DDoS хамгаалалт
Үерийн урсгалыг сүлжээний захад шингээж, сүлжээний түвшний халдлагуудыг эх үүсвэрийн түвшинд шүүдэг бөгөөд серверт хүрсэн аливаа зүйлийг тухайн сайтын кернелийн түвшний тусгаарлагдсан орчинд хязгаарладаг. Төрөл бүрийн үүрэг гүйцэтгэх олон давхаргуудтай тул нэг сайт руу чиглэсэн халдлага нь түүний хажуугийн бусад сайтуудын тасалдал болохгүй. Энэ бол дэлхий даяар 700,000 гаруй сайтыг байршуулдаг платформд зориулан бидний бүтээсэн хамгаалалтын загвар бөгөөд суурь түвшин нь бүх багц дээр ажилладаг. Бэлэн байдал: сайт тус бүрийн өгөгдлийн сангийн хязгаарлалтыг ид хөгжүүлж байгаа бөгөөд хараахан гараагүй байна. Энд дурдсан бусад бүх зүйл өнөөдөр шууд ажиллаж байна.
Эзлэхүүний үерлэлтийн халдлага, L7 хэрэглээний түвшний үерлэлт болон холболтыг алгуур шавхах халдлага нь гурван өөр асуудал юм. Бид эдгээрийн тус бүрийг хамгийн хямд бөгөөд хурдан шийдвэрлэх боломжтой газарт нь зохицуулдаг — серверийн нөөцийн эхэнд, сүлжээний захад болон торны дотор.
Үйлчилгээ үзүүлэгчийн түвшний DDoS хамгаалалт нь таны сайт ажиллаж буй машин дээрх порт, сүлжээний карт (NIC) эсвэл CPU-ийн мөчлөгийг ашиглахаас өмнө манай воркер флотын дээд урсгалд сүлжээний түвшний үерлэлтийг шүүдэг. Ахисан түвшний болон байгууллагын эрсдэлийн профайлуудад зориулж Cloudflare Magic Transit болон Spectrum нь энэхүү шүүлтийг HTTP-бус траффикт мөн адил өргөтгөн хэрэгжүүлдэг.
Сайт бүрийн өмнө удирдлагатай захын сүлжээ (edge network) байрладаг. Энэ нь их хэмжээний HTTP үерийн халдлагыг сааруулж, L7 WAF ажиллуулан, сайт бүрд хурдны хязгаарлалт тогтоож, хүсэлт эх серверт хүрэхээс өмнө бодит зочдыг автоматжуулсан урсгалаас ялгахын тулд ботын удирдлага болон автомат шалгалтыг ашигладаг.
LiteSpeed Enterprise нь IP тус бүрийн холболтын хязгаарлалтаар холболт болон хүсэлтийн хурдыг хязгаарладаг, Imunify360 нь брут-форс халдлагаас хамгаалах болон IP нэр хүндийн шүүлтүүр бүхий сүлжээний галт ханыг ажиллуулдаг, мөн CloudLinux LVE-ийн entry-process хязгаарлалтууд нь нэг сайт нэгэн зэрэг хэдэн хүсэлтийг нээлттэй байлгаж болохыг хязгаарладаг.
LVE нь сайт бүрийн CPU, RAM, IO, IOPS, процесс болон анхан шатны процессуудыг тус тусад нь хязгаарладаг. Дээд давхаргуудыг нэвтрэн гарсан хэт ачаалал нь тухайн зорилтот сайтын өөрийнх нь тусгаарлагдсан орчинд хязгаарлагддаг тул үүсгэсэн ачаалал нь сервер даяар тарахгүй, тухайн сайтдаа үлддэг.
Халдлагын үеэр хостингийн үйлчилгээ тасалдах нь ихэвчлэн халдлага зорилтот цэгтээ хүрснээс болдоггүй. Харин зорилтот объектын нөөцийн зарцуулалт нь сервер дээрх бусад бүх зүйлийн нөөцийг шавхсанаас шалтгаалдаг. Энэ бол уг архитектурын арилгахаар зохион бүтээгдсэн алдааны горим юм.
Даван туулахад хамгийн бага зардалтай хүсэлт бол PHP эсвэл MySQL-д огт хүрдэггүй хүсэлт юм. Манай хоёр түвшний кэш нь аппликейшны түвшний их хэмжээний халдлагын дийлэнх хэсэгт таны эх сервер ажиллахын оронд статик байтуудаар хариу өгнө гэсэн үг юм.
Эрсдэлийг бууруулах нь тусламжийн хүсэлт биш юм. Дохионууд нь бодлогын системийг мэдээллээр хангадаг бөгөөд уг систем нь дохио тус бүрийг албадлагын арга хэмжээ, хэрэглэгчийн мэдэгдэл болон боломжтой бол автоматаар арилгах ажиллагаатай нийцүүлж, шилжилт бүрийг бүртгэдэг.
DDoS дохио идэвхжих үед бодлогын систем нь Cloudflare сааруулалт болон сайт тус бүрийн хурдны хязгаарлалтыг хэрэгжүүлж, тухайн сайтын LVE хязгаарыг динамикаар чангатгаж чадна. Дохио арилмагц хязгаарлалтууд дахин суларна. Шаталсан, буцаах боломжтой бөгөөд алхам бүрд бүртгэгддэг.
Хэрэв халдлага нь эх серверт аюул занал учруулж байвал сайт нь «хязгаарлагдсан» (throttled) төлөвт шилждэг бөгөөд сайт ажиллаж, хүсэлтийг хүлээн авсан хэвээр байх зуур LVE хязгаарууд чангарч, хүсэлтийн хурдыг хязгаарладаг. Ачаалал буурмагц хязгаарлагдсан төлөв автоматаар хэвийн байдалдаа ордог; энэ нь үйлчилгээг түдгэлзүүлсэн явдал биш юм.
Бодлогын хөдөлгүүрийн доор LVE нь сайт бүрийн CPU, IO болон процессын ашиглалтыг шууд бөгөөд автоматаар хязгаарладаг. Энэ бол урсгалыг халдлага гэж ангилсан эсэхээс үл хамааран ажилладаг, үргэлж идэвхтэй байдаг анхны хамгаалалтын шугам юм.
Хэрэгжүүлэлтийн шилжилт бүр өөрийн шалтгаан, энэ нь автомат байсан уу эсвэл ажилтны санаачилсан уу гэдэг, мөн түүний цаад нотлох баримтыг бүртгэдэг. Танд юу өөрчлөгдсөн, түүнийг хэрхэн шийдвэрлэх талаар мэдэгдэх бөгөөд үйлдэл бүрт давж заалдах боломжтой.
Суурь хамгаалалт нь сонголт биш, учир нь халдлагад өртсөн эсвэл хамгаалалт нь алдагдсан сайт нь зэргэлдээх сайтууд, манай серверийн нэр хүнд болон манай IP хүрээнд аюул занал учруулдаг. Эрсдэлийн түвшин нь шаарддаг сайтуудад зориулсан илүү хүчтэй хамгаалалт бий.
Хандалтын огцом өсөлт нь ихэвчлэн шинж тэмдэг байдаг. Хэт их ачааллыг зохицуулдаг дохионы суваг нь тэдгээрийг үүсгэж буй зөрчлүүдийг давхар илрүүлдэг тул аливаа тохиолдлыг зүгээр нэг шингээгээд өнгөрөх бус, зөв ангилдаг.
Зорилтот бүтэц нь тусгаарлалт юм. Вэбсайт бүр өөрийн гэсэн хязгаарлагдмал CPU, RAM, IO, IOPS, процессууд болон нэвтрэх процессуудтай, бие даасан CageFS файлын системийн харагдацтай, MySQL Governor-оор дамжуулан вэбсайт бүрийн өгөгдлийн санг хязгаарлах CloudLinux LVE торонд ажилладаг. Халдлагад өртсөн сайт нь бүх серверийн нөөцийг шавхахын оронд зөвхөн өөрийн дээд хязгаарт хязгаарлагдах бөгөөд LiteSpeed-ийн нэг IP-д ногдох холболтын хязгаарлалт нь вэб серверийн хэр их нөөцийг эзлэхийг хязгаарладаг. Тусгаарлалтыг хэрэглэгч бүрээр тохируулах бус цөмийн (kernel) түвшинд суулгасан байдаг.
Үндсэн түвшний хамгаалалт багц бүрд багтсан болно: LVE болон CageFS тусгаарлалт, LiteSpeed холболт болон хүсэлтийн хязгаарлалт, сүлжээний галт хана, идэвхтэй WAF болон хортой кодын сканнер зэрэг багтах бөгөөд серверийн дэд бүтцийн өмнө Cloudflare захын сүлжээний шингээлт болон үйлчилгээ үзүүлэгчийн түвшний сүлжээний шүүлтүүр ажиллана. Бид өөрсдийн серверийн дэд бүтцийн хамгаалалтыг сонголт төдий орхих боломжгүй тул үүнийг шууд багтаасан болно. Ахисан түвшний бот удирдлага, DDoS-ийн өндөр зэрэглэлийн хамгаалалт, өргөтгөсөн WAF дүрмүүд болон тусгай галт ханын дүрмүүд нь шаардлагатай вэбсайтуудад зориулсан нэмэлт сонголтууд юм.
DDoS дайралтын бай болох нь Cloudflare-ийн саармагжуулалт болон сайт тус бүрийн хурдны хязгаарлалтад шилждэг бөгөөд — зөвхөн уг дайралт нь эх серверт (origin) аюул заналхийлж байгаа тохиолдолд — 'throttled' буюу хязгаарлагдсан төлөвт шилжинэ: энэ нь сайт хэвийн ажиллаж, үйлчилгээ үзүүлсэн хэвээр байх үед LVE-ийн хязгаарыг улам чангатгах явдал юм. Ачаалал арилмагц хязгаарлагдсан төлөв автоматаар хэвийн байдалдаа ордог. Түр түдгэлзүүлэх арга хэмжээг зөвхөн төлбөр төлөөгүй эсвэл баталгаажсан зүй бус ашиглалтын үед хэрэгжүүлдэг бөгөөд тийм тохиолдолд ч сайт нь эвдэрсэн хуудас биш, харин шалтгааныг тодорхой заасан брендийн түр хуудсыг харуулдаг.
Кэшээс түгээгдсэн ямар ч зүйлд хамаарахгүй. LSCache нь PHP эсвэл MySQL-ийг дуудахгүйгээр кэшлэгдсэн хуудасны хүсэлтүүдэд хариулдаг бөгөөд сайт бүрийн Redis объектын кэш нь бодит динамик хуудсуудын унших ачааллыг хөнгөвчилдөг. Үлдэгдэл нь таны сайтын LVE процесс болон нэвтрэх процессын хязгаарлалтууд, мөн MySQL Governor-ийн сайт бүрийн өгөгдлийн сангийн тохируулгаар хязгаарлагддаг тул нэг сайтаас үүдэлтэй өгөгдлийн сангийн ачаалал сервер рүү халих боломжгүй. Сагс, төлбөр тооцоо, миний бүртгэл болон сессийн хуудсууд нь анхдагч тохиргоогоор кэшлэгддэггүй тул хамгаалалтыг чангатгасан ч гүйлгээг хэзээ ч тасалдуулахгүй.
Тийм, сүлжээний түвшинд. Нийлүүлэгчийн түвшний DDoS хамгаалалт нь протоколоос үл хамааран манай паркаас дээш урсгал дахь L3/4 үерүүдийг шүүдэг бөгөөд дэвшилтэт эсвэл байгууллагын шаардлагад зориулж Cloudflare Magic Transit болон Spectrum нь захын түвшний сааруулалтыг HTTP бус урсгалд өргөжүүлдэг.
Хэрэгжүүлэлтийн шилжилт бүрийг түүний шалтгаан, автоматаар эсвэл ажилтны санаачилгаар хийгдсэн эсэх, түүний цаад нотлох баримтын хамт бүртгэдэг. Юу өөрчлөгдсөн, түүнийг хэрхэн шийдвэрлэх талаар танд мэдэгдэх бөгөөд үйлдэл бүрд давж заалдах боломжтой ба давуу эрх бүхий үйлдлүүдийг таны нийцлийн түүхэнд зориулж аудитын бүртгэлд хөтөлдөг. Дохионууд нь олон хэрэгслээр тарах бус, нэг Abuse Desk-д нэгтгэгддэг.
Тийм. Footprint-Free хостинг нь 5 хүртэлх сайтыг хамарсан картын мэдээлэл шаардахгүй 14 хоногийн туршилтаар эхэлдэг — төлбөрийн мэдээлэл шаардлагагүй, ямар нэг үүрэг амлалтгүй. Багцууд нь ямар ч эргэлзээгүй 30 хоногийн мөнгө буцаан олгох баталгаа, үнэгүй шилжүүлэг болон нийлүүлэгчээс хараат бус байдлаар хангагдсан.
Сүлжээний шүүлтүүр, захад шингээх ажиллагаа, серверийн ачааллыг хязгаарлах болон сайт бүрийг тусгаарлах үйл явц нь байршуулсан мөчөөс эхлэн ажиллана — тохируулах зүйлгүй, зөрчлийн үед асаах шаардлагагүй. 30 хоногийн мөнгө буцаан олгох баталгаа болон үнэгүй шилжүүлгээр баталгаажсан, карт шаардахгүй 14 хоногийн туршилтаар эхлүүлнэ үү.
Үнэгүй эхлэх