DDoS қорғанысы
Шамадан тыс трафик желі шегінде жұтылады, желілік деңгейдегі шабуылдар жоғарыда сүзіледі, ал серверге жеткеннің барлығы мақсатты сайттың ядролық деңгейдегі оқшауланған ортасында қалады. Бірнеше деңгейдің әрқайсысы әртүрлі тапсырманы орындайды, сондықтан бір сайтқа бағытталған шабуыл көрші сайттардың тоқтап қалуына әкелмейді. Бұл — бүкіл әлем бойынша 700 000-нан астам сайтты орналастыратын платформа үшін біз әзірлеген қорғаныс моделі және бұл негізгі қорғаныс әрбір тарифтік жоспарда жұмыс істейді. Қолжетімділік: әрбір сайт үшін дерекқорды шектеу белсенді әзірлеу кезеңінде және әзірше қолжетімді емес. Мұнда сипатталған басқа функциялардың барлығы қазіргі уақытта іске қосылған.
Көлемдік шабуыл, L7 қолданбалық деңгейдегі шабуыл және қосылымдарды баяу сарқу шабуылы — бұл үш бөлек мәселе. Біз олардың әрқайсысын ең арзан және ең жылдам шешілетін жерде реттейміз — флоттың жоғарғы ағынында, желі шетінде және қоршаудың ішінде.
Провайдер деңгейіндегі DDoS қорғанысы желілік деңгейдегі шабуылдарды біздің жұмысшы кластерімізге жеткізбей, сол трафик сайтыңыз жұмыс істейтін құрылғыдағы портты, желілік картаны (NIC) немесе процессор циклін тұтынбас бұрын сүзгіден өткізеді. Жетілдірілген және корпоративтік тәуекел профильдері үшін Cloudflare Magic Transit және Spectrum дәл осындай сүзгілеуді HTTP емес трафикке де қолданады.
Әр сайттың алдында басқарылатын шеткі желі орналасқан. Ол көлемді HTTP тасқындарын бейтараптандырады, L7 WAF іске қосады, әр сайтқа сұраныс жиілігін шектеуді қолданады және нақты келушілерді автоматтандырылған трафиктен ажырату үшін боттарды басқару мен басқарылатын тексерулерді пайдаланады — мұның барлығы сұраныс түпнұсқаға жеткенге дейін орындалады.
LiteSpeed Enterprise әрбір IP-ге қосылым шектеулері бар қосылымдар мен сұрауларды шектеуді қолданады, Imunify360 брутфорс шабуылдарынан қорғау және IP беделін сүзу мүмкіндігі бар желілік брандмауэрді іске қосады, ал CloudLinux LVE кіру процестерінің лимиттері бір сайттың бір уақытта қанша қатарлас сұрауды ашық ұстай алатынын шектейді.
LVE әрбір сайт үшін жеке түрде CPU, RAM, IO, IOPS, процестер мен кіру процестерін шектейді. Жоғарғы деңгейлерден өткен шамадан тыс трафик нысаналы сайттың өз оқшауланған ортасында шектеледі, сондықтан оның тудырған жүктемесі бүкіл серверге таралмай, тек сол сайттың ішінде қалады.
Шабуыл кезіндегі хостинг үзілістерінің көпшілігі шабуылдың өз нысанасына жетуінен болмайды. Олар нысананың ресурстарды шамадан тыс тұтынуы сервердегі қалған процестерді ресурстарсыз қалдыруынан туындайды. Бұл архитектура дәл осы ақау түрін жою үшін әзірленген.
Өңдеуге ең аз шығын талап ететін сұраныс — бұл PHP немесе MySQL-ге мүлдем жетпейтін сұраныс. Біздің екі деңгейлі кэшіміз қосымша деңгейіндегі жүктеменің басым бөлігіне бастапқы серверіңіздің жұмысын қажет етпей, статикалық байттармен жауап беруді қамтамасыз етеді.
Қатерді азайту қолдау көрсету өтініші емес. Сигналдар саясат тетігіне жіберіліп, олардың әрқайсысы мәжбүрлеу әрекетіне, тұтынушыға хабарландыруға және — мүмкіндігінше — автоматты түрде түзетуге сәйкестендіріледі, бұл ретте әрбір ауысу тіркеліп отырады.
DDoS сигналы іске қосылған кезде, саясат жүйесі Cloudflare жеңілдетуін және әр сайтқа сұраныс жиілігін шектеуді қолданады, сондай-ақ сол сайттың LVE шектеулерін динамикалық түрде күшейте алады. Сигнал жойылған кезде шектеулер қайтадан жеңілдетіледі. Кезең-кезеңімен, қайтымды және әрбір қадамда тіркеледі.
Егер шабуыл түпнұсқа серверге қауіп төндірсе, сайт «шектелген» (throttled) күйге өтеді — сайт жұмысын жалғастырып, қызмет көрсетіп тұрғанда неғұрлым қатаң LVE шектеулері мен сұраныс жиілігін шектеу қолданылады. Қысым сейілгеннен кейін шектеу автоматты түрде қалпына келеді; бұл тоқтата тұру емес.
Саясат тетігінің астында LVE әр сайт бойынша процессорды, енгізу-шығаруды (IO) және процестерді пайдалануды түпкілікті әрі автоматты түрде реттейді. Бұл трафиктің шабуыл ретінде жіктелгеніне немесе жіктелмегеніне қарамастан жұмыс істейтін, үнемі белсенді бірінші қорғаныс шебі.
Құқық қолданудың әрбір ауысуы оның себебін, автоматты түрде немесе қызметкерлер бастамасымен болғанын және оның негізіндегі дәлелдерді тіркейді. Сізге не өзгергені және оны қалай шешу керектігі туралы хабарланады және әрбір әрекет бойынша шағымдануға болады.
Негізгі қорғаныс міндетті болып табылады, себебі шабуыл жасалған немесе бұзылған сайт өзінің көршілеріне, серверіміздің беделіне және IP диапазондарымызға қауіп төндіреді. Тәуекел бейіні талап ететін сайттар үшін күшейтілген қорғаныс қарастырылған.
Трафиктің күрт өсуі көбінесе белгі болып табылады. Шамадан тыс жүктемелерді өңдейтін бірдей сигналдық конвейер оларды тудыратын қауіпсіздік бұзылуларын да анықтайды, сондықтан оқыс оқиға жай ғана қабылданып қоймай, дұрыс жіктеледі.
Жобалау мақсаты — оқшаулау. Әрбір сайт шектелген CPU, RAM, IO, IOPS, процестер мен кіру процестері, жеке CageFS файлдық жүйе көрінісі және MySQL Governor арқылы әр сайтқа арналған дерекқорды шектеу мүмкіндігі бар жеке CloudLinux LVE ортасында жұмыс істейді. Шабуылға ұшыраған сайт бүкіл машинаның ресурстарын пайдаланудың орнына, тек өз шегінде шектеледі, ал LiteSpeed бір IP-ге арналған қосылым шектеулері оның веб-серверді қаншалықты басып ала алатынын шектейді. Оқшаулау әрбір тұтынушы үшін жеке бапталмайды, ядро деңгейінде жасалған.
Негізгі қорғаныс деңгейі әрбір тарифке кіреді: LVE және CageFS оқшаулауы, LiteSpeed қосылымдар мен сұрауларды шектеуі, желілік желіаралық қалқан (firewall), белсенді WAF және зиянды бағдарламаларды сканерлеу, сондай-ақ серверлер алдында Cloudflare шеткі өңдеуі мен провайдер деңгейіндегі желілік сүзгілеу қамтылған. Біз мұны тарифке қосамыз, себебі өз инфрақұрылымымыздың қорғанысын қосымша таңдау ретінде қалдыра алмаймыз. Боттарды жетілдірілген басқару, неғұрлым жоғары DDoS деңгейлері, кеңейтілген WAF ережелері және арнайы желіаралық қалқан ережелері қажет ететін сайттарға арналған қосымша модульдер болып табылады.
DDoS шабуылының нысанасына айналу Cloudflare арқылы қауіпті азайтуды және әр сайтқа сұраныс жиілігін шектеуді, сондай-ақ — шабуыл тікелей түпнұсқа серверге (origin) қауіп төндірген жағдайда ғана — «throttled» күйін білдіреді: сайт жұмысын жалғастырып, сұраныстарды өңдеп тұрған кездегі қатаңырақ LVE шектеулері. Шабуыл қысымы сейілген соң, throttled күйі автоматты түрде бастапқы қалпына келеді. Тоқтата тұру шарасы тек төлем жасалмаған немесе расталған теріс пайдалану жағдайларына ғана арналған, тіпті осындай жағдайда да сайт бүлінген парақшаның орнына брендингі бар, нақты себебі көрсетілген уақытша парақшаны көрсетеді.
Кэштен ұсынылатын ешбір нәрсеге қатысты емес. LSCache кэштелген бет сұрауларына PHP немесе MySQL шақырмай-ақ жауап береді, ал әр сайтқа арналған Redis нысан кэші шын мәнінде динамикалық беттер үшін оқу жүктемесін жеңілдетеді. Қалғаны сайтыңыздың LVE процестері мен кіру процестерінің шектеулерімен және MySQL Governor ұсынатын әр сайтқа арналған дерекқорды шектеу жүйесімен реттеледі, сондықтан бір сайттан түсетін дерекқор қысымы серверге таралмайды. Себет, төлем жасау, жеке кабинет және сеанс беттері транзакция ешқашан бұзылмауы үшін әдепкі бойынша кэштелмейді.
Иә, желілік деңгейде. Провайдер деңгейіндегі DDoS-тан қорғау протоколға қарамастан, флотқа жетпей тұрып L3/4 шабуылдарын сүзгіден өткізеді, ал кеңейтілген немесе корпоративтік талаптар үшін Cloudflare Magic Transit және Spectrum шеткі деңгейдегі жеңілдетуді HTTP емес трафикке дейін кеңейтеді.
Әрбір мәжбүрлеп қолдану ауысуы оның себебімен, автоматты немесе қызметкер бастамасымен болғанымен және оның артындағы дәлелдермен бірге тіркеледі. Сізге не өзгергені және оны не шешетіні туралы хабарланады, әрбір әрекетке шағымдануға болады және артықшылықты әрекеттер жеке сәйкестік журналыңыз үшін аудит журналына жазылады. Белгілер құралдар бойынша шашырап кетпей, бірыңғай Abuse Desk жүйесінде біріктіріледі.
Иә. Footprint-Free хостингі 5 сайтқа дейін қамтитын картасыз 14 күндік сынақ мерзімінен басталады — төлем деректері жоқ, міндеттемелер жоқ. Тарифтер 30 күндік сөзсіз ақшаны қайтару кепілдігімен, тегін көшірумен және провайдерге тәуелділіктің болмауымен қамтамасыз етіледі.
Желіні сүзу, жиектік сіңіру, серверді шектеу және әр сайт бойынша оқшаулау іске қосылған сәттен бастап жұмыс істейді — ештеңені баптаудың, оқыс оқиға кезінде ештеңені қосудың қажеті жоқ. 30 күндік ақшаны қайтару кепілдігімен және тегін көшірумен қамтамасыз етілген, картаны қажет етпейтін 14 күндік сынақ мерзімінен бастаңыз.
Тегін бастау