Proteção contra DDoS
Os floods são absorvidos na borda, os ataques na camada de rede são filtrados upstream e tudo o que atinge o servidor fica contido dentro da própria jaula em nível de kernel do site visado. Várias camadas, cada uma realizando uma função diferente, de modo que um ataque direcionado a um site não se torne uma interrupção para os demais ao lado. Este é o modelo de defesa que construímos para uma plataforma que hospeda mais de 700.000 sites em todo o mundo, e a base funciona em todos os planos. Disponibilidade: a limitação de banco de dados por site está em desenvolvimento ativo e ainda não se encontra disponível. Todo o restante descrito aqui já está ativo hoje.
Um flood volumétrico, um flood de aplicação L7 e um ataque lento de esgotamento de conexões são três problemas distintos. Lidamos com cada um deles onde for mais econômico e rápido de resolver — a montante da frota, na borda e dentro do cage.
A proteção contra DDoS no nível do provedor filtra inundações na camada de rede upstream da nossa frota de workers, antes que esse tráfego consuma uma porta, uma NIC ou um ciclo de CPU na máquina onde seu site é executado. Para perfis de risco avançados e corporativos, o Cloudflare Magic Transit e o Spectrum estendem a mesma filtragem para o tráfego não HTTP.
Uma rede de borda gerenciada fica à frente de cada site. Ela absorve ataques volumétricos de HTTP flood, executa um WAF L7, aplica limitação de taxa por site e utiliza gerenciamento de bots e desafios gerenciados para separar visitantes reais de tráfego automatizado — tudo antes de uma solicitação chegar à origem.
O LiteSpeed Enterprise aplica controle de conexão e de requisições com limites de conexão por IP, o Imunify360 executa um firewall de rede com proteção contra força bruta e filtragem de reputação de IP, e os limites de processos de entrada do CloudLinux LVE restringem quantas requisições simultâneas um único site pode manter abertas.
O LVE limita CPU, RAM, IO, IOPS, processos e processos de entrada para cada site individualmente. Uma sobrecarga que consiga passar pelas camadas superiores é contida dentro da própria gaiola do site de destino, de modo que a pressão gerada permaneça restrita a esse site em vez de se espalhar por todo o servidor.
A maioria das interrupções de hospedagem durante um ataque não é causada pelo fato de o ataque atingir seu alvo. Elas são causadas pelo consumo de recursos do alvo, que esgota tudo o mais no servidor. Esse é o modo de falha que essa arquitetura foi projetada para eliminar.
A requisição mais barata de sobreviver é aquela que nunca toca no PHP ou no MySQL. Nosso cache de duas camadas significa que uma grande parte de uma sobrecarga na camada de aplicação é respondida por bytes estáticos, em vez de exigir trabalho do seu servidor de origem.
A mitigação não é um tíquete de suporte. Os sinais alimentam um mecanismo de políticas que mapeia cada um deles para uma ação de aplicação, uma notificação ao cliente e — sempre que possível — uma correção automática, com todas as transições registradas.
Quando um sinal de DDoS é disparado, o mecanismo de políticas aplica a mitigação da Cloudflare e o limite de taxa por site, podendo reforçar dinamicamente os limites de LVE desse site. Quando o sinal cessa, os limites são relaxados novamente. Gradual, reversível e registrado a cada etapa.
Se um ataque estiver ameaçando a origem, o site passará para um estado 'limitado' (throttled) — com limites mais restritos de LVE e controle de taxa, mantendo o site ativo e operante. O estado limitado é recuperado automaticamente assim que a pressão diminuir; não se trata de uma suspensão.
Abaixo do mecanismo de políticas, o LVE limita o uso de CPU, E/S e processos por site de forma nativa e automática. Ele é a primeira linha sempre ativa, operando independentemente de o tráfego já ter sido classificado como um ataque ou não.
Cada transição de aplicação registra seu motivo, seja ela automática ou iniciada pela equipe, e as evidências por trás dela. O senhor é notificado sobre o que mudou e como resolver, e cada ação é passível de recurso.
A proteção básica não é opcional, pois um site atacado ou comprometido ameaça seus vizinhos, a reputação de nossos servidores e nossos intervalos de IP. Existe uma proteção mais reforçada para sites cujo perfil de risco a exige.
Um pico de tráfego costuma ser um sintoma. O mesmo pipeline de sinais que lida com inundações também detecta os comprometimentos que as produzem, permitindo que um incidente seja classificado corretamente em vez de apenas absorvido.
O objetivo do projeto é a contenção. Cada site é executado dentro de sua própria gaiola CloudLinux LVE com limites de CPU, RAM, IO, IOPS, processos e processos de entrada, sua própria visualização do sistema de arquivos CageFS e controle de taxa de banco de dados por site por meio do MySQL Governor. Um site sob ataque é limitado em seu próprio teto, em vez de consumir toda a máquina, e os limites de conexão por IP do LiteSpeed restringem o quanto do servidor web ele pode ocupar. A contenção é projetada no kernel, não configurada por cliente.
A linha de base está incluída em todos os planos: isolamento com LVE e CageFS, limitação de conexões e requisições pelo LiteSpeed, firewall de rede, WAF proativo e verificação de malware, com absorção na borda da Cloudflare e filtragem de rede no nível do provedor à frente do parque de servidores. Incluímos isso porque não podemos deixar a proteção da nossa própria infraestrutura como opcional. Gerenciamento avançado de bots, níveis mais altos de proteção contra DDoS, regras aprimoradas de WAF e regras dedicadas de firewall são complementos para sites que precisam deles.
Ser alvo de um DDoS equivale à mitigação da Cloudflare somada ao rate limiting por site e — apenas se o ataque estiver ameaçando a origem — ao estado 'throttled': limites de LVE mais rigorosos com o site ainda ativo e funcionando. O estado de limitação se recupera automaticamente assim que a pressão diminuir. A suspensão é reservada para inadimplência ou abuso confirmado e, mesmo assim, o site exibe uma página de espera personalizada com o motivo, em vez de uma página quebrada.
Não para o que é servido a partir do cache. O LSCache responde às solicitações de páginas em cache sem invocar o PHP ou o MySQL, e um cache de objetos Redis por site alivia as leituras de páginas genuinamente dinâmicas. O restante é limitado pelos limites de processos e de processos de entrada LVE do seu site e pelo controle de banco de dados por site do MySQL Governor, de modo que a pressão de banco de dados de um site não afete o servidor. As páginas de carrinho, finalização de compra, minha conta e sessão permanecem fora do cache por padrão, para que a proteção nunca interrompa uma transação.
Sim, na camada de rede. A proteção contra DDoS no nível do provedor filtra inundações de L3/4 antes de chegarem à nossa frota, independentemente do protocolo, e para requisitos avançados ou empresariais, o Cloudflare Magic Transit e o Spectrum estendem a mitigação de nível de borda ao tráfego não HTTP.
Cada transição de aplicação de medidas é registrada com seu motivo, se foi automática ou iniciada pela equipe, e as evidências que a fundamentam. Você é notificado sobre o que mudou e o que resolve a situação, todas as ações são passíveis de recurso e as ações privilegiadas são registradas em log de auditoria para o seu próprio controle de conformidade. Os sinais são agregados em um único Abuse Desk, em vez de ficarem dispersos entre várias ferramentas.
Sim. A hospedagem Footprint-Free começa com um teste de 14 dias sem necessidade de cartão, cobrindo até 5 sites — sem dados de pagamento, sem compromisso. Os planos contam com garantia de reembolso de 30 dias sem questionamentos, migrações gratuitas e sem fidelização ou bloqueio de fornecedor.
A filtragem de rede, a absorção na borda, a limitação de taxa do servidor e a contenção por site funcionam a partir do momento em que você faz a implantação — nada a configurar, nada a ativar no meio de um incidente. Comece com um teste de 14 dias sem necessidade de cartão, respaldado por uma garantia de reembolso de 30 dias e migrações gratuitas.
Comece grátis