Protecție DDoS
Inundările de trafic sunt absorbite la margine, atacurile la nivel de rețea sunt filtrate în amonte, iar tot ce ajunge la server este reținut în propria cușcă la nivel de kernel a site-ului vizat. Mai multe straturi, fiecare îndeplinind o funcție diferită, astfel încât un atac direcționat către un site să nu se transforme într-o întrerupere pentru cele de lângă el. Acesta este modelul de apărare pe care l-am construit pentru o platformă care găzduiește peste 700.000 de site-uri în întreaga lume, iar baza rulează pe fiecare abonament. Disponibilitate: limitarea ratei bazei de date per site este în dezvoltare activă și nu este încă disponibilă. Toate celelalte aspecte descrise aici sunt active astăzi.
Un atac volumetric de tip flood, un flood la nivel de aplicație L7 și un atac lent de epuizare a conexiunilor sunt trei probleme diferite. Ne ocupăm de fiecare dintre ele acolo unde este cel mai economic și mai rapid — în amonte de flotă, la margine (edge) și în interiorul cuștii.
Protecția DDoS la nivel de furnizor filtrează suprasolicitările de la nivelul rețelei în amonte de flota noastră de instanțe worker, înainte ca acel trafic să consume vreun port, o placă de rețea (NIC) sau un ciclu CPU pe mașina pe care rulează site-ul dumneavoastră. Pentru profilurile de risc avansate și enterprise, Cloudflare Magic Transit și Spectrum extind aceeași filtrare și la traficul non-HTTP.
O rețea edge gestionată este plasată în fața fiecărui site. Aceasta absoarbe atacurile volumetrice de tip HTTP flood, rulează un WAF L7, aplică limitarea ratei per site și utilizează gestionarea boților și provocări gestionate pentru a separa vizitatorii reali de traficul automatizat — totul înainte ca o solicitare să ajungă la origine.
LiteSpeed Enterprise aplică limitarea conexiunilor și a cererilor prin limite de conexiune per IP, Imunify360 rulează un firewall de rețea cu protecție împotriva atacurilor de tip brute-force și filtrare a reputației IP-urilor, iar limitele proceselor de intrare CloudLinux LVE restricționează numărul de cereri concurente pe care un singur site le poate menține deschise.
LVE limitează resursele CPU, RAM, IO, IOPS, procesele și procesele de intrare pentru fiecare site în mod individual. Un flux de trafic care trece de straturile superioare este limitat în interiorul propriei incinte izolate a site-ului țintă, astfel încât presiunea creată rămâne la nivelul acelui site, în loc să se răspândească pe întregul server.
Majoritatea întreruperilor de găzduire din timpul unui atac nu sunt cauzate de faptul că atacul își atinge ținta. Acestea sunt cauzate de consumul de resurse al țintei, care privează de resurse tot restul de pe server. Acesta este modul de defectare pe care această arhitectură este proiectată să îl elimine.
Cea mai ieftină solicitare pe care o puteți susține este cea care nu atinge niciodată PHP sau MySQL. Memoria noastră cache pe două niveluri înseamnă că o mare parte a unui flux masiv la nivel de aplicație primește răspuns prin octeți statici, fără ca serverul dumneavoastră de origine să depună efort.
Atenuarea nu este un tichet de asistență. Semnalele alimentează un motor de politici care asociază fiecare semnal cu o acțiune de aplicare, o notificare a clientului și — unde este posibil — o remediere automată, fiecare tranziție fiind înregistrată.
Când se declanșează un semnal DDoS, motorul de politici aplică atenuarea Cloudflare și limitarea ratei per site și poate înăspri dinamic limitele LVE ale acelui site. Când semnalul dispare, limitele se relaxează din nou. Gradual, reversibil și înregistrat la fiecare pas.
Dacă un atac amenință originea, site-ul trece într-o stare de „limitare” — limite LVE mai stricte și limitare a ratei, site-ul rămânând funcțional și activ. Starea de limitare se anulează automat odată ce presiunea dispare; nu este vorba despre o suspendare.
Sub motorul de politici, LVE limitează utilizarea resurselor de CPU, I/O și a proceselor per site în mod nativ și automat. Este prima linie permanent activă, funcționând indiferent dacă traficul a fost clasificat deja ca un atac sau nu.
Fiecare tranziție de aplicare înregistrează motivul său, indiferent dacă a fost automată sau inițiată de personal, precum și dovezile aferente. Sunteți notificat cu privire la ceea ce s-a schimbat și cum se poate rezolva, iar fiecare acțiune poate fi contestată.
Protecția de bază nu este opțională, deoarece un site atacat sau compromis îi pune în pericol pe vecinii săi, reputația serverelor noastre și intervalele noastre de adrese IP. O protecție mai avansată este disponibilă pentru site-urile al căror profil de risc o impune.
O creștere bruscă de trafic este adesea un simptom. Același flux de semnale care gestionează suprasolicitările detectează și compromiterile care le produc, astfel încât un incident să fie clasificat corect, nu doar absorbit.
Obiectivul de proiectare este izolarea. Fiecare site rulează în propria cușcă CloudLinux LVE, cu limite pentru CPU, RAM, IO, IOPS, procese și procese de intrare, propria vizualizare a sistemului de fișiere CageFS și limitarea bazei de date per site prin MySQL Governor. Un site atacat este limitat la propriul plafon în loc să consume întreaga mașină, iar limitele de conexiune per IP ale LiteSpeed restricționează cât din serverul web poate ocupa. Izolarea este proiectată la nivel de nucleu, nu configurată per client.
Nivelul de bază este inclus în fiecare abonament: izolare LVE și CageFS, limitarea conexiunilor și a cererilor prin LiteSpeed, un firewall de rețea, WAF proactiv și scanare malware, cu absorbție la nivel de margine prin Cloudflare și filtrare de rețea la nivel de furnizor în fața întregii flote. Includem acest lucru deoarece nu putem lăsa protecția propriei noastre flote ca fiind opțională. Gestionarea avansată a boților, nivelurile superioare de protecție DDoS, regulile WAF îmbunătățite și regulile de firewall dedicate sunt suplimente pentru site-urile care au nevoie de ele.
A fi ținta unui atac DDoS înseamnă atenuare prin Cloudflare, plus limitarea ratei per site și — doar dacă atacul amenință originea — starea „throttled”: limite LVE mai stricte, site-ul rămânând activ și funcțional. Starea throttled se restabilește automat odată ce presiunea dispare. Suspendarea este rezervată pentru neplată sau abuz confirmat și, chiar și atunci, site-ul afișează o pagină de așteptare personalizată, cu motivul specificat, în loc de o pagină nefuncțională.
Nu și pentru ceea ce este livrat din cache. LSCache răspunde la solicitările de pagini din cache fără a apela PHP sau MySQL, iar un cache de obiecte Redis per site degrevează citirile pentru paginile cu adevărat dinamice. Ceea ce rămâne este limitat de limitele proceselor LVE și ale proceselor de intrare ale site-ului dumneavoastră și de limitarea bazei de date per site asigurată de MySQL Governor, astfel încât presiunea pe baza de date de la un singur site să nu se răsfrângă asupra serverului. Paginile de coș, finalizare a comenzii, contul meu și cele de sesiune rămân în mod implicit neincluse în cache, astfel încât securizarea să nu întrerupă niciodată o tranzacție.
Da, la nivelul rețelei. Protecția DDoS la nivel de furnizor filtrează fluxurile masive L3/4 în amonte de infrastructura noastră, indiferent de protocol, iar pentru cerințe avansate sau enterprise, Cloudflare Magic Transit și Spectrum extind atenuarea la nivel de margine către traficul non-HTTP.
Fiecare tranziție de aplicare este înregistrată împreună cu motivul acesteia, indiferent dacă a fost automată sau inițiată de personal, și cu dovezile aferente. Sunteți notificat cu privire la ce s-a schimbat și ce rezolvă situația, fiecare acțiune poate fi contestată, iar acțiunile privilegiate sunt înregistrate în jurnalul de audit pentru propriul traseu de conformitate. Semnalele sunt agregate într-un singur Abuse Desk, în loc să fie împrăștiate în mai multe instrumente.
Da. Găzduirea Footprint-Free începe cu o perioadă de probă de 14 zile fără card, care acoperă până la 5 site-uri — fără detalii de plată, fără obligații. Planurile beneficiază de o garanție de rambursare de 30 de zile fără obiecții, migrări gratuite și fără dependență de furnizor.
Filtrarea rețelei, absorbția la margine, limitarea serverului și izolarea per site rulează din momentul implementării — nimic de configurat, nimic de activat în timpul unui incident. Începeți cu o perioadă de probă de 14 zile fără card, susținută de o garanție de rambursare de 30 de zile și migrări gratuite.
Începeți gratuit