, אין מה להפעיל בעיצומו של אירוע. התחילו עם תקופת ניסיון של 14 יום ללא כרטיס אשראי, המגובה בהתחייבות להחזר כספי תוך 30 יום ובהעברות אתרים בחינם.
התחל בחינם