DDoS zaštita
Poplave prometa apsorbiraju se na rubu mreže, napadi na mrežnom sloju filtriraju se uzvodno, a sve što dospije do poslužitelja izolira se unutar vlastitog kaveza na razini kernela ciljane stranice. Nekoliko slojeva, od kojih svaki obavlja drukčiji zadatak, osiguravaju da napad usmjeren na jednu stranicu ne uzrokuje prekid rada onih pored nje. To je obrambeni model koji smo izgradili za platformu koja ugošćuje više od 700.000 stranica diljem svijeta, a osnovna zaštita primjenjuje se na svaki paket. Dostupnost: ograničavanje baze podataka po stranici u aktivnom je razvoju i još nije dostupno. Sve ostalo ovdje opisano aktivno je već danas.
Volumetrijski napad, napad preplavljivanjem aplikacijskog sloja L7 i spori napad iscrpljivanjem veza tri su različita problema. Svaki od njih rješavamo tamo gdje je to najpovoljnije i najbrže — uzvodno od poslužiteljske flote, na rubu mreže i unutar kaveza.
DDoS zaštita na razini pružatelja usluga filtrira preopterećenja mrežnog sloja uzvodno od naše flote poslužitelja, prije nego što taj promet uopće potroši priključak, mrežnu karticu (NIC) ili procesorski ciklus na računalu na kojem se nalazi Vaša stranica. Za napredne i poslovne profile rizika, Cloudflare Magic Transit i Spectrum proširuju isto filtriranje na promet koji nije HTTP.
Ispred svakog web-mjesta nalazi se upravljana rubna mreža. Ona apsorbira volumetrijske HTTP poplave, pokreće L7 WAF, primjenjuje ograničenje brzine po web-mjestu i koristi upravljanje botovima te upravljane izazove za odvajanje stvarnih posjetitelja od automatiziranog prometa — sve prije nego što zahtjev stigne do izvora.
LiteSpeed Enterprise primjenjuje ograničavanje veza i zahtjeva s ograničenjima povezivanja po IP adresi, Imunify360 pokreće mrežni vatrozid sa zaštitom od napada grubom silom i filtriranjem reputacije IP adresa, a ograničenja ulaznih procesa sustava CloudLinux LVE određuju koliko istovremenih zahtjeva pojedino web-mjesto može držati otvorenima.
LVE pojedinačno ograničava CPU, RAM, IO, IOPS, procese i ulazne procese za svako web-mjesto. Navala koja prođe kroz gornje slojeve usporava se unutar vlastitog izoliranog okruženja ciljanog web-mjesta, pa pritisak koji ona stvara ostaje na tom web-mjestu umjesto da se širi cijelim poslužiteljem.
Većina prekida rada hostinga tijekom napada nije uzrokovana time što je napad dosegao svoj cilj. Uzrokovani su time što potrošnja resursa od strane cilja uskraćuje resurse svemu ostalom na poslužitelju. To je način kvara koji je ova arhitektura osmišljena ukloniti.
Najisplativiji zahtjev za obradu jest onaj koji uopće ne dopre do PHP-a ili MySQL-a. Naš dvoslojni predmemorijski sustav omogućuje da se na velik dio navale na aplikacijskoj razini odgovori statičkim bajtovima umjesto radom vašeg izvornog poslužitelja.
Ublažavanje nije nalog za podršku. Signali napajaju modul pravila koji svaki od njih preslikava u radnju izvršenja, obavijest korisniku i — gdje je moguće — automatsko otklanjanje, pri čemu se svaki prijelaz bilježi.
Kada se aktivira DDoS signal, modul pravila primjenjuje ublažavanje putem usluge Cloudflare i ograničavanje brzine po web-mjestu te može dinamički pooštriti LVE ograničenja tog web-mjesta. Kada signal nestane, ograničenja se ponovno ublažavaju. Postupno, reverzibilno i zabilježeno pri svakom koraku.
Ako napad ugrožava izvorišni poslužitelj, stranica prelazi u stanje „ograničeno” (throttled) — stroža LVE ograničenja i ograničavanje brzine, pri čemu je stranica i dalje dostupna i poslužuje sadržaj. Ograničeno stanje automatski se oporavlja nakon što pritisak prestane; to nije suspenzija.
Ispod mehanizma pravila, LVE izvorno i automatski ograničava upotrebu procesora, IO i procesa po web-mjestu. To je uvijek aktivna prva linija, koja radi bez obzira na to je li promet već klasificiran kao napad ili ne.
Svaki prijelaz u primjeni mjera bilježi svoj razlog, je li bio automatski ili ga je pokrenulo osoblje, te dokaze koji stoje iza njega. Obavještava Vas se o tome što se promijenilo i kako to riješiti, a na svaku je radnju moguće uložiti žalbu.
Osnovna zaštita nije opcionalna jer napadnuto ili ugroženo web-mjesto ugrožava svoje susjede, ugled naših poslužitelja i naše raspone IP adresa. Snažnija zaštita postoji za web-mjesta čiji profil rizika to zahtijeva.
Skok u prometu često je samo simptom. Isti signalni cjevovod koji upravlja preopterećenjima prepoznaje i kompromitacije koje ih uzrokują, tako da se incident ispravno klasificira, a ne samo apsorbira.
Cilj dizajna je izolacija. Svaka web-stranica radi unutar vlastitog CloudLinux LVE kaveza s ograničenim CPU-om, RAM-om, IO-om, IOPS-om, procesima i ulaznim procesima, vlastitim CageFS prikazom datotečnog sustava te regulacijom baze podataka po web-stranici putem MySQL Governor-a. Napadnuta web-stranica ograničava se na vlastitom plafonu umjesto da troši resurse cijelog poslužitelja, a LiteSpeed ograničenja povezivanja po IP adresi određuju koliko resursa web-poslužitelja može zauzeti. Izolacija je implementirana na razini kernela, a ne konfigurirana po korisniku.
Osnovna razina uključena je u svaki paket: LVE i CageFS izolacija, LiteSpeed ograničavanje veza i zahtjeva, mrežni vatrozid, proaktivni WAF i skeniranje zlonamjernog softvera, uz Cloudflare apsorpciju na rubu mreže i mrežno filtriranje na razini pružatelja ispred cijele infrastrukture. To uključujemo jer zaštitu vlastite infrastrukture ne možemo ostaviti neobaveznom. Napredno upravljanje botovima, više razine DDoS zaštite, poboljšana WAF pravila i namjenska pravila vatrozida dodaci su za web-mjesta kojima su potrebni.
Biti meta DDoS napada podrazumijeva ublažavanje putem usluge Cloudflare uz ograničavanje stope po web-mjestu i — samo ako napad ugrožava izvorišni poslužitelj — stanje „prigušenosti” (throttled): stroža LVE ograničenja dok je web-mjesto i dalje aktivno i poslužuje sadržaj. Prigušeno se stanje automatski oporavlja čim pritisak popusti. Suspenzija je rezervirana za neplaćanje ili potvrđenu zlouporabu, a čak i tada web-mjesto poslužuje brendiranu stranicu na čekanju s navedenim razlogom umjesto neispravne stranice.
Ne za ništa što se poslužuje iz predmemorije. LSCache odgovara na zahtjeve za predmemoriranim stranicama bez pozivanja PHP-a ili MySQL-a, a Redis predmemorija objekata po web-mjestu rasterećuje čitanja za doista dinamične stranice. Ono što preostane ograničeno je ograničenjima LVE procesa i ulaznih procesa vašeg web-mjesta te regulacijom baze podataka po web-mjestu sustava MySQL Governor, tako da se pritisak na bazu podataka s jednog web-mjesta ne može prenijeti na poslužitelj. Stranice košarice, naplate, korisničkog računa i sesije prema zadanim postavkama ostaju nepredmemorirane kako sigurnosno učvršćivanje nikada ne bi prekinulo transakciju.
Da, na mrežnom sloju. Zaštita od DDoS napada na razini pružatelja usluga filtrira L3/4 navale uzvodno od naše flote bez obzira na protokol, a za napredne ili poslovne zahtjeve Cloudflare Magic Transit i Spectrum proširuju ublažavanje na rubnoj razini na promet koji nije HTTP.
Svaki prijelaz u provođenju mjera bilježi se s razlogom, bilo da je bio automatski ili ga je pokrenulo osoblje, te s dokazima koji stoje iza njega. Obavještava Vas se o tome što se promijenilo i što to rješava, na svaku se radnju može uložiti prigovor, a radnje s posebnim ovlastima bilježe se u revizijski zapisnik radi Vaše vlastite usklađenosti. Signali se objedinjuju u jedinstvenom Abuse Desk-u umjesto da budu raspršeni po raznim alatima.
Da. Footprint-Free hosting započinje 14-dnevnim probnim razdobljem bez kartice koje pokriva do 5 web-mjesta — bez podataka o plaćanju, bez obveza. Tarife su podržane 30-dnevnim jamstvom povrata novca bez prigovora, besplatnim migracijama i bez vezivanja uz pružatelja usluga.
Filtriranje mreže, apsorpcija na rubu mreže, regulacija poslužitelja i izolacija po web-mjestu aktivni su od trenutka implementacije — nema potrebe za konfiguriranjem, niti za uključivanjem tijekom incidenta. Započnite s 14-dnevnim probnim razdobljem bez kreditne kartice, uz 30-dnevno jamstvo povrata novca i besplatne migracije.
Započnite besplatno