DDoS 対策

多層防御による DDoS 対策で、単一の攻撃の影響を1つのサイトのみに限定

フラッドはエッジで吸収され、ネットワーク層の攻撃はアップストリームでフィルタリングされ、サーバーに到達したものはすべてターゲットサイト自体のカーネルレベルのケージ内に封じ込められます。それぞれが異なる役割を果たす複数のレイヤーにより、1つのサイトを標的とした攻撃が隣接するサイトの停止につながることはありません。これは世界中の700,000以上のサイトをホストするプラットフォームのために構築された防御モデルであり、基本機能はすべてのプランで実行されます。提供状況: サイトごとのデータベーススロットリングは現在開発中であり、まだご利用いただけません。ここに記載されているその他の機能はすべて、本日時点で稼働しています。

無料で始める料金を見る

3緩和レイヤー: ネットワーク、エッジ、サーバー
700,000+世界中でホストされているサイト
含まれていますベースライン分離、WAF、およびスロットリング
99.99%稼働率保証

1つでは決して十分ではないため、設計段階から階層化されています

ボリュメトリック攻撃、L7アプリケーション層攻撃、そして低速な接続枯渇攻撃は、それぞれ異なる3つの問題です。当社は、フリートの上流、エッジ、そしてケージの内部という、最も低コストかつ迅速に対処できる場所で各攻撃を処理します。

ネットワーク層 (L3/4)

プロバイダーレベルの DDoS 保護は、お客様のサイトが実行されているマシン上のポート、NIC、または CPU サイクルをそのトラフィックが消費する前に、当社のワーカー群の上流でネットワーク層のフラッドをフィルタリングします。高度なリスクプロファイルやエンタープライズ向けのリスクプロファイルに対しては、Cloudflare Magic Transit と Spectrum が同様のフィルタリングを非 HTTP トラフィックにも拡張します。

エッジでのアプリケーション層 (L7)

マネージドエッジネットワークが各サイトの前面に配置されています。リクエストがオリジンに到達する前に、ボリュメトリックな HTTP フラッドを吸収し、L7 WAF を実行し、サイトごとのレート制限を適用し、ボット管理とマネージドチャレンジを使用して実際の訪問者と自動トラフィックを分離します。

サーバー層

LiteSpeed Enterprise は IP ごとの接続制限による接続およびリクエストのスロットリングを適用し、Imunify360はブルートフォース保護と IP レピュテーションフィルタリングを備えたネットワークファイアウォールを実行し、CloudLinux LVE のエントリプロセス上限により、単一のサイトが同時に開いたままにできるリクエスト数が制限されます。

サイトごとの隔離

LVE は、各サイトの CPU、RAM、IO、IOPS、プロセス数、エントリープロセス数を個別に制限します。上位層を通過した過剰なトラフィックは対象サイト固有の隔離領域内で抑制されるため、発生した負荷はサーバー全体に波及することなく、そのサイト内にとどまります。

封じ込めが要点です

攻撃時のホスティング障害のほとんどは、攻撃が標的に到達することによって引き起こされるのではありません。標的によるリソース消費がサーバー上の他のすべてを枯渇させることによって引き起こされます。このアーキテクチャは、まさにその障害モードを排除するように設計されています。

各サイトは専用の CloudLinux LVE リソースケージ内で動作します。攻撃を受けたサイトは独自の上限でスロットルされ、隣接するサイトはそれぞれの制限で保証されたリソースを維持します。
CageFS は各テナントに分離されたファイルシステムビューを提供するため、侵入の試みにエスカレートした攻撃も他のテナントに波及することなく封じ込められます。
CloudLinux MySQL Governor はサイトごとにデータベースの使用量を制限するため、キャッシュされていないクエリが集中するアプリケーション層のフラッド攻撃が発生しても、サーバー上の他のユーザーのデータベースを巻き添えにしてダウンさせることはありません。
サイトごとの LiteSpeed LSAPI ワーカーは対象サイトの LVE 制限によって制限されているため、アクセスが急増しても無制限に PHP プロセスが生成されることはありません。
IP ごとの接続制限と LiteSpeed の接続スロットリングにより、低速接続や接続枯渇攻撃をアプリケーションではなくウェブサーバーで吸収します。

キャッシュは、多くのホストが見落としがちな衝撃吸収材です

処理コストが最も低いリクエストは、PHP や MySQL にまったく到達しないリクエストです。当社の2層キャッシュにより、アプリケーション層でのフラッドトラフィックの大部分はオリジンサーバーに負荷をかけることなく、静的バイトによって応答されます。

LiteSpeed Enterprise のフルページキャッシュである LSCache は、PHP やデータベースを呼び出すことなくキャッシュされたページを提供します。そのため、同一 URL への繰り返しのリクエストにかかる負荷は、標準的な構成で発生する負荷のほんの一部で済みます。
サイトごとの Redis オブジェクトキャッシュにより、どうしても動的である必要があるページのデータベース読み取り負荷が軽減されます。
Cloudflare のエッジキャッシングは訪問者の地域でリクエストに応答するため、フラッドトラフィックは1つのオリジンに集中することなくエッジネットワーク全体に分散されます。
カート、チェックアウト、マイアカウント、nonce、セッションのページはデフォルトでキャッシュから除外されているため、負荷時の強化によってトランザクションが中断されることはありません。
パージは単一のコントロールから両方のレイヤーにわたって調整されるため、インシデント発生時にキャッシュカバレッジを引き上げても、後で古いページが残ることはありません。

シグナルからアクションへ、自動で

緩和策はサポートチケットではありません。シグナルはポリシーエンジンに供給され、それぞれが強制アクション、顧客への通知、そして可能な場合は自動修復へとマッピングされ、すべての移行がログに記録されます。

動的引き締め

DDoS シグナルがトリガーされると、ポリシーエンジンが Cloudflare による緩和策とサイトごとのレート制限を適用し、そのサイトの LVE 制限を動的に厳格化できます。シグナルが解消されると、制限は再び緩和されます。段階的で、元に戻すことができ、すべてのステップでログに記録されます。

制限中 (停止していません)

攻撃によってオリジンが脅かされている場合、サイトは「スロットル (帯域制限)」状態に移行します。サイトは稼働を継続してリクエストを処理しつつ、より厳格な LVE 制限とレート制限が適用されます。負荷が解消されると、スロットル状態は自動的に復旧します。これはアカウントの停止ではありません。

ネイティブ LVE 自動スロットル

ポリシーエンジンの下層で、LVE はサイトごとの CPU、IO、およびプロセス使用率をネイティブかつ自動的に抑制します。これは常に稼働する第一線であり、トラフィックが攻撃として分類されているかどうかに関係なく実行されます。

完全な監査証跡

すべての執行の移行において、その理由、自動かスタッフによるものか、およびその根拠となる証拠が記録されます。何が変更されたのか、またそれをどのように解決すべきかが通知され、すべての措置に対して異議申し立てを行うことができます。

含まれているもの、およびリスクが高まった際にご購入いただくもの

攻撃を受けたりセキュリティが侵害されたりしたサイトは、同じサーバー内の他のサイトや当社のサーバーの評判、および IP アドレス範囲を脅かすため、基本保護は必須となっています。リスクプロファイル上必要なサイトには、より強固な保護機能が用意されています。

すべてのプランに含まれる機能: LVE および CageFS の分離、LiteSpeed の接続およびリクエストのスロットリング、ブルートフォース保護と IP レピュテーションフィルタリングを備えたネットワークファイアウォール、プロアクティブ WAF、マルウェアスキャン。
アドオンとして利用可能: 高度なボット管理、より高レベルの DDoS 保護、強化された WAF ルール、優先スキャン、専用ファイアウォールルール。
必要な際にアップセルとしてもご利用可能: 攻撃が侵入そのものを目的としていたのではなく、その隠れ蓑にすぎなかった場合に備えた、ワンクリックでのマルウェア駆除および修復。
エンタープライズおよび高リスクのワークロード向けに、Cloudflare Magic Transit または Spectrum による高度なネットワーク層の緩和機能をご利用いただけます。

まさに次元の違う攻撃

トラフィックの急増は、多くの場合ひとつの兆候にすぎません。大量のトラフィックを処理する同一のシグナルパイプラインが、その原因となる侵害も検出するため、インシデントは単に吸収されるだけでなく、正しく分類されます。

当社がホストするすべてのサイトは毎日マルウェアのスキャンが行われており、プロアクティブな WAF が、根本的な脆弱性に対するパッチが存在する前に既知のエクスプロイト手法をブロックします。これにより、サイトが他者の攻撃ツールとして悪用される経路を遮断します。
送信メールはサイトごとにレート制限が設けられており、トラフィックの急増、バウンス率、ブロックリストへの登録、苦情シグナルが監視されているため、スパムを送信している感染したサイトは、ブロックリストに登録された後ではなく、数分以内に検知されます。
疑わしいマルウェアやフィッシングは、執行の決定が下される前に、Google Safe Browsing、PhishTank、SURBL/APWG と照合され、スキャン結果と相互に関連付けられます。
リソースの乱用や暗号資産マイナーはサイトごとに記録される LVE CPU および IO フォールトとして表面化し、違反者に対して自動的にスロットリングを実行します。
すべてのシグナルは、4つの独立したツールではなく、管理コンソール内の1つの不正対策デスクに集約され、重複が排除され、優先順位が付けられた状態で届きます。

よくある質問

サーバー上の別のサイトが攻撃を受けた場合、自分のサイトはどうなりますか ?

設計の目標は封じ込めです。各サイトは専用の CloudLinux LVE ケージ内で動作し、CPU、RAM、IO、IOPS、プロセス数、エントリープロセス数に上限が設定され、独自の CageFS ファイルシステムビューを備え、MySQL Governor によるサイトごとのデータベーススロットリングが行われます。攻撃を受けたサイトは、マシン全体のリソースを消費するのではなく、自身の制限値でスロットリングされ、LiteSpeed の IP ごとの接続制限によってウェブサーバーを占有できる範囲が制限されます。封じ込めはカーネルレベルで設計されており、顧客ごとに個別設定されるものではありません。

DDoS 保護は含まれていますか、それともアドオンですか ?

基本機能はすべてのプランに含まれています。LVE および CageFS による分離、LiteSpeed の接続およびリクエスト調整、ネットワークファイアウォール、プロアクティブな WAF およびマルウェアスキャンに加え、フリートの前面には Cloudflare のエッジ吸収機能とプロバイダーレベルのネットワークフィルタリングを備えています。自社フリートの保護を任意とするわけにはいかないため、これを標準で組み込んでいます。高度なボット管理、より高層の DDoS 対策、強化された WAF ルール、専用ファイアウォールルールは、必要とされるサイト向けのアドオンとしてご利用いただけます。

サイトが攻撃を受けた場合、オフラインにしますか ?

DDoS 攻撃の標的となった場合、Cloudflare による緩和策とサイトごとのレート制限が適用され、さらに攻撃がオリジンを脅かしている場合に限り「スロットル (throttled)」状態へと移行します。これは、サイトの稼働と配信を維持しながら、より厳格な LVE 制限を適用するものです。負荷が解消されると、スロットル状態は自動的に復旧します。アカウントの停止は未払いまたは確認済みの不正利用にのみ適用され、その場合でもサイトにはエラーページではなく、ブランド表示付きの理由が明記された専用の待機ページが表示されます。

アプリケーション層のフラッド攻撃は、依然としてデータベースに影響を及ぼしますか ?

キャッシュから配信されるものには適用されません。LSCache は PHP や MySQL を呼び出すことなくキャッシュされたページのリクエストに応答し、サイトごとの Redis オブジェクトキャッシュが真に動的なページの読み取り負荷を軽減します。残りの処理はお客様のサイトの LVE プロセスおよびエントリープロセスの上限、ならびに MySQL Governor によるサイトごとのデータベーススロットリングによって制限されるため、1つのサイトからのデータベース負荷がサーバー全体に波及することはありません。カート、チェックアウト、マイアカウント、およびセッションページはデフォルトでキャッシュされないため、セキュリティ強化策がトランザクションを妨げることはありません。

HTTP 以外のトラフィックを保護できますか ?

はい、ネットワーク層で対応しています。プロバイダーレベルの DDoS 保護により、プロトコルに関係なくフリートの上流で L3/4フラッドがフィルタリングされます。さらに高度な要件やエンタープライズ要件に対しては、Cloudflare Magic Transit および Spectrum がエッジグレードの緩和策を非 HTTP トラフィックにも拡張します。

攻撃が発生したこと、およびそれに対して貴社がどのような対応をとったのかをどのように確認できますか ?

すべての執行ステータスの移行は、その理由、自動かスタッフ主導か、およびその根拠となる証拠とともに記録されます。何が変更され、何によって解決されるかが通知され、すべてのアクションに対して異議申し立てが可能であり、特権アクションはコンプライアンス監査証跡のために監査ログに記録されます。シグナルは複数のツールに分散されるのではなく、単一の Abuse Desk に集約されます。

支払う前にお試しいただくことは可能ですか ?

はい。Footprint-Free ホスティングは、最大5サイトを対象としたクレジットカード不要の14日間無料トライアルから始まります。お支払い情報の入力も契約の義務もありません。各プランには、30日間の無条件返金保証、無料の移行、ベンダーロックインなしの特典が付帯しています。

トラフィックが到達した時点で既に有効な防御

ネットワークフィルタリング、エッジでの吸収、サーバーの抑制、サイトごとの封じ込めは、デプロイした瞬間から稼働します。設定の必要はなく、インシデントの最中に有効化するものもありません。30日間の返金保証と無料の移行が付いた、カード登録不要の14日間無料トライアルから始めてください。

無料で始める