DDoS დაცვა
ჭარბი ტრაფიკი შთაინთქმება ქსელის პერიმეტრზე, ქსელური დონის შეტევები იფილტრება საწყის ეტაპზე, ხოლო ყველაფერი, რაც სერვერს აღწევს, იზოლირებულია სამიზნე საიტის საკუთარ ბირთვის დონის გალიაში. რამდენიმე ფენა, რომელთაგან თითოეული სხვადასხვა ფუნქციას ასრულებს, უზრუნველყოფს იმას, რომ ერთ საიტზე მიმართული შეტევა არ გადაიზარდოს მის გვერდით არსებული საიტების გათიშვაში. ეს არის თავდაცვის მოდელი, რომელიც შევქმენით პლატფორმისთვის, რომელიც მასპინძლობს 700 000-ზე მეტ საიტს მთელ მსოფლიოში, და საბაზისო დაცვა მოქმედებს თითოეულ გეგმაში. ხელმისაწვდომობა: საიტების მიხედვით მონაცემთა ბაზის რეგულირება აქტიური განვითარების პროცესშია და ჯერ არ არის ხელმისაწვდომი. აქ აღწერილი ყველა სხვა ფუნქცია უკვე მუშაობს დღესვე.
მოცულობითი დატბორვა, L7 აპლიკაციის დონის დატბორვა და კავშირის ნელი ამოწურვის შეტევა სამი განსხვავებული პრობლემაა. ჩვენ თითოეულ მათგანს ვუმკლავდებით იქ, სადაც ეს ყველაზე იაფი და სწრაფია — ფლოტის სათავეში, პერიმეტრზე და გალიის შიგნით.
პროვაიდერის დონის DDoS დაცვა ფილტრავს ქსელური დონის დატბორვას ჩვენი სამუშაო სერვერების (workers) ზემოთ, მანამ, სანამ ეს ტრაფიკი გამოიყენებს პორტს, NIC-ს ან პროცესორის ციკლს იმ მოწყობილობაზე, რომელზეც თქვენი საიტი მუშაობს. მოწინავე და კორპორაციული რისკის პროფილებისთვის, Cloudflare Magic Transit და Spectrum ავრცელებენ იმავე ფილტრაციას არა-HTTP ტრაფიკზეც.
თითოეული საიტის წინ განთავსებულია მართული სასაზღვრო ქსელი. იგი შთანთქავს მოცულობით HTTP წყალდიდობებს, უზრუნველყოფს L7 WAF-ის მუშაობას, იყენებს მოთხოვნათა სიხშირის შეზღუდვას თითოეული საიტისთვის და იყენებს ბოტების მართვასა და მართულ შემოწმებებს ნამდვილი ვიზიტორების ავტომატიზებული ტრაფიკისგან გასამიჯნად — ეს ყველაფერი მანამ, სანამ მოთხოვნა საწყის სერვერამდე მიაღწევს.
LiteSpeed Enterprise იყენებს კავშირებისა და მოთხოვნების შეზღუდვას თითოეულ IP-ზე კავშირის ლიმიტებით, Imunify360 მართავს ქსელის ფაირვოლს უხეში ძალის შეტევებისგან დაცვითა და IP რეპუტაციის ფილტრაციით, ხოლო CloudLinux LVE-ის შესვლის პროცესების ლიმიტები ზღუდავს, თუ რამდენ ერთდროულ მოთხოვნას შეიძლება ფლობდეს გახსნილ მდგომარეობაში ერთი საიტი.
LVE ზღუდავს CPU-ს, RAM-ს, IO-ს, IOPS-ს, პროცესებსა და შესვლის პროცესებს თითოეული საიტისთვის ინდივიდუალურად. ნაკადი, რომელიც ზედა შრეებს გაივლის, შეზღუდულია სამიზნე საიტის საკუთარ იზოლირებულ გარემოში, ამიტომ მის მიერ შექმნილი დატვირთვა რჩება ამ საიტზე და არ ვრცელდება მთელ სერვერზე.
შეტევის დროს ჰოსტინგის შეფერხებების უმეტესობა გამოწვეული არა სამიზნემდე შეტევის მიღწევით, არამედ სამიზნის მიერ რესურსების ჭარბი მოხმარებითაა, რაც სერვერზე არსებულ ყველა სხვა პროცესს რესურსების გარეშე ტოვებს. სწორედ ამ ტიპის ხარვეზის აღმოსაფხვრელადაა შექმნილი ეს არქიტექტურა.
რესურსების თვალსაზრისით ყველაზე ეფექტური ის მოთხოვნაა, რომელიც PHP-ს ან MySQL-ს საერთოდ არ ეხება. ჩვენი ორდონიანი ქეში უზრუნველყოფს, რომ აპლიკაციის დონის დიდი მოცულობის მოთხოვნებს სტატიკური ბაიტები უპასუხებს, ნაცვლად თქვენი ძირითადი სერვერის დატვირთვისა.
შემსუბუქება არ არის მხარდაჭერის ბილეთი. სიგნალები კვებავს წესების მექანიზმს, რომელიც თითოეულ მათგანს აღსრულების მოქმედებასთან, მომხმარებლის შეტყობინებასთან და — სადაც ეს შესაძლებელია — ავტომატურ გამოსწორებასთან აკავშირებს, ამასთან, ყოველი გადასვლა აღირიცხება.
როდესაც DDoS სიგნალი ამოქმედდება, წესების სისტემა იყენებს Cloudflare-ის შემსუბუქებას და თითოეულ საიტზე მოთხოვნების სიხშირის შეზღუდვას, ასევე შეუძლია დინამიკურად გაამკაცროს ამ საიტის LVE ლიმიტები. სიგნალის განეიტრალების შემდეგ ლიმიტები კვლავ თავისუფლდება. ეტაპობრივი, შექცევადი და აღრიცხული ყოველ ეტაპზე.
თუ თავდასხმა საწყის სერვერს საფრთხეს უქმნის, საიტი გადადის „შეზღუდულ“ (throttled) მდგომარეობაში — უფრო მკაცრი LVE ლიმიტები და სიხშირის შეზღუდვა, მაშინ როცა საიტი კვლავ აქტიურია და ემსახურება მომხმარებლებს. შეზღუდული მდგომარეობა ავტომატურად სწორდება ზეწოლის განმუხტვისთანავე; ეს არ არის შეჩერება.
პოლიტიკის მექანიზმის ქვემოთ, LVE მშობლიურად და ავტომატურად ზღუდავს CPU-ს, IO-ს და პროცესების გამოყენებას თითოეული საიტისთვის. ეს არის მუდმივად ჩართული პირველი ხაზი, რომელიც მუშაობს იმისდა მიუხედავად, კლასიფიცირებულია თუ არა ტრაფიკი თავდასხმად.
აღსრულების თითოეული გადასვლა აღრიცხავს თავის მიზეზს, იყო ის ავტომატური თუ პერსონალის მიერ ინიციირებული, და მის საფუძვლად არსებულ მტკიცებულებებს. თქვენ გეცნობებათ იმის შესახებ, თუ რა შეიცვალა და როგორ მოაგვაროთ ეს, და თითოეული ქმედება ექვემდებარება გასაჩივრებას.
საბაზისო დაცვა არ არის არჩევითი, რადგან შეტევის ქვეშ მყოფი ან კომპრომეტირებული საიტი საფრთხეს უქმნის მეზობელ საიტებს, ჩვენი სერვერის რეპუტაციასა და ჩვენს IP დიაპაზონებს. უფრო ძლიერი დაცვა არსებობს იმ საიტებისთვის, რომელთა რისკის პროფილიც ამას მოითხოვს.
ტრაფიკის მკვეთრი ზრდა ხშირად მხოლოდ სიმპტომია. სიგნალის იგივე მილსადენი, რომელიც მართავს ტრაფიკის მოზღვავებას, ასევე აფიქსირებს იმ დარღვევებს, რომლებიც მას იწვევს, ასე რომ, ინციდენტი სწორად კლასიფიცირდება და არა უბრალოდ შთაინთქმება.
დიზაინის მიზანი იზოლაციაა. თითოეული საიტი მუშაობს საკუთარ CloudLinux LVE გარემოში შეზღუდული CPU-ით, RAM-ით, IO-ით, IOPS-ით, პროცესებითა და შესვლის პროცესებით, CageFS ფაილური სისტემის საკუთარი ხედით და საიტების მონაცემთა ბაზის რეგულირებით MySQL Governor-ის მეშვეობით. თავდასხმის ქვეშ მყოფი საიტი იზღუდება საკუთარ ზღვარზე და არ მოიხმარს მთლიან სერვერს, ხოლო LiteSpeed-ის თითოეულ IP-ზე კავშირების ლიმიტები განსაზღვრავს, თუ ვებ-სერვერის რა ნაწილის დაკავება შეუძლია მას. იზოლაცია შემუშავებულია ბირთვის დონეზე და არ კონფიგურირდება თითოეული მომხმარებლისთვის ცალ-ცალკე.
საბაზისო დონე გათვალისწინებულია ყველა გეგმაში: LVE და CageFS იზოლაცია, LiteSpeed კავშირებისა და მოთხოვნების შეზღუდვა, ქსელის ფაირვოლი, პროაქტიული WAF და მავნე პროგრამების სკანირება, ინფრასტრუქტურის წინ Cloudflare-ის პერიფერიული შთანთქმითა და პროვაიდერის დონის ქსელური ფილტრაციით. ჩვენ მას ვრთავთ პაკეტში, რადგან საკუთარი ინფრასტრუქტურის დაცვა არასავალდებულოდ ვერ დარჩება. ბოტების გაფართოებული მართვა, DDoS-ის უმაღლესი დონეები, გაუმჯობესებული WAF წესები და გამოყოფილი ფაირვოლის წესები არის დამატებითი ფუნქციები იმ საიტებისთვის, რომლებსაც ეს ესაჭიროებათ.
DDoS-ის სამიზნედ ყოფნა ითვალისწინებს Cloudflare-ით შემსუბუქებას და თითოეულ საიტზე მოთხოვნების სიხშირის შეზღუდვას (rate limiting), ხოლო — მხოლოდ იმ შემთხვევაში, თუ შეტევა საფრთხეს უქმნის ძირითად სერვერს (origin) — 'throttled' (შეზღუდულ) მდგომარეობას: უფრო მკაცრ LVE ლიმიტებს იმ პირობით, რომ საიტი კვლავ ხელმისაწვდომია და ფუნქციონირებს. შეზღუდული რეჟიმი წნეხის შემცირებისთანავე ავტომატურად აღდგება. შეჩერება (suspension) გათვალისწინებულია მხოლოდ გადაუხდელობის ან დადასტურებული ბოროტად გამოყენების შემთხვევაში, და მაშინაც კი საიტი გატეხილი გვერდის ნაცვლად აჩვენებს ბრენდირებულ, კონკრეტული მიზეზის მითითებით შექმნილ დროებით გვერდს.
არაფრისთვის, რაც ქეშიდან მიეწოდება. LSCache პასუხობს ქეშირებული გვერდების მოთხოვნებს PHP-ს ან MySQL-ის გამოძახების გარეშე, ხოლო თითოეული საიტის Redis ობიექტების ქეში ამცირებს კითხვის დატვირთვას ნამდვილად დინამიკური გვერდებისთვის. რაც რჩება, შეზღუდულია თქვენი საიტის LVE პროცესებისა და შესვლის პროცესების ლიმიტებით და MySQL Governor-ის მიერ მონაცემთა ბაზის რეგულირებით თითოეულ საიტზე, ასე რომ, ერთი საიტის მონაცემთა ბაზის დატვირთვა ვერ გადავა სერვერზე. კალათის, გადახდის, ჩემი ანგარიშისა და სესიის გვერდები ნაგულისხმევად რჩება არა-ქეშირებული, რათა უსაფრთხოების გაძლიერებამ არასოდეს შეაფერხოს ტრანზაქცია.
დიახ, ქსელის დონეზე. პროვაიდერის დონის DDoS დაცვა ფილტრავს L3/4 წყალდიდობებს ჩვენი ფლოტის ზემოთ, პროტოკოლის მიუხედავად, ხოლო მოწინავე ან კორპორატიული მოთხოვნებისთვის Cloudflare Magic Transit და Spectrum ავრცელებენ კიდის დონის შემსუბუქებას არა-HTTP ტრაფიკზე.
აღსრულების ყოველი ცვლილება აღირიცხება მისი მიზეზით, იმის მითითებით, ავტომატური იყო ის თუ პერსონალის მიერ ინიცირებული, და შესაბამისი მტკიცებულებებით. თქვენ გეცნობებათ, თუ რა შეიცვალა და რა აგვარებს ამას, ყოველი ქმედება ექვემდებარება გასაჩივრებას, ხოლო პრივილეგირებული ქმედებები აღირიცხება აუდიტის ჟურნალში თქვენივე შესაბამისობის კვალისთვის. სიგნალები თავმოყრილია ერთიან Abuse Desk-ში, ნაცვლად სხვადასხვა ხელსაწყოებში გაბნევისა.
დიახ. Footprint-Free ჰოსტინგი იწყება ბარათის გარეშე 14-დღიანი საცდელი პერიოდით 5-მდე საიტისთვის — გადახდის მონაცემებისა და ვალდებულებების გარეშე. პაკეტები უზრუნველყოფილია 30-დღიანი უპირობო თანხის დაბრუნების გარანტიით, უფასო მიგრაციებითა და პროვაიდერზე მიჯაჭვულობის გარეშე.
ქსელის ფილტრაცია, პერიფერიული შთანთქმა, სერვერის შეზღუდვა და თითოეული საიტის იზოლაცია მუშაობს განთავსების მომენტიდანვე — არაფერია კონფიგურირებადი, ინციდენტის დროს ჩასართავი არაფერია. დაიწყეთ ბარათის გარეშე 14-დღიანი საცდელი პერიოდით, რომელსაც თან ახლავს 30-დღიანი თანხის დაბრუნების გარანტია და უფასო მიგრაციები.
დაიწყეთ უფასოდ