Perlindungan DDoS

Pertahanan DDoS berlapis, sehingga satu serangan hanya menjadi masalah satu situs

Banjir lalu lintas diserap di tepi jaringan, serangan lapisan jaringan difilter di tingkat hulu, dan apa pun yang mencapai server diisolasi di dalam sangkar tingkat kernel milik situs target itu sendiri. Beberapa lapisan, masing-masing menjalankan tugas yang berbeda, sehingga serangan yang ditujukan ke satu situs tidak menyebabkan gangguan bagi situs di sebelahnya. Ini adalah model pertahanan yang kami bangun untuk platform yang menghosting lebih dari 700.000 situs di seluruh dunia, dan fitur dasar ini berjalan di setiap paket. Ketersediaan: pembatasan basis data per situs sedang dalam pengembangan aktif dan belum tersedia. Semua hal lain yang dijelaskan di sini sudah aktif hari ini.

Mulai gratis Lihat harga

3lapisan mitigasi: jaringan, edge, server
700.000+situs yang di-hosting di seluruh dunia
Termasukisolasi dasar, WAF, dan pembatasan laju
99,99%Jaminan waktu aktif

Berlapis sesuai rancangan, karena satu tidak pernah cukup

Serangan banjir volumetrik, banjir aplikasi L7, dan serangan perlahan yang menghabiskan koneksi adalah tiga masalah yang berbeda. Kami menangani masing-masing masalah tersebut di tempat yang paling hemat biaya dan cepat untuk ditangani — di upstream armada, di edge, dan di dalam cage.

Lapisan jaringan (L3/4)

Perlindungan DDoS tingkat penyedia memfilter banjir lapisan jaringan di hulu armada worker kami, sebelum lalu lintas tersebut menggunakan port, NIC, atau siklus CPU pada mesin tempat situs Anda berjalan. Untuk profil risiko tingkat lanjut dan perusahaan, Cloudflare Magic Transit dan Spectrum memperluas pemfilteran yang sama ke lalu lintas non-HTTP.

Lapisan aplikasi (L7) di edge

Jaringan edge terkelola berada di depan setiap situs. Jaringan ini menyerap banjir HTTP volumetrik, menjalankan WAF L7, menerapkan pembatasan laju per situs, serta menggunakan manajemen bot dan managed challenge untuk memisahkan pengunjung asli dari lalu lintas otomatis — semuanya sebelum permintaan mencapai server asal.

Lapisan server

LiteSpeed Enterprise menerapkan pembatasan koneksi dan permintaan dengan batas koneksi per-IP, Imunify360 menjalankan firewall jaringan dengan perlindungan brute-force dan pemfilteran reputasi IP, dan batas proses masuk CloudLinux LVE membatasi berapa banyak permintaan bersamaan yang dapat dibuka oleh satu situs.

Isolasi per situs

LVE membatasi CPU, RAM, IO, IOPS, proses, dan proses masuk untuk setiap situs secara individual. Lonjakan lalu lintas yang menembus lapisan atas akan dibatasi di dalam ruang isolasi situs target itu sendiri, sehingga tekanan yang ditimbulkannya tetap berada di situs tersebut alih-alih menyebar ke seluruh server.

Pembendungan adalah tujuannya

Sebagian besar gangguan hosting selama serangan tidak disebabkan oleh serangan yang mencapai targetnya. Gangguan tersebut disebabkan oleh konsumsi sumber daya oleh target yang menguras semua hal lain di server. Inilah mode kegagalan yang dirancang untuk dihilangkan oleh arsitektur ini.

Setiap situs berjalan di dalam kurungan sumber daya CloudLinux LVE miliknya sendiri — situs yang diserang dibatasi pada batas maksimumnya sendiri, dan situs-situs tetangga tetap mempertahankan sumber daya yang dijamin oleh batasannya masing-masing.
CageFS memberi setiap penyewa tampilan sistem berkas yang terisolasi, sehingga serangan yang meningkat menjadi upaya penyusupan dapat dibendung dan tidak menyebar ke penyewa lain.
CloudLinux MySQL Governor membatasi penggunaan database per situs, sehingga lonjakan trafik di lapisan aplikasi yang membebani kueri tanpa cache tidak dapat melumpuhkan database bagi pengguna lain di server.
Worker LiteSpeed LSAPI per situs dibatasi oleh batas LVE situs tersebut, sehingga lonjakan trafik tidak dapat menghasilkan proses PHP yang tak terbatas.
Batas koneksi per-IP dan pembatasan koneksi LiteSpeed menyerap serangan koneksi lambat dan penghabisan koneksi di server web, bukan di aplikasi.

Cache adalah peredam kejut yang dilupakan oleh sebagian besar penyedia hosting

Permintaan yang paling hemat untuk ditangani adalah permintaan yang tidak pernah menyentuh PHP atau MySQL. Cache dua lapis kami memungkinkan sebagian besar lonjakan pada lapisan aplikasi dijawab dengan bita statis daripada membebani server asal Anda.

LSCache, cache halaman penuh LiteSpeed Enterprise, menyajikan halaman yang di-cache tanpa memanggil PHP atau basis data — sehingga permintaan berulang untuk URL yang sama hanya membutuhkan sebagian kecil dari biaya yang dibutuhkan pada tumpukan standar.
Cache objek Redis per situs meringankan pembacaan basis data untuk halaman yang benar-benar harus dinamis.
Caching edge Cloudflare menjawab permintaan di wilayah pengunjung, sehingga lalu lintas yang membanjir tersebar di seluruh jaringan edge alih-alih memusat pada satu asal.
Halaman keranjang, checkout, akun saya, nonce, dan sesi dikecualikan dari cache secara default, sehingga penguatan di bawah beban tidak pernah memutus transaksi.
Pembersihan dikoordinasikan di kedua lapisan dari satu kontrol, sehingga meningkatkan cakupan cache saat terjadi insiden tidak akan meninggalkan halaman kedaluwarsa setelahnya.

Dari sinyal ke tindakan, secara otomatis

Mitigasi bukanlah tiket dukungan. Sinyal diteruskan ke mesin kebijakan yang memetakan masing-masing sinyal ke tindakan penegakan, pemberitahuan pelanggan, dan — jika memungkinkan — remediasi otomatis, dengan setiap transisi dicatat.

Pengetatan dinamis

Saat sinyal DDoS terpicu, mesin kebijakan akan menerapkan mitigasi Cloudflare dan pembatasan laju per situs, serta dapat memperketat batas LVE situs tersebut secara dinamis. Saat sinyal mereda, batasan akan dilonggarkan kembali. Bertahap, dapat dibatalkan, dan dicatat di setiap langkah.

Dibatasi, tidak dimatikan

Jika serangan mengancam server asal, situs akan beralih ke status 'dibatasi' (throttled) — batasan LVE yang lebih ketat dan pembatasan laju trafik, dengan situs tetap aktif dan melayani pengunjung. Status pembatasan ini pulih secara otomatis setelah tekanan mereda; ini bukan penangguhan.

Pembatasan otomatis LVE bawaan

Di bawah mesin kebijakan, LVE membatasi penggunaan CPU, IO, dan proses per situs secara bawaan dan otomatis. Ini adalah garis pertahanan pertama yang selalu aktif, berjalan terlepas dari apakah lalu lintas telah diklasifikasikan sebagai serangan atau belum.

Jejak audit lengkap

Setiap transisi penegakan mencatat alasannya, apakah itu otomatis atau diprakarsai oleh staf, dan bukti di baliknya. Anda diberi tahu tentang apa yang berubah dan cara menyelesaikannya, dan setiap tindakan dapat diajukan banding.

Apa yang termasuk, dan apa yang Anda beli saat risiko meningkat

Perlindungan dasar tidak bersifat opsional, karena situs yang diserang atau disusupi membahayakan situs lain di sekitarnya, reputasi server kami, dan rentang IP kami. Perlindungan yang lebih kuat tersedia untuk situs-situs yang profil risikonya membutuhkannya.

Termasuk dalam setiap paket: isolasi LVE dan CageFS, pembatasan koneksi dan permintaan LiteSpeed, firewall jaringan dengan perlindungan brute-force dan penyaringan reputasi IP, WAF proaktif, serta pemindaian malware.
Tersedia sebagai add-on: manajemen bot tingkat lanjut, tingkat perlindungan DDoS yang lebih tinggi, aturan WAF yang ditingkatkan, pemindaian prioritas, dan aturan firewall khusus.
Juga ditawarkan saat Anda membutuhkannya: pembersihan dan pemulihan malware sekali klik, untuk situasi ketika serangan hanya menjadi kedok penyusupan dan bukan tujuan utamanya.
Mitigasi lapisan jaringan tingkat lanjut melalui Cloudflare Magic Transit atau Spectrum tersedia untuk beban kerja perusahaan dan berisiko tinggi.

Serangan yang benar-benar luar biasa

Lonjakan lalu lintas sering kali merupakan suatu gejala. Jalur sinyal yang sama yang menangani banjir lalu lintas juga menangkap kompromi yang menghasilkannya, sehingga insiden dapat diklasifikasikan dengan benar alih-alih hanya diserap.

Setiap situs yang kami kelola dipindai dari malware setiap hari, dan WAF proaktif memblokir teknik eksploitasi yang telah diketahui sebelum patch untuk kerentanan terkait tersedia — jalur yang membuat suatu situs menjadi alat serangan bagi pihak lain.
Email keluar dibatasi kecepatannya per situs dan dipantau dari lonjakan volume, rasio pentalan, kemunculan di daftar blokir, serta sinyal keluhan, sehingga situs terkompromi yang mengirimkan spam dapat terdeteksi dalam hitungan menit, bukan setelah masuk daftar blokir.
Perangkat lunak berbahaya (malware) dan phishing yang dicurigai diperiksa silang terhadap Google Safe Browsing, PhishTank, dan SURBL/APWG, serta dikorelasikan dengan hasil pemindaian sebelum keputusan penegakan diambil.
Penyalahgunaan sumber daya dan penambang kripto muncul sebagai kegagalan LVE CPU dan IO yang dicatat per situs, yang secara otomatis mencekik pelanggar.
Setiap sinyal masuk ke satu Meja Penyalahgunaan di konsol admin — diagregasikan, dihapus duplikatnya, dan diprioritaskan — alih-alih di empat alat yang terpisah.

Pertanyaan yang Sering Diajukan

Jika situs lain di server saya diserang, apa yang terjadi pada situs saya?

Tujuan perancangannya adalah pembatasan. Setiap situs berjalan di dalam cage CloudLinux LVE tersendiri dengan batas CPU, RAM, IO, IOPS, proses, dan entry-processes, tampilan sistem berkas CageFS mandiri, serta pembatasan basis data per situs melalui MySQL Governor. Situs yang diserang dibatasi pada batas tertingginya sendiri alih-alih menguras seluruh mesin, dan batas koneksi per-IP LiteSpeed membatasi seberapa banyak sumber daya server web yang dapat digunakannya. Pembatasan ini dirancang pada tingkat kernel, bukan dikonfigurasi per pelanggan.

Apakah perlindungan DDoS sudah termasuk, atau merupakan add-on?

Perlindungan dasar disertakan pada setiap paket: isolasi LVE dan CageFS, pembatasan koneksi dan permintaan LiteSpeed, firewall jaringan, WAF proaktif dan pemindaian malware, dengan penyerapan edge Cloudflare dan pemfilteran jaringan tingkat penyedia di depan armada server. Kami menyertakannya karena kami tidak dapat menjadikan perlindungan armada kami sendiri sebagai opsi pilihan. Pengelolaan bot tingkat lanjut, tingkatan DDoS yang lebih tinggi, aturan WAF yang ditingkatkan, dan aturan firewall khusus adalah add-on untuk situs yang membutuhkannya.

Apakah Anda akan menonaktifkan situs saya jika diserang?

Menjadi target DDoS dipetakan ke mitigasi Cloudflare ditambah pembatasan laju per situs, dan — hanya jika serangan mengancam origin — status 'throttled': batas LVE yang lebih ketat dengan situs tetap aktif dan melayani permintaan. Status throttled pulih secara otomatis setelah beban mereda. Penangguhan dikhususkan untuk ketidakmampuan bayar atau penyalahgunaan yang terkonfirmasi, dan bahkan dalam kasus tersebut, situs akan menampilkan halaman penampung bermerek yang memuat alasan khusus, bukan halaman rusak.

Apakah banjir lapisan aplikasi masih memengaruhi basis data saya?

Tidak untuk apa pun yang disajikan dari cache. LSCache menjawab permintaan halaman yang di-cache tanpa memanggil PHP atau MySQL, dan cache objek Redis per situs meringankan pembacaan untuk halaman yang benar-benar dinamis. Sisanya dibatasi oleh batas proses LVE dan batas proses masuk situs Anda serta oleh pembatasan basis data per situs dari MySQL Governor, sehingga beban basis data dari satu situs tidak dapat merembet ke server. Halaman keranjang, checkout, akun saya, dan sesi tetap tidak di-cache secara default sehingga penguatan keamanan tidak pernah merusak transaksi.

Dapatkah Anda melindungi lalu lintas yang bukan HTTP?

Ya, pada lapisan jaringan. Perlindungan DDoS tingkat penyedia memfilter banjir L3/4 di hulu armada kami terlepas dari protokolnya, dan untuk kebutuhan tingkat lanjut atau enterprise, Cloudflare Magic Transit dan Spectrum memperluas mitigasi tingkat edge ke lalu lintas non-HTTP.

Bagaimana cara saya mengetahui bahwa serangan telah terjadi dan apa yang Anda lakukan untuk mengatasinya?

Setiap transisi penegakan dicatat beserta alasannya, baik yang terjadi secara otomatis maupun diprakarsai oleh staf, serta bukti yang mendasarinya. Anda akan diberi tahu tentang apa yang berubah dan apa yang dapat menyelesaikannya, setiap tindakan dapat diajukan banding, dan tindakan berhak istimewa dicatat dalam log audit untuk jejak kepatuhan Anda sendiri. Sinyal dikumpulkan dalam satu Abuse Desk terpadu, alih-alih tersebar di berbagai alat.

Dapatkah saya mencoba ini sebelum membayar?

Ya. Hosting Footprint-Free dimulai dengan uji coba 14 hari tanpa kartu yang mencakup hingga 5 situs — tanpa detail pembayaran, tanpa komitmen. Paket didukung oleh jaminan uang kembali 30 hari tanpa syarat, migrasi gratis, dan tanpa penguncian vendor.

Terkait

Perlindungan yang sudah aktif saat lalu lintas tiba

Pemfilteran jaringan, penyerapan di sisi edge, pembatasan server, dan pembatasan per situs langsung berjalan sejak saat Anda menerapkannya — tidak ada yang perlu dikonfigurasi, tidak ada yang perlu dinyalakan saat insiden terjadi. Mulailah dengan uji coba 14 hari tanpa kartu, didukung oleh jaminan uang kembali 30 hari dan migrasi gratis.

Mulai gratis