DDoS պաշտպանություն

Բազմաշերտ DDoS պաշտպանություն, որպեսզի մեկ հարձակումը լինի միայն մեկ կայքի խնդիր

Հեղեղումները կլանվում են ցանցի եզրին, ցանցային մակարդակի գրոհները ֆիլտրվում են վերընթաց հոսքում, իսկ այն ամենը, ինչ հասնում է սերվերին, մեկուսացվում է թիրախային կայքի սեփական միջուկային մակարդակի վանդակում: Մի քանի շերտեր, որոնցից յուրաքանչյուրը կատարում է տարբեր առաջադրանքներ, որպեսզի մեկ կայքի դեմ ուղղված հարձակումը չվերածվի անջատման կողքի կայքերի համար: Սա այն պաշտպանական մոդելն է, որը մենք ստեղծել ենք ամբողջ աշխարհում 700,000+ կայքեր սպասարկող հարթակի համար, և հիմնական մակարդակն աշխատում է յուրաքանչյուր պլանում: Հասանելիություն. յուրաքանչյուր կայքի տվյալների բազայի թողունակության կարգավորումը գտնվում է ակտիվ մշակման փուլում և դեռ հասանելի չէ: Այստեղ նկարագրված մնացած ամեն ինչ արդեն գործում է այսօր:

Սկսեք անվճար Տեսնել գները

3մեղմացման շերտեր՝ ցանց, եզր, սերվեր
700,000+ամբողջ աշխարհում հոսթինգ տրամադրված կայքեր
Ներառված էհիմնական մեկուսացում, WAF և թողունակության սահմանափակում
99,99%Անխափան աշխատանքի երաշխիք

Շերտավոր՝ ըստ նախագծման, քանի որ մեկը երբեք բավարար չէ

Ծավալային հեղեղումը, L7 հավելվածի մակարդակի հեղեղումը և կապերի դանդաղ սպառման հարձակումը երեք տարբեր խնդիրներ են: Մենք դրանցից յուրաքանչյուրը լուծում ենք այնտեղ, որտեղ դա ամենաէժանն ու արագն է՝ համակարգի մուտքի մոտ, ցանցի եզրին և սերվերային պահարանի ներսում:

Ցանցային մակարդակ (L3/4)

Մատակարարի մակարդակի DDoS պաշտպանությունը զտում է ցանցային շերտի հեղեղումները մեր աշխատանքային սերվերներից առաջ՝ նախքան այդ տրաֆիկը կզբաղեցնի պորտ, NIC կամ CPU ցիկլ այն մեքենայի վրա, որտեղ աշխատում է Ձեր կայքը: Առաջադեմ և կորպորատիվ ռիսկի պրոֆիլների համար Cloudflare Magic Transit-ը և Spectrum-ը նույն զտումը տարածում են ոչ-HTTP տրաֆիկի վրա:

Հավելվածային մակարդակ (L7) ցանցի եզրին

Յուրաքանչյուր կայքի առջև գործում է կառավարվող եզրային ցանց: Այն կլանում է ծավալային HTTP հեղեղումները, գործարկում է L7 WAF, կիրառում է հարցումների արագության սահմանափակում յուրաքանչյուր կայքի համար և օգտագործում է բոտերի կառավարում ու կառավարվող ստուգումներ՝ իրական այցելուներին ավտոմատացված տրաֆիկից առանձնացնելու համար — այս ամենը նախքան հարցման սկզբնաղբյուր հասնելը:

Սերվերի շերտ

LiteSpeed Enterprise-ը կիրառում է միացումների և հարցումների սահմանափակում՝ ըստ IP-ի միացման սահմանաչափերով, Imunify360-ը գործարկում է ցանցային firewall՝ կոպիտ ուժի (brute-force) հարձակումներից պաշտպանությամբ և IP-ի հեղինակության զտմամբ, իսկ CloudLinux LVE-ի մուտքային գործընթացների սահմանափակումները սահմանում են, թե որքան միաժամանակյա հարցում կարող է բաց պահել մեկ կայքը:

Մեկուսացում ըստ կայքի

LVE-ն անհատապես յուրաքանչյուր կայքի համար սահմանափակում է CPU-ն, RAM-ը, IO-ն, IOPS-ը, գործընթացները և մուտքային գործընթացները: Վերին շերտերով անցնող հոսքը զսպվում է թիրախային կայքի սեփական մեկուսացված միջավայրում, այնպես որ դրա ստեղծած ճնշումը մնում է տվյալ կայքում, այլ ոչ թե տարածվում ամբողջ սերվերով մեկ:

Մեկուսացումն է հիմնական նպատակը

Հարձակման ժամանակ հոսթինգի խափանումների մեծ մասը պայմանավորված չէ նրանով, որ հարձակումը հասնում է իր թիրախին: Դրանք առաջանում են նրանից, որ թիրախի կողմից ռեսուրսների սպառումը զրկում է ռեսուրսներից սերվերի վրա գտնվող մնացած ամեն ինչից: Սա հենց այն խափանման ձևն է, որը վերացնելու համար նախագծված է այս ճարտարապետությունը:

Յուրաքանչյուր կայք աշխատում է իր սեփական CloudLinux LVE ռեսուրսների վանդակում — հարձակման ենթարկված կայքը սահմանափակվում է իր առավելագույն շեմով, իսկ հարևան կայքերը պահպանում են այն ռեսուրսները, որոնք երաշխավորված են իրենց սահմանաչափերով։
CageFS-ը յուրաքանչյուր վարձակալի տրամադրում է մեկուսացված ֆայլային համակարգի տեսք, այնպես որ հարձակումը, որը վերածվում է ներխուժման փորձի, մեկուսացվում է, այլ ոչ թե տարածվում մյուս վարձակալների վրա:
CloudLinux MySQL Governor-ը սահմանափակում է տվյալների բազայի օգտագործումը յուրաքանչյուր կայքի համար, այնպես որ հավելվածային մակարդակի հարցումների հոսքը, որը ծանրաբեռնում է չքեշավորված հարցումներով, չի կարող խափանել տվյալների բազան սերվերի մյուս բոլոր օգտատերերի համար:
Յուրաքանչյուր կայքի համար LiteSpeed LSAPI աշխատողները սահմանափակված են տվյալ կայքի LVE սահմանաչափերով, ուստի հարցումների հեղեղը չի կարող առաջացնել անսահմանափակ PHP գործընթացներ:
Յուրաքանչյուր IP-ի համար միացումների սահմանափակումները և LiteSpeed միացումների կարգավորումը դանդաղ միացման և միացումների սպառման հարձակումները չեզոքացնում են վեբ սերվերում, ոչ թե հավելվածում:

Քեշն այն ամորտիզատորն է, որը շատ հոսթերներ մոռանում են

Սպասարկման տեսանկյունից ամենաշահավետ հարցումն այն է, որը երբեք չի հասնում PHP-ին կամ MySQL-ին: Մեր երկմակարդակ քեշը նշանակում է, որ հավելվածի մակարդակի ծանրաբեռնվածության մեծ մասին պատասխանում են ստատիկ բայթերը, այլ ոչ թե ձեր հիմնական սերվերը:

LSCache-ը՝ LiteSpeed Enterprise-ի ամբողջական էջի քեշը, տրամադրում է քեշավորված էջեր առանց PHP-ի կամ տվյալների բազայի կանչի, ուստի նույն URL-ի կրկնվող հարցումները պահանջում են ստանդարտ ստեկի ծախսերի միայն մի փոքր մասը:
Յուրաքանչյուր կայքի համար Redis օբյեկտների քեշը թեթևացնում է տվյալների բազայի ընթերցումները այն էջերի համար, որոնք իսկապես պետք է լինեն դինամիկ:
Cloudflare-ի եզրային քեշավորումը պատասխանում է հարցումներին այցելուի տարածաշրջանում, այնպես որ հեղեղային տրաֆիկը ցրվում է եզրային ցանցում՝ մեկ աղբյուրի վրա կենտրոնանալու փոխարեն:
Զամբյուղի, վճարման, իմ հաշվի, nonce-ի և սեսիայի էջերը լռելյայն բացառված են քեշից, ուստի ծանրաբեռնվածության պայմաններում պաշտպանության ուժեղացումը երբեք չի խաթարում գործարքը:
Մաքրումը համակարգվում է երկու մակարդակներում մեկ կառավարման կետից, ուստի միջադեպի ժամանակ քեշի ծածկույթի մեծացումը հետագայում ձեզ չի թողնի հնացած էջերով:

Ազդանշանից դեպի գործողություն, ավտոմատ կերպով

Մեղմացումը աջակցության հարցում չէ: Ազդանշանները սնուցում են քաղաքականության շարժիչը, որը յուրաքանչյուրը համադրում է կիրարկման գործողության, հաճախորդի ծանուցման և — հնարավորության դեպքում — ավտոմատ վերացման հետ, ընդ որում յուրաքանչյուր անցում գրանցվում է մատյանում:

Դինամիկ խստացում

Երբ DDoS ազդանշան է գործարկվում, քաղաքականության գործիքը կիրառում է Cloudflare-ի մեղմացում և ըստ կայքի հարցումների հաճախականության սահմանափակում, ինչպես նաև կարող է դինամիկ կերպով խստացնել այդ կայքի LVE սահմանաչափերը: Երբ ազդանշանը մաքրվում է, սահմանաչափերը կրկին մեղմանում են: Աստիճանական, հետադարձելի և գրանցվող յուրաքանչյուր քայլում:

Սահմանափակված է, անջատված չէ

Եթե հարձակումը սպառնում է սկզբնաղբյուրին, կայքն անցնում է «սահմանափակված» (throttled) վիճակի՝ ավելի խիստ LVE սահմանաչափեր և հարցումների հաճախականության սահմանափակում, ընդ որում կայքը շարունակում է գործել և սպասարկել: Ճնշումը վերանալուն պես սահմանափակումն ինքնաբերաբար վերականգնվում է. դա կասեցում չէ:

LVE-ի ներկառուցված ավտոմատ սահմանափակում

Քաղաքականության համակարգի ներքո LVE-ն բնիկ կերպով և ավտոմատ կերպով սահմանափակում է CPU-ի, IO-ի և գործընթացների օգտագործումը յուրաքանչյուր կայքի համար: Այն միշտ ակտիվ առաջին գիծն է, որն աշխատում է անկախ նրանից, թե տրաֆիկն արդեն դասակարգվել է որպես հարձակում, թե ոչ:

Աուդիտի ամբողջական հետք

Կիրարկման յուրաքանչյուր անցում գրանցում է իր պատճառը, արդյոք այն եղել է ավտոմատ, թե աշխատակազմի կողմից նախաձեռնված, ինչպես նաև դրա հիմքում ընկած ապացույցները: Դուք ծանուցվում եք այն մասին, թե ինչ է փոխվել և ինչպես լուծել այն, և յուրաքանչյուր գործողություն ենթակա է բողոքարկման:

Ինչ է ներառված, և ինչ եք գնում դուք, երբ ռիսկն աճում է

Հիմնական պաշտպանությունը կամընտիր չէ, քանի որ հարձակման ենթարկված կամ վտանգված կայքը սպառնում է իր հարևաններին, մեր սերվերի հեղինակությանը և մեր IP տիրույթներին: Ավելի ուժեղ պաշտպանություն գոյություն ունի այն կայքերի համար, որոնց ռիսկի մակարդակը պահանջում է դա:

Ներառված է յուրաքանչյուր սակագնային պլանում՝ LVE և CageFS մեկուսացում, LiteSpeed կապերի և հարցումների սահմանափակում (throttling), ցանցային firewall՝ brute-force պաշտպանությամբ և IP հեղինակության զտմամբ, պրոակտիվ WAF և վնասակար ծրագրերի սկանավորում:
Հասանելի է որպես լրացուցիչ ծառայություններ. բոտերի առաջադեմ կառավարում, DDoS պաշտպանության ավելի բարձր մակարդակներ, WAF-ի բարելավված կանոններ, առաջնահերթ սկանավորում և նվիրված firewall-ի կանոններ:
Հասանելի է նաև որպես լրացուցիչ ծառայություն, երբ ձեզ անհրաժեշտ լինի. վնասաբեր ծրագրերի մաքրում և վերականգնում մեկ սեղմումով՝ այն դեպքերի համար, երբ հարձակումը համակարգ ներթափանցելու քողարկում էր, ոչ թե հիմնական նպատակ:
Ցանցային մակարդակի առաջադեմ մեղմացումը Cloudflare Magic Transit-ի կամ Spectrum-ի միջոցով հասանելի է ձեռնարկատիրական և բարձր ռիսկային ծանրաբեռնվածությունների համար:

Հարձակումներ, որոնք իսկապես առանձնահատուկ են

Տրաֆիկի կտրուկ աճը հաճախ ախտանիշ է: Նույն ազդանշանային համակարգը, որը մշակում է հարցումների հեղեղումները, բացահայտում է նաև դրանք առաջացնող խոցումները, որպեսզի միջադեպը ճշգրիտ դասակարգվի, այլ ոչ թե պարզապես կլանվի:

Մեր կողմից հոսթինգ տրամադրվող յուրաքանչյուր կայք ամեն օր ստուգվում է վնասակար ծրագրերի հայտնաբերման համար, իսկ նախաձեռնողական WAF-ն արգելափակում է հայտնի շահագործման մեթոդները նախքան հիմքում ընկած խոցելիության համար թարմացման հայտնվելը — ուղի, որի միջոցով կայքը դառնում է ուրիշի հարձակման գործիք:
Ելքային նամակների քանակը սահմանափակվում է ըստ կայքի և վերահսկվում է ծավալի կտրուկ աճի, չառաքված նամակների տոկոսի, արգելափակման ցուցակներում հայտնվելու և բողոքների ազդանշանների առումով, որպեսզի սպամ ուղարկող վտանգված կայքը հայտնաբերվի րոպեների ընթացքում, այլ ոչ թե արգելափակումից հետո:
Կասկածելի վնասակար ծրագրերը և ֆիշինգը ստուգվում են Google Safe Browsing-ի, PhishTank-ի և SURBL/APWG-ի միջոցով և համադրվում են սկանավորման արդյունքների հետ՝ նախքան կիրառման որոշում կայացնելը:
Ռեսուրսների չարաշահումը և կրիպտո-մայներները դրսևորվում են որպես յուրաքանչյուր կայքի համար գրանցված LVE CPU և IO սխալներ, որոնք ավտոմատ կերպով սահմանափակում են խախտողին:
Յուրաքանչյուր ազդանշան հայտնվում է ադմինիստրատորի վահանակի չարաշահումների դեմ պայքարի մեկ բաժնում՝ ագրեգացված, կրկնօրինակները հեռացված և առաջնահերթություններով դասակարգված, ոչ թե չորս առանձին գործիքներում:

Հաճախակի տրվող հարցեր

Եթե իմ սերվերի վրա գտնվող մեկ այլ կայք ենթարկվի հարձակման, ի՞նչ կպատահի իմ կայքի հետ:

Նախագծման նպատակը մեկուսացումն է: Յուրաքանչյուր կայք աշխատում է իր սեփական CloudLinux LVE վանդակում՝ սահմանափակված CPU-ով, RAM-ով, IO-ով, IOPS-ով, գործընթացներով և մուտքային գործընթացներով, CageFS ֆայլային համակարգի սեփական տեսքով և կայքերի տվյալների բազայի կարգավորմամբ՝ MySQL Governor-ի միջոցով: Հարձակման ենթարկված կայքը սահմանափակվում է իր սեփական առավելագույն շեմով, այլ ոչ թե սպառում ամբողջ սերվերի ռեսուրսները, իսկ LiteSpeed-ի մեկ IP-ի համար միացումների սահմանափակումները զսպում են, թե վեբ սերվերի որ մասը այն կարող է զբաղեցնել: Մեկուսացումը ներդրված է միջուկի (kernel) մակարդակում, ոչ թե կազմաձևված ըստ հաճախորդի:

DDoS պաշտպանությունը ներառվա՞ծ է, թե՞ լրացուցիչ ծառայություն է:

Հիմնական մակարդակը ներառված է յուրաքանչյուր սակագնային պլանում՝ LVE և CageFS մեկուսացում, LiteSpeed կապերի և հարցումների սահմանափակում (throttling), ցանցային firewall, պրոակտիվ WAF և վնասաբեր ծրագրերի սկանավորում, ինչպես նաև Cloudflare-ի եզրային կլանում և մատակարարի մակարդակի ցանցային զտում մեր ամբողջ համակարգի առջև։ Մենք ներառում ենք այն, քանի որ չենք կարող մեր սեփական համակարգի պաշտպանությունը դարձնել ոչ պարտադիր։ Բոտերի ընդլայնված կառավարումը, DDoS-ի ավելի բարձր մակարդակները, WAF-ի բարելավված կանոնները և հատկացված firewall-ի կանոնները լրացուցիչ ծառայություններ են այն կայքերի համար, որոնք ունեն դրանց կարիքը։

Դուք կանջատե՞ք իմ կայքը, եթե այն հարձակման ենթարկվի:

DDoS-ի թիրախ դառնալը ենթադրում է Cloudflare-ի միջոցով մեղմացում, ինչպես նաև ըստ կայքի հարցումների հաճախականության սահմանափակում (rate limiting), և — միայն այն դեպքում, եթե հարձակումը սպառնում է սկզբնաղբյուր սերվերին (origin) — «սահմանափակված» (throttled) վիճակ՝ LVE-ի ավելի խիստ սահմանաչափերով, երբ կայքը դեռ գործում է և սպասարկում: Ճնշումը վերանալուն պես սահմանափակված վիճակն ինքնաբերաբար վերականգնվում է: Կասեցումը նախատեսված է միայն չվճարման կամ հաստատված չարաշահման դեպքերի համար, և նույնիսկ այդ ժամանակ կայքը ցուցադրում է բրենդավորված, կոնկրետ պատճառը նշող ժամանակավոր էջ՝ խափանված էջի փոխարեն:

Արդյո՞ք հավելվածի մակարդակի հեղեղումը դեռ հասնում է իմ տվյալների բազային:

Ոչինչի համար, որը մատուցվում է քեշից: LSCache-ը պատասխանում է քեշավորված էջերի հարցումներին՝ առանց PHP կամ MySQL կանչելու, իսկ յուրաքանչյուր կայքի համար գործող Redis օբյեկտների քեշը թեթևացնում է ընթերցումները իսկապես դինամիկ էջերի համար: Այն, ինչ մնում է, սահմանափակվում է Ձեր կայքի LVE գործընթացների և մուտքի գործընթացների սահմանաչափերով, ինչպես նաև MySQL Governor-ի կողմից յուրաքանչյուր կայքի տվյալների բազայի սահմանափակմամբ, ուստի մեկ կայքի տվյալների բազայի ծանրաբեռնվածությունը չի կարող տարածվել սերվերի վրա: Զամբյուղի, վճարման, իմ հաշվի և սեսիայի էջերը լռելյայն մնում են չքեշավորված, որպեսզի անվտանգության խստացումը երբեք չխաթարի գործարքը:

Կարո՞ղ եք պաշտպանել այն տրաֆիկը, որը HTTP չէ:

Այո, ցանցային մակարդակում: Մատակարարի մակարդակի DDoS պաշտպանությունը ֆիլտրում է L3/4 հեղեղումները մեր նավատորմից վերև՝ անկախ արձանագրությունից, իսկ առաջադեմ կամ կորպորատիվ պահանջների համար Cloudflare Magic Transit-ը և Spectrum-ը տարածում են եզրային մակարդակի մեղմացումը ոչ HTTP տրաֆիկի վրա:

Ինչպե՞ս կարող եմ իմանալ, որ հարձակում է տեղի ունեցել, և ինչ եք ձեռնարկել այդ կապակցությամբ:

Կիրարկման յուրաքանչյուր անցում գրանցվում է իր պատճառով՝ անկախ նրանից, թե այն ավտոմատ է եղել, թե անձնակազմի կողմից նախաձեռնված, ինչպես նաև դրա հիմքում ընկած ապացույցներով: Դուք ծանուցվում եք, թե ինչ է փոխվել և ինչն է այն լուծում, յուրաքանչյուր գործողություն ենթակա է բողոքարկման, իսկ արտոնյալ գործողությունները գրանցվում են աուդիտի մատյանում՝ Ձեր սեփական համապատասխանության հետագծի համար: Ազդանշանները միավորվում են մեկ Abuse Desk-ում, այլ ոչ թե ցրվում տարբեր գործիքների միջև:

Կարո՞ղ եմ սա փորձել նախքան վճարելը:

Այո: Footprint-Free հոսթինգը սկսվում է առանց քարտի 14-օրյա փորձաշրջանով մինչև 5 կայքի համար՝ առանց վճարային տվյալների, առանց պարտավորությունների: Սակագները երաշխավորված են 30-օրյա անվերապահ գումարի վերադարձման երաշխիքով, անվճար տեղափոխումներով և առանց մատակարարի կապվածության:

Հարակից

Պաշտպանություն, որն արդեն միացված է տրաֆիկի ժամանման պահին

Ցանցի զտումը, եզրային կլանումը, սերվերի սահմանափակումը և յուրաքանչյուր կայքի մեկուսացումը գործում են տեղադրման պահից՝ ոչինչ պետք չէ կարգավորել, ոչինչ պետք չէ միացնել միջադեպի ընթացքում: Սկսեք 14-օրյա փորձաշրջանով առանց քարտի, որն ապահովված է 30-օրյա գումարի վերադարձի երաշխիքով և անվճար տեղափոխումներով:

Սկսեք անվճար