DDoS დაცვა
წყალდიდობის მსგავსი ტრაფიკის ნაკადები შთაინთქმება პერიმეტრზე, ქსელური დონის შეტევები იფილტრება საწყის ეტაპზევე, ხოლო ის, რაც სერვერამდე აღწევს, იზოლირებულია სამიზნე საიტის ბირთვის დონის გარემოში. რამდენიმე შრე, რომელთაგან თითოეული განსხვავებულ ამოცანას ასრულებს, უზრუნველყოფს იმას, რომ ერთ საიტზე მიმართული შეტევა არ გადაიზარდოს გვერდით მყოფი საიტების მუშაობის შეფერხებაში. ეს არის დაცვის მოდელი, რომელიც შევქმენით პლატფორმისთვის, სადაც მსოფლიოს მასშტაბით 650 000-ზე მეტი საიტია განთავსებული, ხოლო საბაზისო ფუნქციონალი ხელმისაწვდომია თითოეულ სატარიფო გეგმაში. ხელმისაწვდომობა: საიტების მიხედვით მონაცემთა ბაზის შეზღუდვის (throttling) ფუნქცია აქტიური შემუშავების პროცესშია და ჯერ არ არის ხელმისაწვდომი. აქ აღწერილი ყველა სხვა ფუნქცია უკვე აქტიურია.
მოცულობითი ფლადი, L7 აპლიკაციის ფლადი და ნელი კავშირის ამოწურვის შეტევა სამი სხვადასხვა პრობლემაა. თითოეულ მათგანს ვუმკლავდებით იქ, სადაც ეს ყველაზე იაფად და სწრაფად ხდება — ფლოტის ზემოთ, ქსელის კიდეზე და ქეიჯის შიგნით.
პროვაიდერის დონის DDoS დაცვა ფილტრავს ქსელური დონის ძლიერ შეტევებს ჩვენი სამუშაო სერვერების მიღმა, სანამ ეს ტრაფიკი დაიკავებს პორტს, ქსელურ ინტერფეისს (NIC) ან პროცესორის რესურსს იმ მანქანაზე, რომელზეც თქვენი საიტი მუშაობს. მოწინავე და საწარმოო რისკების პროფილებისთვის, Cloudflare Magic Transit და Spectrum აფართოებენ ამავე ფილტრაციას არა-HTTP ტრაფიკზე.
მართული ეჯ-ქსელი ყველა საიტის წინ მდებარეობს. იგი შთანთქავს მოცულობით HTTP იერიშებს, უშვებს L7 WAF-ს, აწესებს საიტზე დაფუძნებულ სიხშირის შეზღუდვას და იყენებს ბოტების მართვასა და მართულ გამოწვევებს რეალური ვიზიტორების ავტომატური ტრაფიკისგან განსასხვავებლად — ყველაფერი ეს სანამ მოთხოვნა საწყის სერვერამდე მიაღწევს.
LiteSpeed Enterprise აწესებს დაკავშირებისა და მოთხოვნის შეზღუდვას თითო IP-ზე კავშირების ლიმიტებით, Imunify360 მართავს ქსელურ ფაიერვოლს უხეში ძალისგან (brute-force) დაცვით და IP რეპუტაციის ფილტრაციით, ხოლო CloudLinux LVE შესვლის პროცესის ლიმიტები ზღუდავს, თუ რამდენი ერთდროული მოთხოვნის შენარჩუნება შეუძლია ერთ საიტს.
LVE შეზღუდვებს უწესებს CPU-ს, RAM-ს, IO-ს, IOPS-ს, პროცესებსა და შესვლის პროცესებს (entry-processes) თითოეული საიტისთვის ინდივიდუალურად. შეტევის ნაკადი, რომელიც ზედა შრეებს გაივლის, იზოლირდება უშუალოდ სამიზნე საიტის „გალიაში“ (cage), ასე რომ, მის მიერ შექმნილი დატვირთვა რჩება ამავე საიტის ფარგლებში და არ ვრცელდება მთელ სერვერზე.
თავდასხმის დროს ჰოსტინგის შეფერხებათა უმრავლესობა გამოწვეული არ არის იმით, რომ თავდასხმა აღწევს თავის სამიზნეს. ისინი გამოწვეულია სამიზნის მიერ რესურსების მოხმარებით, რაც სერვერზე არსებულ ყველა სხვა პროცესს რესურსების გარეშე ტოვებს. სწორედ ამ წარუმატებლობის რეჟიმის აღმოსაფხვრელადაა შექმნილი ეს არქიტექტურა.
გადარჩენის ყველაზე იაფფასიანი მოთხოვნა ის არის, რომელიც არასდროს ეხება PHP-ს ან MySQL-ს. ჩვენი ორფენიანი ქეში ნიშნავს, რომ აპლიკაციის ფენის შემოსული ნაკადის დიდი წილი პასუხობს სტატიკური ბაიტებით და არა თქვენი ორიგინალი სერვერის მიერ შესრულებული სამუშაოთი.
მიტიგაცია არ არის მხარდაჭერის თიქეთი. სიგნალები იკვებება პოლიტიკის ძრავში, რომელიც თითოეულ მათგანს აწყვილებს აღსრულების ზომასთან, მომხმარებლის შეტყობინებასთან და — შესაძლებლობის შემთხვევაში — ავტომატურ აღმოფხვრასთან, ხოლო ყველა გადართვა იწერება ლოგებში.
DDoS სიგნალის გააქტიურებისას, პოლიტიკის ძრავა იყენებს Cloudflare-ის მიტიგაციას და საიტების მიხედვით სიჩქარის შეზღუდვას (rate limiting) და შეუძლია დინამიურად გაამკაცროს ამ საიტის LVE ლიმიტები. სიგნალის მოხსნის შემდეგ, ლიმიტები ისევ იხსნება. თანდათანობითი, შექცევადი და აღრიცხული ყოველ ნაბიჯზე.
თუ შეტევა ორიგინს ემუქრება, საიტი გადადის „შეზღუდულ“ (throttled) მდგომარეობაში — მოქმედებს უფრო მკაცრი LVE ლიმიტები და სიხშირის შეზღუდვა, თუმცა საიტი კვლავ მუშაობს და აგრძელებს მომსახურებას. შეზღუდული მდგომარეობა ავტომატურად უბრუნდება ჩვეულ რიტმს, როდესაც დატვირთვა მოიხსნება; ეს არ არის შეჩერება.
პოლიტიკის ძრავის ქვემოთ, LVE მშობლიურად და ავტომატურად ზღუდავს CPU-ს, IO-ს და პროცესების გამოყენებას თითოეულ საიტზე. ეს არის მუდმივად ჩართული პირველი ხაზი, რომელიც მუშაობს მიუხედავად იმისა, მოხდა თუ არა ტრაფიკის შეტევად კლასიფიკაცია.
აღსრულების ყოველი გადასვლა აფიქსირებს თავის მიზეზს — იყო თუ არა ის ავტომატური თუ პერსონალის მიერ ინიცირებული — და მის უკან მდგომ მტკიცებულებას. თქვენ გეცნობებათ, რა შეიცვალა და როგორ უნდა მოაგვაროთ ეს, ხოლო ყველა ქმედება გასაჩივრებადია.
საბაზისო დაცვა არ არის არჩევითი, რადგან თავდასხმის ობიექტი ან კომპრომეტირებული საიტი საფრთხეს უქმნის თავის მეზობლებს, ჩვენი სერვერის რეპუტაციასა და ჩვენს IP დიაპაზონებს. უფრო ძლიერი დაცვა გათვალისწინებულია იმ საიტებისთვის, რომელთა რისკის პროფილიც ამას მოითხოვს.
ტრაფიკის მოულოდნელ მატებას ხშირად რაღაც სხვა იწვევს. იგივე მონაცემთა მილსადენი, რომელიც უმკლავდება ტრაფიკის ნაკადს, ასევე აფიქსირებს იმ დარღვევებს, რომლებიც მას იწვევს, რის შედეგადაც ინციდენტი სწორად კლასიფიცირდება და არა უბრალოდ იგნორირებული.
დიზაინის მიზანი იზოლაციაა. თითოეული საიტი მუშაობს საკუთარ CloudLinux LVE გალიაში, შეზღუდული CPU-თ, RAM-ით, IO-თი, IOPS-ით, პროცესებითა და შესასვლელი პროცესებით, საკუთari CageFS ფაილური სისტემის ხედით და თითოეული საიტისთვის ბაზის შეზღუდვით MySQL Governor-ის გამოყენებით. შეტევის ქვეშ მყოფი საიტი იზღუდება საკუთარი ლიმიტით და არა მთელი მანქანის რესურსების მოხმარებით, ხოლო LiteSpeed-ის თითო IP-ზე კავშირის ლიმიტები ზღudavs, თუ ვებ სვერის რა ნაწილის დაკავება შეუძლია მას. იზოლაცია ბირთვის დონეზეა შექმნილი და არა თითოეული მომხმარებლისთვის კონფიგურირებული.
საბაზისო დონე შედის ყველა გეგმაში: LVE და CageFS იზოლაცია, LiteSpeed დაკავშირებისა და მოთხოვნების შეზღუდვა, ქსელური ფაიერვოლი, პროაქტიული WAF და მავნე პროგრამების სკანირება, Cloudflare კიდურა აბსორბციითა და პროვაიდერის დონის ქსელური ფილტრაციით სერვერების ერთობის წინ. ჩვენ მას ვურთავთ, რადგან არ შეგვიძლია ჩვენივე სერვერების დაცვა არჩევითად გავხადოთ. ბოტების მოწინავე მართვა, DDoS-ის უფრო მაღალი დონეები, გაუმჯობესებული WAF წესები და გამოყოფილი ფაიერვოლის წესები დამატებითი სერვისებია იმ საიტებისთვის, რომლებსაც ეს ესაჭიროებათ.
DDoS სამიზნედ ყოფნა იწვევს Cloudflare mitigation და თითოეულ საიტზე სიხშირის შეზღუდვას, ხოლო — მხოლოდ იმ შემთხვევაში, თუ შეტევა ემუქრება ორიგინალს — „throttled“ მდგომარეობას: უფრო მკაცრ LVE ლიმიტებს, საიტით კვლავ მუშაობს და აწვდის მონაცემებს. Throttled ავტომატურად აღდგება წნევის მოხსნისთანავე. შეჩერება განკუთვნილია გადაუხდელობისთვის ან დადასტურებული ბოროტად გამოყენებისთვის, და ამ შემთხვევაშიც კი საიტი აჩვენებს ბრენდირებულ, მიზეზზე ორიენტირებულ შეჩერების გვერდს და არა გატეხილს.
ქეშიდან მოწოდებული არცერთი მონაცემისთვის. LSCache პასუხობს ქეშირებული გვერდის მოთხოვნებს PHP-სა და MySQL-ის ჩართვის გარეშე, ხოლო საიტის მიხედვით მომუშავე Redis ობიექტების ქეში განტვირთავს წაკითხვის ოპერაციებს რეალურად დინამიური გვერდებისთვის. ის, რაც რჩება, შემოფარგლულია თქვენი საიტის LVE პროცესისა და შესვლის პროცესის ლიმიტებით, ასევე MySQL Governor-ის საიტის მიხედვით მონაცემთა ბაზის შეზღუდვით, რათა ერთი საიტიდან მომავალმა ბაზის დატვირთვამ სერვერზე არ გადაინაცვლოს. კალათა, შეკვეთა, ჩემი ანგარიში და სესიის გვერდები ნაგულისხმევად რჩება არაქეშირებული, რათა სისტემის გამაგრებამ არასდროს დაარღვიოს ტრანზაქცია.
დიახ, ქსელის დონეზე. პროვაიდერის დონის DDoS დაცვა ფილტრავს L3/4 შეტევებს ჩვენი სერვერების ქსელამდე, პროტოკოლის მიუხედავად, ხოლო მოწინავე ან საწარმოო მოთხოვნებისთვის Cloudflare Magic Transit და Spectrum ავრცელებენ ზღვრული დონის (edge-grade) შერბილებას არა-HTTP ტრაფიკზეც.
აღსრულების ყოველი გადასვლა ირგებება თავისი მიზეზით — იყო ეს ავტომატური თუ თანამშრომლის ინიცირებული — და მასთან დაკავშირებული მტკიცებულებებით. თქვენ გეცნობებათ რა შეიცვალა და როგორ მოგვარდება ეს, ყოველი მოქმედება სააპელაციოა, ხოლო პრივილეგირებული ქმედებები ფიქსირდება აუდიტის ჟურნალში თქვენივე შესაბამისობისთვის. სიგნალები აგრეგირებულია ერთიან ბოროტმოქმედების მართვის სამსახურში (Abuse Desk) და არა გაფანტული სხვადასხვა ინსტრუმენტს შორის.
დიახ. Footprint-Free Hosting იწყება ბარათის გარეშე 14-დღიანი საცდელი პერიოდით, რომელიც ფარავს 5-მდე საიტს — გადახდის დეტალების და ვალდებულებების გარეშე. გეგმებს ახლავს 30-დღიანი უპირობო თანხის დაბრუნების გარანტია, უფასო მიგრაცია და მიმწოდებელზე მიჯაჭვულობის გარეშე.
ქსელური ფილტრაცია, ზღვრული აბსორბცია, სერვერის შეზღუდვა და საიტების მიხედვით იზოლაცია მუშაობს განთავსებისთანავე — არაფერია კონფიგურირებადი, არაფერია ინციდენტის დროს ჩასართავი. დაიწყეთ ბარათის გარეშე 14-დღიანი საცდელი პერიოდით, რომელსაც გთავაზობთ 30-დღიანი თანხის დაბრუნების გარანტია და უფასო მიგრაცია.
უფასოდ დაწყება