Zaštita od DDoS napada
Poplave se upijaju na rubu, napadi na mrežnom sloju filtriraju se uzvodno, a sve što stigne do poslužitelja izolirano je unutar vlastitog kaveza na razini jezgre ciljne web-lokacije. Nekoliko slojeva, od kojih svaki obavlja drugačiji zadatak, tako da napad usmjeren na jednu web-lokaciju ne uzrokuje prekid rada za one pored nje. To je model obrane koji smo izgradili za platformu koja u cijelom svijetu ugošćuje više od 650.000 web-lokacija, a osnovna izvedba uključena je u svaki paket. Dostupnost: ograničavanje baze podataka po web-lokaciji u fazi je aktivnog razvoja i još nije dostupno. Sve ostalo opisano ovdje dostupno je već danas.
Volumetrijski napad poplavom, L7 aplikacijski napad poplavom i spori napad iscrpljivanjem veze tri su različita problema. Svaki od njih rješavamo tamo gdje je to najjeftinije i najbrže — uzvodno od grupe poslužitelja, na rubu mreže i unutar okruženja.
Zaštita od DDoS napada na razini pružatelja usluga filtrira poplave na mrežnom sloju uzvodno od našeg skupa radnih čvorova, prije nego što taj promet uopće potroši priključak, mrežnu karticu ili računalni ciklus na stroju na kojem se vaša stranica izvodi. Za napredne i poslovne profile rizika, Cloudflare Magic Transit i Spectrum proširuju isto filtriranje na promet koji nije HTTP.
Upravljana rubna mreža nalazi se ispred svake web-lokacije. Ona apsorbira volumetrijske HTTP napade, pokreće L7 WAF, primjenjuje ograničenje broja zahtjeva po web-lokaciji te koristi upravljanje botovima i upravljane izazove kako bi odvojila stvarne posjetitelje od automatiziranog prometa — i to sve prije nego što zahtjev stigne do izvorišta.
LiteSpeed Enterprise primjenjuje ograničavanje veza i zahtjeva s ograničenjima veza po IP adresi, Imunify360 pokreće mrežni vatrozid sa zaštitom od napada grubom silom i filtriranjem reputacije IP adresa, a ograničenja ulaznih procesa za CloudLinux LVE definiraju koliko istovremenih zahtjeva jedna stranica može držati otvorenima.
LVE ograničava CPU, RAM, IO, IOPS, procese i ulazne procese (entry-processes) za svaku stranicu zasebno. Napad koji prođe kroz gornje slojeve prigušuje se unutar vlastitog "kaveza" ciljane stranice, tako da pritisak koji on stvara ostaje na toj stranici umjesto da se širi po poslužitelju.
Većina prekida u radu hostinga tijekom napada nije uzrokovana time što je napad dosegnuo svoju metu. Uzrokovani su potrošnjom resursa mete koja guši sve ostalo na poslužitelju. To je način kvara koji je ova arhitektura dizajnirana da ukloni.
Najjeftiniji zahtjev koji može preživjeti je onaj koji nikada ne dotakne PHP ili MySQL. Naša dvoslojna predmemorija znači da velik dio navale na sloj aplikacije odgovaraju statički bajtovi umjesto da vaše ishodište obavlja posao.
Ublažavanje nije zahtjev za podršku. Signali napajaju mehanizam pravila koji svaki od njih preslikava u radnju provedbe, obavijest korisniku i — gdje je to moguće — automatsku sanaciju, pri čemu se svaki prijelaz bilježi u zapisnik.
Kada se aktivira DDoS signal, mehanizam pravila primjenjuje Cloudflare ublažavanje i ograničavanje brzine po web-mjestu te može dinamički postrožiti LVE ograničenja tog web-mjesta. Kada se signal očisti, ograničenja se ponovno opuštaju. Stupnjevano, reverzibilno i bilježi se u svakom koraku.
Ako napad ugrožava ishodište, stranica prelazi u 'prigušeno' stanje — stroža LVE ograničenja i ograničavanje brzine, pri čemu stranica i dalje radi i poslužuje sadržaj. Prigušeno stanje se automatski oporavlja kada pritisak nestane; to nije suspenzija.
Ispod mehanizma pravila, LVE automatski i izvorno ograničava upotrebu procesora, ulaza/izlaza i procesa po web-mjestu. To je stalno uključena prva linija obrane koja radi bez obzira na to je li nešto već klasificiralo promet kao napad ili ne.
Svaki prijelaz provedbe bilježi svoj razlog, je li bio automatski ili pokrenut od strane osoblja, te dokaze koji stoje iza njega. Obaviješteni ste o tome što se promijenilo i kako to riješiti, a svaka je radnja podložna žalbi.
Osnovna zaštita nije opcionalna jer napadnuta ili kompromitirana stranica ugrožava svoje susjede, reputaciju našeg poslužitelja i naše IP raspone. Snažnija zaštita postoji za stranice čiji profil rizika to zahtijeva.
Val prometa često je simptom. Isto to usmjeravanje signala koje obrađuje navale također hvata i kompromitacije koje ih uzrokuju, pa se incident ispravno klasificira umjesto da bude samo apsorbiran.
Cilj dizajna je izolacija. Svaka web-stranica radi unutar vlastitog CloudLinux LVE kaveza s ograničenim CPU-om, RAM-om, IO-om, IOPS-om, procesima i ulaznim procesima, vlastitim CageFS datotečnim sustavom i prigušivanjem baze podataka po web-stranici putem MySQL Governor-a. Napadnuta web-stranica se prigušuje na vlastitom pragu umjesto da opterećuje cijeli poslužitelj, a LiteSpeed ograničenja veza po IP adresi ograničavaju koliko zauzeća web-poslužitelja može ostvariti. Izolacija je ugrađena na razini kernela, a ne konfigurirana za svakog korisnika posebno.
Osnovna zaštita uključena je u svaki paket: LVE i CageFS izolacija, LiteSpeed ograničavanje broja veza i zahtjeva, mrežni vatrozid, proaktivni WAF i skeniranje zlonamjernog softvera, uz Cloudflare edge apsorpciju i mrežni filtriranje na razini pružatelja usluga ispred poslužitelja. Uključujemo je jer zaštitu vlastitih poslužitelja ne možemo ostaviti kao opciju. Napredno upravljanje botovima, viši DDoS paketi, poboljšana WAF pravila i namjenska pravila vatrozida dodaci su za web-lokacije kojima su potrebni.
Biti meta DDoS napada znači uključivanje Cloudflare mitigacije uz ograničavanje brzine po web-mjestu, a — samo ako napad ugrožava ishodište — i stanje „prigušeno”: stroža LVE ograničenja dok web-mjesto i dalje radi i poslužuje sadržaj. Stanje prigušenosti automatski se oporavlja kada pritisak popusti. Suspenzija je rezervirana za neplaćanje ili potvrđenu zlouporabu, a čak i tada web-mjesto prikazuje prilagođenu stranicu s objašnjenjem razloga umjesto neispravne stranice.
Ništa od onoga što se poslužuje iz predmemorije. LSCache odgovara na zahtjeve za predmemoriranim stranicama bez pozivanja PHP-a ili MySQL-a, a objektna predmemorija Redis po web-lokaciji rasterećuje čitanja za doista dinamične stranice. Ono što preostaje ograničeno je LVE procesom vaše web-lokacije i ograničenjima ulaznih procesa te prigušivanjem baze podataka po web-lokaciji koje provodi MySQL Governor, tako da pritisak na bazu podataka s jedne web-lokacije ne može utjecati na poslužitelj. Stranice košarice, naplate, mog računa i sesije prema zadanim postavkama ostaju izvan predmemorije, tako da sigurnosna prilagodba nikada ne prekida transakciju.
Da, na mrežnoj razini. DDoS zaštita na razini pružatelja usluga filtrira L3/4 navale uzvodno od naše infrastrukture bez obzira na protokol, a za napredne ili enterprise zahtjeve Cloudflare Magic Transit i Spectrum proširuju ublažavanje na rubnoj razini (edge-grade) na promet koji nije HTTP.
Svaka promjena primjene bilježi se s razlogom, informacijom je li bila automatska ili pokrenuta od strane osoblja te dokazima na kojima se temelji. Obaviješteni ste o tome što se promijenilo i što to rješava, svaka se radnja može osporiti, a povlaštene radnje bilježe se u revizijskom zapisniku radi vašeg usklađivanja s propisima. Signali se prikupljaju u jednom centru za zlouporabu umjesto da budu raspršeni po alatima.
Da. Hosting Footprint-Free započinje 14-odnevnim probnim periodom bez kartice koji obuhvaća do 5 stranica — bez podataka o plaćanju, bez obveza. Paketi su podržani 30-dnevnim jamstvom povrata novca bez prigovora, besplatnim migracijama i bez zaključavanja kod dobavljača.
Mrežno filtriranje, rubna apsorpcija, prigušivanje poslužitelja i izolacija po web-mjestu rade od trenutka kada ih primijenite — nema ničega za konfigurirati, nema ničega za uključivati usred incidenta. Započnite 14-dnevno probno razdoblje bez unosa kartice, uz 30-dnevno jamstvo povrata novca i besplatne migracije.
Započni besplatno