Perlindungan DDoS

Pertahanan DDoS berlapis, supaya satu serangan hanya menjadi masalah satu tapak

Banjir trafik diserap pada bahagian edge, serangan lapisan rangkaian ditapis di peringkat upstream, dan apa sahaja yang sampai ke pelayan dibendung di dalam sangkar peringkat kernel milik laman web sasaran itu sendiri. Beberapa lapisan, masing-masing menjalankan tugas yang berbeza, supaya serangan yang disasarkan pada satu laman web tidak menyebabkan gangguan kepada laman-laman web di sebelahnya. Inilah model pertahanan yang kami bina untuk platform yang mengehoskan 700,000+ laman web di seluruh dunia, dan garis asas ini beroperasi pada setiap pelan. Ketersediaan: pendikit pangkalan data bagi setiap laman sedang dalam pembangunan aktif dan belum tersedia lagi. Perkara lain yang diterangkan di sini telah pun beroperasi hari ini.

Mula secara percuma Lihat harga

3lapisan mitigasi: rangkaian, pinggir, pelayan
700,000+laman yang dihoskan di seluruh dunia
Termasukpengasingan asas, WAF dan pendikit
99.99%Jaminan masa hidup

Berlapisan mengikut reka bentuk, kerana satu tidak pernah mencukupi

Banjir volumetrik, banjir aplikasi L7 dan serangan keletihan sambungan yang perlahan merupakan tiga masalah yang berbeza. Kami mengendalikan setiap satu daripadanya di mana ia paling murah dan paling pantas untuk dikendalikan — di hulu armada, pada bahagian pinggir (edge), dan di dalam sangkar.

Lapisan rangkaian (L3/4)

Perlindungan DDoS peringkat pembekal menapis limpahan lapisan rangkaian di hulu armada pekerja kami, sebelum trafik tersebut sempat menggunakan port, NIC atau kitaran CPU pada mesin yang menjalankan tapak anda. Untuk profil risiko lanjutan dan perusahaan, Cloudflare Magic Transit dan Spectrum memperluaskan penapisan yang sama kepada trafik bukan HTTP.

Lapisan aplikasi (L7) di pinggir

Rangkaian pinggir terurus berada di hadapan setiap tapak web. Ia menyerap limpahan HTTP volumetrik, menjalankan WAF L7, mengenakan had kadar bagi setiap tapak, dan menggunakan pengurusan bot serta cabaran terurus untuk memisahkan pelawat sebenar daripada trafik automatik — semuanya sebelum permintaan sampai ke hos asal.

Lapisan pelayan

LiteSpeed Enterprise melaksanakan pendikit sambungan dan permintaan dengan had sambungan setiap IP, Imunify360 menjalankan tembok api rangkaian dengan perlindungan kekerasan kasar dan penapisan reputasi IP, dan had proses masuk LVE CloudLinux mengehadkan bilangan permintaan serentak yang boleh dibuka oleh satu laman web.

Pengasingan bagi setiap tapak

LVE mengehadkan CPU, RAM, IO, IOPS, proses dan proses masuk untuk setiap tapak secara individu. Trafik melimpah yang melepasi lapisan atas akan dihadkan di dalam sangkar tapak sasaran itu sendiri, maka tekanan yang terhasil kekal pada tapak tersebut dan tidak merebak ke seluruh pelayan.

Pengekangan adalah tujuannya

Kebanyakan gangguan pengehosan semasa serangan bukan berpunca daripada serangan yang berjaya mencapai sasarannya. Ia berpunca daripada penggunaan sumber oleh sasaran yang menghabiskan sumber untuk semua perkara lain pada pelayan tersebut. Itulah mod kegagalan yang direka bentuk untuk dihapuskan oleh seni bina ini.

Setiap laman berjalan di dalam sangkar sumber CloudLinux LVE miliknya sendiri — laman yang diserang disekat pada had silingnya sendiri, dan laman-laman bersebelahan mengekalkan sumber yang dijamin oleh had masing-masing.
CageFS memberikan setiap penyewa paparan sistem fail yang terpencil, supaya serangan yang meningkat menjadi percubaan pencerobohan dapat dibendung dan bukannya merebak ke seluruh penyewa.
CloudLinux MySQL Governor mengehadkan penggunaan pangkalan data bagi setiap tapak, supaya limpahan lapisan aplikasi yang membebankan pertanyaan tanpa cache tidak dapat melumpuhkan pangkalan data untuk pengguna lain di pelayan.
Pekerja LiteSpeed LSAPI bagi setiap tapak dihadkan oleh had LVE tapak tersebut, maka lonjakan trafik tidak dapat mencetuskan proses PHP tanpa had.
Had sambungan setiap IP dan pendikit sambungan LiteSpeed menyerap serangan sambungan perlahan dan keletihan sambungan pada pelayan web, bukan pada aplikasi.

Cache ialah penyerap hentak yang kebanyakan hos lupakan

Permintaan paling menjimatkan untuk dikendalikan adalah permintaan yang tidak pernah menyentuh PHP atau MySQL. Cekera dua lapisan kami membolehkan sebahagian besar lonjakan trafik pada lapisan aplikasi dibalas dengan bait statik dan bukannya membebankan pelayan asal anda.

LSCache, cache halaman penuh LiteSpeed Enterprise, menyajikan halaman yang dicache tanpa memanggil PHP atau pangkalan data — jadi permintaan berulang untuk URL yang sama hanya menggunakan sebahagian kecil daripada apa yang diperlukan pada tindanan standard.
Cache objek Redis bagi setiap tapak mengurangkan beban bacaan pangkalan data untuk halaman yang benar-benar perlu dinamik.
Penyimpanan cache pinggir Cloudflare menjawab permintaan di rantau pelawat, jadi trafik limpahan disebarkan merentasi rangkaian pinggir dan bukannya tertumpu pada satu punca.
Halaman troli, daftar keluar, akaun saya, nonce dan sesi dikecualikan daripada cache secara lalai, jadi pengukuhan di bawah beban tidak pernah mengganggu transaksi.
Pembersihan diselaraskan merentasi kedua-dua lapisan daripada satu kawalan, jadi peningkatan liputan cache semasa insiden tidak menyebabkan anda menerima halaman lapuk selepas itu.

Daripada isyarat kepada tindakan, secara automatik

Mitigasi bukan tiket sokongan. Isyarat menyalurkan enjin dasar yang memetakan setiap satu kepada tindakan penguatkuasaan, pemberitahuan pelanggan dan — jika boleh — pemulihan automatik, dengan setiap peralihan dilog.

Pengetatan dinamik

Apabila isyarat DDoS dicetuskan, enjin dasar menggunakan mitigasi Cloudflare dan pengehadan kadar setiap tapak, serta boleh mengetatkan had LVE tapak tersebut secara dinamik. Apabila isyarat tersebut reda, had dilonggarkan semula. Berperingkat, boleh diterbalikkan dan dilog pada setiap langkah.

Dihadkan, tidak dimatikan

Jika serangan mengancam pelayan asal, laman web akan beralih ke keadaan 'disekat sebahagian' (throttled) — had LVE yang lebih ketat dan pengehadan kadar dikenakan, manakala laman web masih aktif dan berfungsi. Keadaan ini pulih secara automatik sebaik sahaja tekanan reda; ia bukanlah penggantungan.

Pendikit automatik LVE asli

Di bawah enjin dasar, LVE mengehadkan penggunaan CPU, IO dan proses bagi setiap tapak secara natif dan automatik. Ia merupakan barisan pertahanan pertama yang sentiasa aktif, berjalan tidak kira sama ada trafik telah diklasifikasikan sebagai serangan atau belum.

Jejak audit penuh

Setiap peralihan penguatkuasaan merekodkan sebabnya, sama ada ia automatik atau dimulakan oleh kakitangan, dan bukti di sebaliknya. Anda akan dimaklumkan tentang perkara yang berubah dan cara menyelesaikannya, dan setiap tindakan boleh dirayu.

Perkara yang disertakan, dan perkara yang anda beli apabila risiko meningkat

Perlindungan asas bukanlah pilihan, kerana laman web yang diserang atau dikompromi mengancam laman web lain, reputasi pelayan kami dan julat IP kami. Perlindungan yang lebih kukuh disediakan untuk laman web yang profil risikonya memerlukan perkara tersebut.

Termasuk dalam setiap pelan: pengasingan LVE dan CageFS, pendikit sambungan dan permintaan LiteSpeed, tembok api rangkaian dengan perlindungan brute-force dan penapisan reputasi IP, WAF proaktif, dan pengimbasan perisian hasad.
Tersedia sebagai alat tambah: pengurusan bot lanjutan, peringkat perlindungan DDoS yang lebih tinggi, peraturan WAF yang dipertingkatkan, pengimbasan keutamaan dan peraturan tembok api khusus.
Turut ditawarkan sebagai peningkatan apabila anda memerlukannya: pembersihan dan pemulihan perisian hasad satu klik, bagi situasi serangan merupakan perlindungan untuk pencerobohan dan bukannya sasaran utama.
Peringanan lapisan rangkaian lanjutan melalui Cloudflare Magic Transit atau Spectrum tersedia untuk beban kerja perusahaan dan berisiko tinggi.

Serangan yang benar-benar berbeza

Peningkatan trafik yang mendadak selalunya hanyalah satu gejala. Saluran paip isyarat yang sama yang mengendalikan limpahan trafik turut mengesan pencerobohan yang menghasilkannya, supaya sesuatu insiden dapat diklasifikasikan dengan betul dan bukannya sekadar diserap.

Setiap tapak yang kami hoskan diimbas untuk mengesan perisian hasad setiap hari, dan WAF yang proaktif menyekat teknik eksploitasi yang diketahui sebelum tampalan tersedia untuk kelemahan asas — laluan yang menyebabkan sesuatu tapak menjadi alat serangan pihak lain.
Emel keluar dihadkan kadarnya bagi setiap tapak dan dipantau untuk lonjakan volum, kadar lantulan, padanan senarai sekatan dan isyarat aduan, supaya tapak terkompromi yang menghantar spam dapat dikesan dalam beberapa minit dan bukannya selepas disenaraihitamkan.
Perisian hasad dan pancingan data yang disyaki disemak silang dengan Google Safe Browsing, PhishTank dan SURBL/APWG, serta dikaitkan dengan hasil imbasan sebelum keputusan penguatkuasaan diambil.
Penyalahgunaan sumber dan pelombong kripto muncul sebagai kerosakan LVE CPU dan IO yang dilog bagi setiap tapak, yang menyekat pesalah secara automatik.
Setiap isyarat akan masuk ke satu Meja Penyalahgunaan dalam konsol pentadbir — diagregatkan, dihapuskan pertindihan dan diutamakan — berbanding melalui empat alat yang terpisah.

Soalan Lazim

Jika laman lain pada pelayan saya diserang, apakah yang berlaku kepada laman saya?

Matlamat reka bentuk ini adalah pengasingan. Setiap tapak beroperasi di dalam sangkar CloudLinux LVE tersendiri dengan had CPU, RAM, IO, IOPS, proses dan proses masuk, paparan sistem fail CageFS tersendiri, serta pendikit pangkalan data bagi setiap tapak melalui MySQL Governor. Tapak yang diserang akan didikit pada had silingnya sendiri dan bukannya menggunakan keseluruhan mesin, dan had sambungan setiap IP LiteSpeed mengehadkan sebanyak mana pelayan web yang boleh digunakannya. Pengasingan ini direka bentuk pada peringkat kernel, bukan dikonfigurasikan mengikut pelanggan.

Adakah perlindungan DDoS disertakan, atau merupakan add-on?

Tahap asas disertakan dalam setiap pelan: pengasingan LVE dan CageFS, pendikit sambungan dan permintaan LiteSpeed, tembok api rangkaian, WAF proaktif dan pengimbasan perisian hasad, dengan penyerapan pinggir Cloudflare dan penapisan rangkaian peringkat penyedia di hadapan kumpulan pelayan. Kami menyertakannya kerana kami tidak boleh membiarkan perlindungan kumpulan pelayan kami sendiri sebagai pilihan sampingan. Pengurusan bot lanjutan, peringkat DDoS yang lebih tinggi, peraturan WAF yang dipertingkatkan dan peraturan tembok api khusus merupakan alat tambah untuk laman yang memerlukannya.

Adakah anda akan meluarkantaliankan tapak saya jika ia diserang?

Menjadi sasaran DDoS dipadankan dengan mitigasi Cloudflare berserta pengehadan kadar bagi setiap laman, dan — hanya jika serangan itu mengancam origin — status 'throttled': had LVE yang lebih ketat dengan laman web masih aktif dan beroperasi. Status throttled pulih secara automatik sebaik sahaja tekanan reda. Penggantungan dikhaskan untuk kegagalan pembayaran atau penyalahgunaan yang disahkan, dan walaupun begitu, laman web akan memaparkan halaman penahanan berjenama dengan sebab yang khusus dan bukannya halaman yang rosak.

Adakah pembanjiran lapisan aplikasi masih menjejaskan pangkalan data saya?

Bukan untuk apa-apa yang disajikan daripada cache. LSCache menjawab permintaan halaman yang dicache tanpa melibatkan PHP atau MySQL, dan cache objek Redis bagi setiap tapak mengurangkan beban bacaan untuk halaman yang benar-benar dinamik. Baki selebihnya dihadkan oleh had proses LVE dan proses masuk tapak anda serta oleh pendikit pangkalan data bagi setiap tapak oleh MySQL Governor, maka tekanan pangkalan data daripada satu tapak tidak boleh merebak ke pelayan. Halaman troli, daftar keluar, akaun saya dan sesi kekal tidak dicache secara lalai agar langkah pengukuhan keselamatan tidak pernah mengganggu transaksi.

Bolehkah anda melindungi trafik yang bukan HTTP?

Ya, pada lapisan rangkaian. Perlindungan DDoS peringkat penyedia menapis banjir L3/4 di hulu armada kami tanpa mengira protokol, dan untuk keperluan lanjutan atau perusahaan, Cloudflare Magic Transit dan Spectrum melanjutkan mitigasi gred pinggir kepada trafik bukan HTTP.

Bagaimanakah saya tahu bahawa serangan telah berlaku dan tindakan yang telah anda ambil mengenainya?

Setiap peralihan penguatkuasaan dilog bersama alasannya, sama ada ia automatik atau dimulakan oleh kakitangan, dan bukti di sebaliknya. Anda dimaklumkan tentang perkara yang berubah dan perkara yang menyelesaikannya, setiap tindakan boleh dirayu, dan tindakan berkeistimewaan diaudit-log untuk jejak pematuhan anda sendiri. Isyarat diagregatkan dalam satu Abuse Desk dan bukannya bertaburan merentasi pelbagai alatan.

Bolehkah saya mencuba ini sebelum membuat pembayaran?

Ya. Pengehosan Footprint-Free bermula dengan percubaan 14 hari tanpa kad yang meliputi sehingga 5 tapak — tiada butiran pembayaran, tiada komitmen. Pelan disokong oleh jaminan wang dikembalikan 30 hari tanpa soal, migrasi percuma dan tiada penguncian vendor.

Berkaitan

Pertahanan yang telah sedia aktif apabila trafik tiba

Penapisan rangkaian, penyerapan pinggir, pendikit pelayan dan pembendungan setiap tapak beroperasi dari saat anda menggunakannya — tiada apa untuk dikonfigurasikan, tiada apa untuk dihidupkan semasa insiden berlaku. Mulakan dengan percubaan 14 hari tanpa kad, disokong oleh jaminan wang dikembalikan 30 hari dan migrasi percuma.

Mula secara percuma