Protecție DDoS
Inundațiile sunt absorbite la margine, atacurile la nivel de rețea sunt filtrate în amonte, iar tot ceea ce ajunge pe server este izolat în propria „cușcă” la nivel de kernel a site-ului țintă. Mai multe straturi, fiecare având un rol diferit, astfel încât un atac îndreptat spre un site să nu devină o pană pentru celelalte de lângă el. Acesta este modelul de apărare pe care l-am construit pentru o platformă care găzduiește peste 650.000 de site-uri în întreaga lume, iar funcționalitățile de bază sunt incluse în orice plan. Disponibilitate: limitarea resurselor bazei de date per site este în curs de dezvoltare activă și nu este încă disponibilă. Tot ce este descris aici este activ începând de astăzi.
Un atac volumetric de tip flood, un atac aplicativ L7 și un atac lent de epuizare a conexiunilor sunt trei probleme diferite. Le gestionăm pe fiecare acolo unde este cel mai ieftin și mai rapid de făcut acest lucru — în amonte de flotă, la marginea rețelei și în interiorul cage-ului.
Protecția DDoS la nivel de furnizor filtrează atacurile cibernetice de la nivelul rețelei în amonte de flota noastră de lucrători, înainte ca traficul respectiv să consume vreun port, o placă de rețea sau un ciclu de CPU pe mașina pe care rulează site-ul tău. Pentru profilurile de risc avansat și enterprise, Cloudflare Magic Transit și Spectrum extind aceeași filtrare și la traficul non-HTTP.
O rețea edge administrată se află în fața fiecărui site. Aceasta absoarbe atacurile volumetrice HTTP, rulează un WAF L7, aplică limitarea ratei pentru fiecare site și folosește gestionarea boților și provocări administrate pentru a separa vizitatorii reali de traficul automatizat — totul înainte ca o cerere să ajungă la originea sa.
LiteSpeed Enterprise aplică limitarea conexiunilor și a cererilor cu limite de conexiune per IP, Imunify360 rulează un firewall de rețea cu protecție împotriva atacurilor de tip brute-force și filtrare a reputației IP, iar limitele de procese de intrare CloudLinux LVE stabilesc numărul maxim de cereri simultane pe care un singur site le poate menține deschise.
LVE limitează unitatea CPU, RAM, IO, IOPS, procesele și procesele de intrare pentru fiecare site în mod individual. Un atac de tip flood care trece de straturile superioare este limitat în interiorul propriei „cuști” a site-ului țintă, astfel încât presiunea pe care o creează rămâne la acel site în loc să se răspândească pe server.
Majoritatea întreruperilor de găzduire din timpul unui atac nu sunt cauzate de atingerea țintei de către atac. Ele sunt cauzate de consumul de resurse al țintei care epuizează tot ce se află pe server. Acesta este modul de eșec pe care această arhitectură este concepută să îl elimine.
Cea mai ieftină cerere care supraviețuiește este cea care nu atinge niciodată PHP sau MySQL. Cache-ul nostru cu două niveluri înseamnă că o mare parte dintr-o avalanșă la nivel de aplicație este soluționată prin octeți statici, în loc ca originea voastră să efectueze vreo muncă.
Mitigarea nu este un tichet de suport. Semnalele alimentează un motor de politici care mapează fiecare semnal la o acțiune de impunere, o notificare către client și — unde este posibil — o remediere automată, fiecare tranziție fiind înregistrată.
Când se declanșează un semnal DDoS, motorul de politici aplică atenuarea Cloudflare și limitarea ratei pe site și poate strânge dinamic limitele LVE ale acelui site. Când semnalul dispare, limitele se relaxează din nou. Gradual, reversibil și înregistrat la fiecare pas.
Dacă un atac amenință originea, site-ul trece într-o stare „limitată” — limite LVE mai stricte și limitarea ratei, site-ul rămânând activ și funcțional. Limitarea se remediază automat odată ce presiunea dispare; nu este vorba despre o suspendare.
Dedesubt de motorul de politici, LVE limitează nativ și automat procesorul, I/O și utilizarea proceselor pentru fiecare site. Este prima linie de apărare permanent activă, care funcționează indiferent dacă traficul a fost sau nu clasificat încă drept atac.
Fiecare tranziție de aplicare înregistrează motivul acesteia, dacă a fost automată sau inițiată de personal, precum și dovezile din spatele ei. Sunteți informat cu privire la ce s-a schimbat și cum să remediați acest lucru, iar fiecare acțiune poate fi contestată.
Protecția de bază nu este opțională, deoarece un site atacat sau compromis își amenință vecinii, reputația serverului nostru și intervalele noastre de IP-uri. O protecție mai robustă există pentru site-urile al căror profil de risc o cere.
Un vârf de trafic este adesea un simptom. Această conductă de semnal care gestionează inundațiile surprinde și compromiterile care le produc, astfel încât un incident este clasificat corect în loc să fie doar absorbit.
Scopul proiectului este izolarea. Fiecare site rulează în propria sa cage CloudLinux LVE cu limite pentru CPU, RAM, IO, IOPS, procese și procese de intrare, propria sa vizualizare a sistemului de fișiere CageFS și limitarea bazei de date per site prin intermediul MySQL Governor. Un site atacat este limitat la propriul plafon în loc să consume întreaga mașină, iar limitele de conexiune per IP din LiteSpeed stabilesc cât din serverul web poate ocupa acesta. Izolarea este proiectată la nivel de kernel, nu configurată per client.
Linia de bază este inclusă în fiecare plan: izolare LVE și CageFS, limitarea conexiunilor și a cerințelor LiteSpeed, un firewall de rețea, WAF-ul proactiv și scanarea malware, cu absorbție la margine Cloudflare și filtrare a rețelei la nivelul furnizorului în fața întregii flote. O includem deoarece nu putem lăsa protecția propriei noastre flote ca fiind opțională. Gestionarea avansată a bot-urilor, nivelurile DDoS superioare, regulile WAF îmbunătățite și regulile de firewall dedicate sunt suplimente pentru site-urile care au nevoie de ele.
Faptul că ești țintă DDoS înseamnă activarea măsurilor de atenuare Cloudflare plus limitarea ratei pe site și — doar dacă atacul amenință serverul de origine — starea „limitat”: limite LVE mai stricte, site-ul rămânând însă online și funcțional. Starea de limitare revine automat la normal odată ce presiunea dispare. Suspendarea este rezervată neplății sau abuzului confirmat, și chiar și atunci site-ul afișează o pagină de așteptare personalizată, specifică motivului, în loc de una nefuncțională.
Nimic din ceea ce este servit din cache. LSCache răspunde la cererile de pagini din cache fără a apela PHP sau MySQL, iar un cache de obiecte Redis per site preia citirile pentru paginile cu adevărat dinamice. Ceea ce rămâne este limitat de limitele procesului LVE și ale procesului de intrare ale site-ului dvs. și de limitarea bazei de date per site a MySQL Governor, astfel încât presiunea bazei de date de la un site nu se poate propaga la server. Paginile de coș, finalizare a comenzii, contul meu și de sesiune rămân ne-stocate în cache în mod implicit, astfel încât securizarea să nu întrerupă niciodată o tranzacție.
Da, la nivel de rețea. Protecția DDoS la nivel de furnizor filtrează inundațiile L3/4 în amonte de infrastructura noastră, indiferent de protocol, iar pentru cerințele avansate sau Enterprise, Cloudflare Magic Transit și Spectrum extind atenuarea la nivel de edge pentru traficul ne-HTTP.
Fiecare tranziție de aplicare a măsurilor este înregistrată împreună cu motivul acesteia, dacă a fost automată sau inițiată de personal, și dovezile care stau la baza ei. Sunteți informat cu privire la ce s-a schimbat și ce remediază acest lucru, fiecare acțiune poate fi contestată, iar acțiunile cu privilegii sunt înregistrate în jurnalul de audit pentru propriul dvs. traseu de conformitate. Semnalele sunt agregate într-un singur Birou de abuzuri, în loc să fie dispersate în mai multe instrumente.
Da. Footprint-Free Hosting începe cu o perioadă de probă de 14 zile fără card, care acoperă până la 5 site-uri – fără detalii de plată și fără angajament. Planurile beneficiază de o garanție de rambursare a banilor de 30 de zile fără discuții, migrări gratuite și fără blocare în ecosistemul unui singur furnizor.
Filtrarea în rețea, absorbția la marginea rețelei, limitarea serverului și izolarea pe site rulează din momentul în care faceți implementarea — nimic de configurat, nimic de activat în timpul unui incident. Începeți o perioadă de probă de 14 zile fără card, susținută de o garanție de returnare a banilor în 30 de zile și migrări gratuite.
Începe gratuit