DDoS-védelem
Az áradatokat a széleken elnyeljük, a hálózati rétegű támadásokat a forrás előtt szűrjük, és ami eléri a szervert, az a célhely saját rendszermag szintű keretén belül marad. Több réteg, amelyek mindegyike más feladatot lát el, így az egyik webhelyet érő támadás nem okoz leállást a mellette lévőknél. Ez az a védelmi modell, amelyet egy világszerte több mint 650 000 webhelyet hosztoló platform számára építettünk ki, és az alapszolgáltatás minden csomagban elérhető. Elérhetőség: a webhelyenkénti adatbázis-szabályozás aktív fejlesztés alatt áll, és még nem érhető el. Minden egyéb itt leírt funkció már ma is működik.
Egy volumetrikus áradás, egy L7-es alkalmazásalapú áradás és egy lassú kapcsolatkimerítéses támadás három különböző probléma. Mindegyikkel ott kezeljük, ahol a legolcsóbb és leggyorsabb kezelni őket – a fürt előtt, a peremen és a kereten belül.
Aszolgáltatói szintű DDoS védelem kiszűri a hálózati rétegű elárasztásokat a worker flottánk előtt, még mielőtt az a forgalom bármilyen portot, hálózati kártyát vagy CPU-ciklust elhasznarna azon a gépen, amelyen a webhelye fut. A fejlett és nagyvállalati kockázati profilok esetén a Cloudflare Magic Transit és Spectrum ugyanezt a szűrést kiterjeszti a nem HTTP-forgalomra is.
Egy felügyelt peremhálózat (edge network) minden webhely előtt helyezkedik el. Elnyeli a volumetrikus HTTP-elárasztásokat, L7 WAF-ot futtat, webhelyenkénti sebességkorlátozást (rate limiting) alkalmaz, valamint botkezelés és felügyelt kihívások segítségével választja szét valós látogatókat az automatizált forgalomtól – mindezt még azelőtt, hogy egy kérés elérné a forrást.
A LiteSpeed Enterprise kapcsolat- és kérésthröttölést alkalmaz IP-nkénti kapcsolati korlátokkal, az Imunify360 nyerserő-támadás elleni védelemmel és IP-reputáció szűréssel ellátott hálózati tűzfalat futtat, míg a CloudLinux LVE bemeneti folyamat korlátai szabják meg, hogy egyetlen webhely hány egyidejű kérést tarthat nyitva legfeljebb.
Az LVE külön-külön korlátozza a CPU-t, a RAM-ot, az IO-t, az IOPS-ot, a folyamatokat és a belépési folyamatokat minden egyes webhelyen. A felső rétegeken áttörő áradat a célwebhely saját keretén belül lesz visszafogva, így az általa keltett nyomás az adott webhelyen marad, ahelyett, hogy átterjedne a szerverre.
A legtöbb tárhely-kiesés egy támadás során nem amiatt történik, hogy a támadás eléri a célpontját. Hanem amiatt, hogy a célpont erőforrás-felhasználása éhezi ki a gépen lévő összes többi szolgáltatást. Ez az a hibamód, amelynek az eltávolítására ezt az architektúrát tervezték.
A legolcsóbb kérés, ami túlél, az, amelyik soha nem éri el a PHP-t vagy a MySQL-t. Két rétegű gyorsítótárunk azt jelenti, hogy az alkalmazásszintű áradat nagy részére a forráskód helyett statikus bájtok válaszolnak.
A kockázatcsökkentés nem egy támogatási jegy. A szignálok egy olyan házirendmotort táplálnak, amely mindegyiket leképez egy kényszerítő intézkedésre, egy ügyfélértesítésre és – ahol lehetséges – egy automatikus helyreállításra, miközben minden átmenet naplózásra kerül.
Amikor egy DDoS-jelzés aktiválódik, a szabályzatkezelő alkalmazza a Cloudflare mérséklési eljárását és webhelyenkénti sebességkorlátozását, valamint dinamikusan szigoríthatja az adott webhely LVE-korlátait. Amikor a jelzés megszűnik, a korlátozások ismét lazulnak. Fokozatos, visszafordítható, és minden lépésben naplózva van.
Ha egy támadás veszélyezteti az eredeti szervert, a webhely „fojtott” (throttled) állapotba kerül – ez szigorúbb LVE-korlátokat és sebességkorlátozást jelent, miközben a webhely továbbra is elérhető marad és kiszolgálja a kéréseket. A fojtás a nyomás megszűnése után automatikusan megszűnik; ez nem felfüggesztés.
A házirend-motor alatt az LVE natívan és automatikusan szabályozza a webhelyenkénti CPU-, IO- és folyamatfelhasználást. Ez az állandóan aktív első védvonal, amely attól függetlenül fut, hogy valami besorolta-e már a forgalmat támadásként vagy sem.
Minden érvényesítési átmenet rögzíti az okát, hogy az automatikus volt-e vagy a személyzet indította, valamint a mögötte álló bizonyítékokat. Értesítést kap arról, hogy mi változott és hogyan oldhatja meg, és minden művelet fellebbezhető.
Az alapszintű védelem nem opció, mivel egy megtámadott vagy feltört webhely veszélyezteti a szomszédait, a szerverünk hírnevét és az IP-tartományainkat. A kockázati profiljuk alapján igénylő webhelyek számára súlyosabb védelem áll rendelkezésre.
A forgalmi csúcs gyakran csak tünet. Ugyanez az adatfolyam-kezelő csővezeték, amely a kiugró forgalmat kezeli, a mögötte álló biztonsági résekre is fény derít, így egy incidens ahelyett, hogy észrevétlenül elenyészne, megfelelő besorolást kap.
A tervezési cél a konténerezés. Minden webhely a saját CloudLinux LVE-ketrecében fut, korlátozott CPU-val, RAM-mal, IO-val, IOPS-szal, folyamatokkal és belépési folyamatokkal, saját CageFS fájlrendszernézettel, valamint a MySQL Governor általi webhelyenkénti adatbázis-szabályozással. A megtámadott webhely a saját felső határánál lesz korlátozva ahelyett, hogy felzabálná az egész gépet, és a LiteSpeed IP-nkénti kapcsolati korlátai megszabják, hogy a webszerverből mennyit foglalhat le. A konténerezés a kernel szintjén van megtervezve, nem pedig ügyfelenként konfigurálva.
Az alapcsomag minden csomag részét képezi: LVE- és CageFS-izoláció, LiteSpeed kapcsolat- és kérésthröttölés, hálózati tűzfal, proaktív WAF és kártevővizsgálat, a hálózat előtt pedig Cloudflare élszintű terheléselosztás és szolgáltatói szintű hálózati szűrés. Azért adjuk ezt alapértelmezésben, mert saját infrastruktúránk védelmét nem hagyhatjuk opcionálisnak. A fejlett botkezelés, a magasabb DDoS-szintek, a továbbfejlesztett WAF-szabályok és a dedikált tűzfalszabályok kiegészítőként érhetők el az ezt igénylő webhelyek számára.
A DDoS-célponttá válás a Cloudflare védelmének aktiválását és webhelyenkénti sebességkorlátozást von maga után, valamint – kizárólag ha a támadás veszélyezteti az eredeti szervert – a „fojtott” (throttled) állapotot: szigorúbb LVE-korlátokat, miközben a webhely továbbra is elérhető marad és kiszolgál. A fojtott állapot automatikusan megszűnik, amint a nyomás enyhül. A felfüggesztés nemfizetésre vagy megerősített visszaélésre van fenntartva, de még ilyenkor is egy sablonos, az okot megjelölő tartóoldalt szolgál ki a webhely egy hibás oldal helyett.
Ez nem vonatkozik a gyorsítótárból kiszolgált tartalmakra. A LSCache a PHP vagy MySQL meghívása nélkül válaszol a gyorsítótárazott oldalakra vonatkozó kérésekre, míg a webhelyenkénti Redis objektum-gyorsítótár tehermentesíti az olvasási műveleteket a valóban dinamikus oldalak esetében. Ami marad, azt a webhely LVE folyamat- és belépési folyamat-korlátai, valamint a MySQL Governor webhelyenkénti adatbázis-szabályozása korlátozza, így az egyik webhelyről érkező adatbázisterhelés nem terjedhet át a szerverre. A kosár, a pénztár, a fiókom és a munkamenet oldalak alapértelmezés szerint gyorsítótárazatlanok maradnak, így a megerősítés soha nem töri meg a tranzakciót.
Igen, a hálózati rétegben. A szolgáltatói szintű DDoS védelem a protokollstól függetlenül, a hálózatunkon kívül szűri az L3/4-es áradásokat, a fejlett vagy vállalati igényekhez pedig a Cloudflare Magic Transit és Spectrum kiterjeszti a peremhálózati szintű mérséklést a nem HTTP forgalomra is.
Minden intézkedési átmenetet rögzítünk az okával, azzal, hogy az automatikus vagy a személyzet által kezdeményezett volt-e, valamint a mögötte álló bizonyítékokkal együtt. Értesítést kap arról, hogy mi változott és mi oldja meg a problémát, minden művelet fellebbezhető, a kiemelt jogosultságú műveleteket pedig naplózzuk a saját megfelelőségi nyomvonala érdekében. A jelzéseket egyetlen Abuse Desk felületen összesítjük, ahelyett hogy azok különböző eszközök között szóródnának szét.
Igen. A Footprint-Free Hosting kártya nélküli, 14 napos próbaverzióval indul, amely legfeljebb 5 webhelyet támogat – nincs szükség fizetési adatokra, és nincsenek kötelezettségek. Csomagjaink mögött 30 napos, kérdés nélküli pénzvisszafizetési garancia, ingyenes migráció és a gyártói elköteleződést kizáró szabadság áll.
A hálózati szűrés, az él-elnyelés, a szerverkorlátozás és a webhelyenkénti elszigetelés a telepítés pillanatától kezdve működik – nincs mit beállítani, és semmit sem kell bekapcsolni az incidens közepén. Kezdje a kártyaadatok megadása nélküli, 14 napos próbaverziót, amelyet 30 napos pénzvisszafizetési garancia és ingyenes migrálás támogat.
Kezdje ingyen