Izolacija po web-mjestu
Izolacija je razlika između incidenta i prekida rada. Svaka web-stranica koju ugošćujemo radi unutar CloudLinux LVE kaveza na razini kernela s vlastitim ograničenjima za CPU, RAM, IO i procese, vlastitim CageFS prikazom datotečnog sustava, vlastitom verzijom PHP-a i vlastitim prigušivanjem baze podataka. Stranica koja je napadnuta, ugrožena ili jednostavno izvršava prezahtjevan upit zadržava se tamo gdje se nalazi — a osnovna razina izolacije uključena je u svaki paket, ne prodaje Vam se kao nadogradnja. Dostupnost: prigušivanje baze podataka po stranici i statistika resursa po stranici u aktivnom su razvoju i još nisu dostupni. Sve ostalo ovdje opisano aktivno je već danas.
Radna flota pokreće CloudLinux OS, koji višezakupništvo smješta izravno u jezgru. Svaka stranica dobiva lagano virtualno okruženje — LVE — koje predstavlja čvrstu granicu, a ne tek pristojnu konvenciju. Ništa što stranica radi unutar svog kaveza ne može se potrošiti iz tuđeg proračuna.
LVE neovisno ograničava CPU, RAM, IO, IOPS, procese i ulazne procese za svako web-mjesto. Kada web-mjesto premaši svoje ograničenje, usporava se unutar vlastitog izoliranog okruženja — pogreška se bilježi za to web-mjesto, a susjedna web-mjesta nastavljaju neometano s radom.
Dodatak zaglavljen u petlji, loše napisan cron zadatak ili crawler koji preopterećuje krajnju točku prvo dosežu vlastita ograničenja procesa i ulaznih procesa web-mjesta. Jedno web-mjesto ne može jednostavno potrošiti cijeli poslužitelj.
Budući da su ulazni procesi ograničeni po kavezu, navala usmjerena na jedno web-mjesto ne može otvoriti neograničeni rad na poslužitelju. Regulacija veza i zahtjeva sustava LiteSpeed te mrežni vatrozid Imunify360 nalaze se ispred toga, pa napad ostaje isključivo problem ciljane stranice.
Svaka pogreška LVE-a bilježi se po web-mjestu i prenosi u modul pravila platforme, koji može automatski postrožiti ili ublažiti ograničenja. Vidite zašto je web-mjesto prigušeno i kada — postupno, reverzibilno i zabilježeno.
Izolacija resursa sprječava web-mjesto da opterećuje sustav. Izolacija datotečnog sustava sprječava ga u zabadanju nosa u tuđe podatke. CageFS svakom korisniku pruža privatan, ograničen uvid u poslužitelj.
Pod CageFS-om zakupac vidi samo vlastite datoteke i minimalan, pročišćen skup sistemskih binarnih datoteka — te ne može vidjeti druge zakupce, njihove stranice niti osjetljive sistemske datoteke. Uobičajeni način zakazivanja dijeljenog hostinga, pri kojem jedan ugroženi račun postaje točka za čitanje svakog drugog računa na poslužitelju, zatvoren je na razini jezgre.
To je najvažnije onog dana kada nešto pođe po zlu. Ako je web-mjesto kompromitirano — putem zastarjelog priključka, ukradenih vjerodajnica, ranjive teme — CageFS je taj koji zadržava radijus štete unutar tog jednog kaveza. Naša sigurnosna specifikacija namjerno koristi takav izričaj: CageFS obuzdava proboje. Obuzdavanje je poštena tvrdnja i upravo ona odlučuje je li incident čišćenje jednog web-mjesta ili cijele flote.
Sigurnosne kopije učvršćuju istu granicu. Sigurnosne kopije po pojedinom web-mjestu nepromjenjive su, pohranjene na vanjskoj lokaciji i izolirane od aktivne infrastrukture, s testiranim vraćanjem podataka, tako da čak i najgori slučaj kompromitacije jednog web-mjesta ima čist, neovisan put oporavka koji ne ovisi o stanju poslužitelja na kojem se izvodilo.
Izolacija web-sloja samo je pola priče. U WordPress floti, poslužitelj najčešće usporavaju upiti jedne stranice, a ne njezin promet. To se rješava izričito.
CloudLinux MySQL Governor ograničava upotrebu baze podataka po web-mjestu, tako da teški upiti jednog web-mjesta ne mogu usporiti poslužitelj za sve ostale. To je kontrola protiv usporavanja i radi bez obzira na to primijeti li bučno web-mjesto ikada da je ograničeno.
Flota pokreće MariaDB (ili Percona), odabranu posebno za radna opterećenja platforme WordPress umjesto preuzimanja prema zadanim postavkama, uz Governor koji se nalazi na vrhu kao sloj za pravednu raspodjelu resursa po zakupcu.
Redis predmemorija objekata za svaku web-lokaciju apsorbira ponovljena čitanja prije nego što stignu do baze podataka, što u startu smanjuje pritisak koji Governor mora regulirati. Predmemoriranje i izolacija funkcioniraju kao jedan sustav.
CloudLinux alt-PHP svakom web-mjestu pruža vlastiti odabir verzije PHP-a, vlastita proširenja (imagick, gd, redis i ostala) te vlastite očvrsnute postavke — s radnim procesima LSAPI-ja ograničenima LVE limitima tog web-mjesta, pa je konkurentnost PHP-a dio kaveza, a ne bijeg iz njega.
Izolacija određuje koliko će se problem proširiti. Provedba određuje što će se sljedeće dogoditi. Zamijenili smo grubo uključivanje/isključivanje obustave automatom stanja, kojim upravljaju postojani radni tokovi i koji se provodi na radniku putem rješenja LiteSpeed, LVE i Imunify.
Izolacija nije značajka plana koja se pojavljuje tri razine iznad. Ona je svojstvo infrastrukture, stoga je identična vodite li jednu WooCommerce trgovinu ili dvije tisuće mrežnih stranica.
Mreže za masovnu upotrebu i PBN mreže rade na istoj LVE i CageFS podlozi, uz rotaciju CDN računa koja vodi računa o digitalnom otisku i isporuku statičkog HTML-a. Izolacija je ono što gustoću čini sigurnom: web-mjesta dijele flotu bez dijeljenja sudbine.
Upravljana WordPress, WooCommerce, PHP, statička i Node web-mjesta dobivaju iste izolirane kaveze uz potpunu samoposlugu — vlastitu PHP verziju i proširenja, Redis predmemoriju objekata, staging i objavu u produkciju jednim klikom.
Za radna opterećenja koja zahtijevaju snažniju granicu od zadane postavke optimizirane za gustoću, nudi se potpuna izolacija u obliku jednog spremnika po web-mjestu kao varijanta upravljačkog programa za dodjelu resursa: isti pogon, ista upravljačka ravnina, drugačiji smještaj, uz veće režijske troškove.
Izolacija putem LVE-a i CageFS-a, proaktivni WAF i skeniranje zlonamjernog softvera uključeni su za svakog korisnika, jer zaražena ili nekontrolirana stranica ugrožava svoje susjede i ugled naše IP adrese. Čišćenje zlonamjernog softvera jednim klikom i napredne razine zaštite plaćeni su dodaci — osnovna razina to nije.
Komercijalno iskušenje u hostingu jest prodavati sigurnost po razinama: smjestiti jeftinije korisnike na zajednički poslužitelj s blagim ograničenjima, a naplatiti onima kojima je stalo do granica. Mi to ne radimo jer korisnik koji nije platio izolaciju upravo je onaj čija kompromitirana stranica postaje problem za sve ostale.
Pružamo uslugu smještaja za više od 700.000 web-mjesta diljem svijeta, na infrastrukturi gdje je gustoća cjelokupni ekonomski prijedlog. To funkcionira samo ako je izolacija ispod toga bezuvjetna. Kavezi na razini kernela, privatni prikaz datotečnog sustava, ograničavanje baze podataka po web-mjestu i PHP po web-mjestu cijena su rada u tom opsegu bez dijeljenja sudbine — stoga su uključeni za svakoga, u svakom paketu, od prvog web-mjesta koje implementirate.
Rezultat je platforma koja funkcionira predvidljivo čak i u najtežim trenucima drugih. Iza nje stoje jamstvo neprekidnog rada od 99.99%, nepromjenjive vanjske sigurnosne kopije za svako web-mjesto s testiranim vraćanjem podataka i potpuni revizijski trag svake radnje provedbe poduzete na Vašim web-mjestima.
Izolacija je osmišljena upravo kako bi to spriječila. LVE ograničava CPU, RAM, IO, IOPS i procese po web-mjestu, MySQL Governor regulira upotrebu baze podataka po web-mjestu, a LSAPI worker procesi ograničeni su vlastitim cage okruženjem web-mjesta — tako da se vršno opterećenje prometa ili teško opterećenje upitima susjednog web-mjesta prigušuje u odnosu na njihov limit, a ne Vaš. Svaka se pogreška bilježi po web-mjestu, a modul za pravila može automatski pooštriti ograničenja za web-mjesto koje stvara smetnje.
Iskren odgovor je obuzdavanje, a ne jamstvo. CageFS svakom korisniku pruža izolirani prikaz datotečnog sustava — kompromitirani korisnik ne može vidjeti druge korisnike, njihove web-stranice niti osjetljive sustavske datoteke — a potvrđeni slučaj zlonamjernog softvera ili krađe identiteta premješta tu web-stranicu u karantenu: izvan mreže, zaključane datoteke, bez izvršavanja, izolirano za forenziku. To je ono što ograničava radijus štete. Uz to provodimo skeniranje zlonamjernog softvera i proaktivni WAF na svakoj stranici, uz nepromjenjive vanjske sigurnosne kopije po stranici s testiranim vraćanjem podataka, tako da oporavak nikada ne ovisi o stanju pogođenog poslužitelja.
Uključeno je u svaki paket. Izolacija putem LVE i CageFS, proaktivni WAF i skeniranje zlonamjernog softvera standard su za svakog korisnika, jer zaražena ili nekontrolirana stranica ugrožava svoje susjede i reputaciju naše IP adrese — ne možemo to razumno ostaviti neobaveznim. Kao dodatak prodaje se čišćenje i uklanjanje zlonamjernog softvera jednim klikom te napredne razine zaštite kao što su poboljšana WAF pravila, prioritetno skeniranje, upravljanje botovima i više DDoS razine.
Resursi se ograničavaju (throttle) unutar vlastitog izoliranog okruženja (cage) umjesto potpunog isključivanja. Ograničavanje znači strože LVE limite i regulaciju brzine dok je web-stranica i dalje dostupna i poslužuje sadržaj, a automatski se oporavlja čim se uzrok ukloni. Bit ćete obaviješteni o razlogu, prijelaz se bilježi zajedno s dokazima te je na njega moguće uložiti žalbu. Ako je opterećenje posljedica stvarnog rasta, a ne kvara, rješenje je veći paket, a ne trajno ograničenje.
Ne — suspendirana stranica prikazuje brendiranu stranicu čekanja sa specifičnim razlogom (naplata, održavanje ili zloupotreba) kako bi bilo jasno da je riječ o namjernom potezu, a ne o kvaru. Suspenzija se poništava nakon uplate, otklanjanja problema ili žalbe. Karantena je stroža i funkcionira drugačije: poništava se tek nakon čišćenja i pregleda, nikada automatski.
Na usluzi Zinn® Managed WordPress, da — CloudLinux alt-PHP svakoj web-lokaciji daje vlastiti odabir verzije PHP-a, vlastita proširenja kao što su imagick, gd i redis, te vlastite sigurnosno ojačane postavke, a sve je ograničeno LVE limitima te web-lokacije. Footprint-Free hosting namjerno koristi standardiziraniju, zaključaniju konfiguraciju po pojedinačnoj web-lokaciji, jer je sama raznolikost konfiguracija trag (footprint).
Da. CloudLinux LVE i CageFS zadana su postavka optimizirana za gustoću u obje linije proizvoda. Za radna opterećenja koja zahtijevaju strože granice nudi se potpuna izolacija putem zasebnog kontejnera po web-mjestu kao varijanta upravljačkog programa za dodjelu resursa — isti mehanizam i upravljačka ravnina s drugačijim smještajem, pri čemu se veće opterećenje resursa mijenja za snažnije razdvajanje.
Da. Footprint-Free hosting započinje 14-dnevnim probnim razdobljem bez kreditne kartice koje pokriva do pet web-mjesta — bez podataka o plaćanju, bez obveze. Postavite nekoliko web-mjesta, pošaljite im nešto opterećenja i pogledajte kako se kavezi ponašaju prije nego što donesete odluku.
Započnite 14-dnevno probno razdoblje bez kartice na Footprint-Free hostingu — do pet web-mjesta, bez podataka o plaćanju, bez obveze. Izolacija na razini kernela, proaktivni WAF i skeniranje zlonamjernog softvera uključeni su od prvog postavljanja.
Započnite besplatno