DDoS-тан қорғау
Су basıkları шет жағында сіңіріледі, желілік деңгейдегі шабуылдар жоғары ағында сүзгіден өткізіледі, ал серверге жеткен кез келген нәрсе мақсатты сайттың өзінің ядро деңгейіндегі оқшаулау аймағында сақталады. Бірнеше деңгей, олардың әрқайсысы әртүрлі жұмысты атқарады, сондықтан бір сайтқа бағытталған шабуыл оның жанындағылар үшін жұмыс істемей қалуға әкеп соқпайды. Бұл дүние жүзі бойынша 650 000-нан астам сайтты орналастыратын платформа үшін жасаған қорғаныс моделіміз және негізгі көрсеткіш әрбір жоспарда жұмыс істейді. Қолжетімділігі: сайт бойынша дерекқорды шектеу белсенді әзірленуде және әлі қолжетімді емес. Мұнда сипатталған қалған барлық нәрсе бүгін іске қосылған.
Көлемдік тасқын, L7 қолданбалы тасқын және баяу қосылуды сарпу шабуылы — бұл үш түрлі мәселе. Біз олардың әрқайсысын шешу ең арзан әрі жылдам болатын жерде — флоттың жоғарғы ағынында, шеткі жүйеде (edge) және ячейка ішінде шешеміз.
Provider-level DDoS protection деңгейіндегі қорғаныс желілік деңгейдегі шабуылдарды біздің жұмысшы кластерімізден тыс жерде, бұл трафик сіздің сайтыңыз жұмыс істейтін машинаның портына, NIC немесе CPU цикліне әсер етпей тұрып сүзгіден өткізеді. Жетілдірілген және корпоративтік тәуекел профильдері үшін Cloudflare Magic Transit пен Spectrum бұл сүзгілеуді HTTP емес трафикке де қолданады.
Басқарылатын шекаралық желі әрбір сайттың алдында тұрады. Ол көлемді HTTP шабуылдарын сіңіреді, 7-деңгейдегі WAF іске қосады, әр сайт үшін жиілікті шектеуді қолданады және сұрау шықкіөзге жетпей тұрып-ақ, нақты келушілерді автоматтандырылған трафиктен ажырату үшін боттарды басқару және басқарылатын тексерулерді пайдаланады.
LiteSpeed Enterprise қосылымдар мен сұрауларды бір IP-ге арналған қосылым шектеулері арқылы шектейді, Imunify360 брутфорстан қорғау және IP беделін сүзгілеу мүмкіндігі бар желілік брандмауэрді іске қосады, ал CloudLinux LVE кіру процесінің шектеулері бір сайт бір уақытта ашық ұстай алатын қатар жүретін сұраулар санын шектейді.
LVE әрбір сайт үшін CPU, RAM, IO, IOPS, процестер мен кіру процестерін жеке шектейді. Жоғарғы деңгейлерден өтіп кеткен шабуыл немесе жүктеме мақсатты сайттың өз ячейкасының ішінде шектеледі, сондықтан ол тудырған қысым сервер бойынша тарап кетпей, сол сайттың өзінде қалады.
Шабуыл кезіндегі хостингтің істен шығуының көбі шабуылдың өз мақсатына жетуінен болмайды. Олар нысанның ресурс тұтынуы сервердегі басқа нәрсенің бәрін шектеуінен туындайды. Бұл архитектура жоюға арналған қателік түрі дәл осы.
PHP немесе MySQL-ге мүлде тиіспейтін сұрау – аман қалатын ең арзан сұрау. Біздің екі қабатты кэшіміз қолданбалы деңгейдегі жүктеменің үлкен бөлігіне бастапқы сервердің жұмыс істеуі арқылы емес, статикалық байттар арқылы жауап беруге мүмкіндік береді.
Митгация — бұл қолдау көрсету тикеті емес. Сигналдар әрқайсысын орындау әрекетіне, тұтынушыға хабарламаға және мүмкіндік болған жағдайда автоматты түзетуге сәйкестендіретін саясаттар қозғалтқышын қоректендіреді, ал әрбір өту әрекеті тіркеледі.
DDoS сигналы іске қосылғанда, саясат қозғалтқышы Cloudflare митигациясын және сайышілік жылдамдықты шектеуді қолданады және сол сайттың LVE шектеулерін динамикалық түрде қатаңдата алады. Сигнал басылғанда, шектеулер қайтадан жұмсартады. Біртіндеп, қайтымды және әр қадамда журналға жазылады.
Шабуыл бастапқы серверге қауіп төндірсе, сайт «шектелген» күйге өтеді — LVE шектеулері мен жиілік шектеулері қатаңдатылып, сайт жұмысын жалғастырады әрі қызмет көрсетеді. Қысым басылғаннан кейін шектелген күй автоматты түрде қалпына келеді; бұл – бұғаттау емес.
Саясат қозғалтқышынан төмен, LVE процессор, енгізу-шығару және процесстерді пайдалануды әр сайт үшін жергілікті және автоматты түрде шектейді. Бұл трафик әлі шабуыл ретінде жіктелген-жіктелмегеніне қарамастан жұмыс істейтін, әрқашан қосулы тұрған бірінші қорғаныс шебі.
Әрбір қолданысқа енгізу ауысуы өз себебін, оның автоматты түрде немесе қызметкердің бастамасымен жасалғанын және оның негізіндегі дәлелдерді жазып отырады. Сізге не өзгергені және оны қалай шешу керектігі туралы хабарланады, сондай-ақ әрбір әрекетке шағымдануға болады.
Негізгі қорғаныс міндетті болып табылады, өйткені бұзылған немесе қауіпсіздігі бұзылған сайт көрші сайттарға, біздің сервер беделіне және IP диапазондарымызға қатер төндіреді. Тәуекел деңгейі соны талап ететін сайттар үшін күшейтілген қорғаныс қолжетімді.
Трафик шыңы көбінесе белгі болып табылады. Шабуылдарды өңдейтін бірдей сигнал конвейері оларды тудыратын зиянды әрекеттерді де анықтайды, сондықтан оқиға жай ғана елеусіз қалмай, дұрыс жіктеледі.
Дизайн мақсаты — оқшаулау. Әрбір сайт CloudLinux LVE қоршауында шектелген CPU, RAM, IO, IOPS, процесс пен кіру процесстерімен, өзінің CageFS файлдық жүйесі көрінісімен және MySQL Governor арқылы сайт бойынша дерекқорды шектеумен жұмыс істейді. Шабуылға ұшыраған сайт бүкіл машинаны тұтынудың орнына өз шегінде шектеледі, ал LiteSpeed IP бойынша қосылым шектеулері оның веб-серверді қаншалықты ұстай алатынын реттейді. Оқшаулау клиент бойынша конфигурацияланбайды, ядро деңгейінде жасалған.
Бастапқы деңгей кез келген жоспарда бар: LVE және CageFS оқшаулауы, LiteSpeed қосылымы мен сұрауларды шектеу, желілік брандмауэр, белсенді WAF және зиянды бағдарламаларды сканерлеу, сондай-ақ флоттың алдында Cloudflare шеткі абсорбциясы және провайдер деңгейіндегі желілік сүзгілеу. Біз мұны өз флотымызды қорғауды міндетті түрде қамтамасыз етуіміз керек болғандықтан қосамыз. Кеңейтілген бот басқару, жоғары DDoS деңгейлері, жақсартылған WAF ережелері және арнайы брандмауэр ережелері – оларды қажет ететін сайттарға арналған қосымша мүмкіндіктер.
DDoS нысаны болу Cloudflare mitigations, сайт бойынша жылдамдықты шектеу және — шабуыл бастапқы серверге қауіп төндірген жағдайда ғана — «throttled» күйіне әкеледі: бұл кезде сайт жұмыс істеп, қызмет көрсетуін жалғастырғанымен, LVE шектеулері қатаңдай түседі. Қысым басылғаннан кейін Throttled автоматты түрде қалпына келеді. Тоқтату шарасы төленбеген жағдайда немесе расталған теріс пайдалану үшін ғана қолданылады, тіпті сол кездің өзінде сайттың бұзылған бетінің орнына себебі көрсетілген арнайы сақтау беті ашылады.
Кэштен берілген ешбір нәрсе үшін емес. LSCache кэштелген бет сұрауларын PHP немесе MySQL іске қоспастан өңдейді, ал сайт бойынша әр түрлі Redis объектілер кэші шынымен де динамикалық беттерге арналған оқу әрекеттерін түсіреді. Қалғаны сіздің сайтыңыздың LVE процесс және кіру процесі шектеулерімен, сондай-ақ MySQL Governor жүйесінің сайт бойынша деректер қорын шектеу механизмімен шектелген, сондықтан бір сайттан келетін деректер қорына түсетін жүктеме серверге тарала алмайды. Себет, тапсырыс беру, менің аккаунт және сеанс беттері әдепкі бойынша кэштелмейді, бұл жүйені қатайту ешқашан транзакцияны бұзбауын қамтамасыз етеді.
Иә, желілік деңгейде. Провайдер деңгейіндегі DDoS шабуылдарынан қорғау протоколға қарамастан біздің желіміздің алдындағы L3/4 тасқындарын сүзгіден өткізеді, ал кеңейтілген немесе корпоративтік талаптар үшін Cloudflare Magic Transit және Spectrum HTTP емес трафикке шеткі деңгейдегі жұмсартуды қолданады.
Әрбір шектеу шарасының ауысуы оның себебімен, автоматты немесе қызметкер тарапынан бастамашыл болғанымен және оның негізіндегі дәлелдермен бірге тіркеледі. Сізге не өзгергені және оны қалай шешуге болатыны туралы хабарланады, әрбір әрекетке шағымдануға болады, ал артықшылықты әрекеттер өзіңіздің сәйкестік тізбегіңіз үшін аудит журналына жазылады. Сигналдар әртүрлі құралдарға шашыраңқы емес, бірыңғай Abuse Desk жүйесінде жинақталады.
Иә. Footprint-Free Hosting қызметі 5 сайтқа дейін қамтитын, карта талап етілмейтін 14 күндік сынақ мерзімінен басталады — төлем деректері де, міндеттемелер де жоқ. Жоспарлар 30 күндік шартсыз ақшаны қайтару кепілдігімен, тегін көшірулермен және жеткізушіге байланбау мүмкіндігімен қамтамасыз етілген.
Желіні сүзгілеу, шеткі жұту, серверді шектеу және сайт бойынша оқшаулау сіз орнатқан сәттен бастап жұмыс істейді — ештеңені баптау қажет емес, инцидент кезінде қосылатын ештеңе жоқ. 14 күндік картасыз сынақ мерзімінен бастаңыз, сондай-ақ 30 күндік ақшаны қайтару кепілдігі мен тегін көшіру қызметі қарастырылған.
Тегін бастау