Защита от DDoS
Флуд поглощается на границе сети, атаки на сетевом уровне фильтруются выше по потоку, а все, что достигает сервера, изолируется внутри собственной клетки целевого сайта на уровне ядра. Несколько уровней, каждый из которых выполняет свою задачу, гарантируют, что атака на один сайт не приведет к сбою в работе соседних. Это модель защиты, которую мы создали для платформы, обслуживающей более 700 000 сайтов по всему миру, и ее базовый уровень работает на каждом тарифном плане. Доступность: ограничение нагрузки на базу данных для отдельных сайтов находится в активной разработке и пока недоступно. Все остальное, описанное здесь, уже работает.
Объёмный флуд, прикладной флуд уровня L7 и медленная атака на исчерпание пула соединений — это три разные проблемы. Мы устраняем каждую из них там, где это дешевле и быстрее всего: выше по потоку от вычислительного парка, на периферии сети и внутри серверной стойки.
Защита от DDoS-атак на уровне провайдера фильтрует лавинообразный трафик на сетевом уровне выше по потоку от нашего пула рабочих серверов, еще до того, как этот трафик задействует порт, сетевой адаптер (NIC) или цикл процессора на машине, где работает ваш сайт. Для профилей повышенного и корпоративного риска Cloudflare Magic Transit и Spectrum распространяют такую же фильтрацию и на трафик, отличный от HTTP.
Перед каждым сайтом развернута управляемая пограничная сеть (edge network). Она поглощает объемные атаки типа HTTP-flood, использует WAF седьмого уровня (L7), применяет ограничения частоты запросов для каждого сайта и использует средства управления ботами и управляемые проверки для отделения реальных посетителей от автоматизированного трафика — и все это до того, как запрос достигнет сервера-источника.
LiteSpeed Enterprise регулирует частоту подключений и запросов с помощью лимитов подключений на IP-адрес, Imunify360 обеспечивает работу сетевого брандмауэра с защитой от перебора паролей и фильтрацией по репутации IP, а ограничения на входные процессы CloudLinux LVE определяют, сколько одновременных запросов может удерживать один сайт.
LVE ограничивает CPU, RAM, IO, IOPS, процессы и входящие процессы для каждого сайта индивидуально. Поток трафика, пробившийся через верхние уровни защиты, сдерживается внутри изолированного окружения целевого сайта, поэтому создаваемая им нагрузка локализуется в пределах этого сайта, а не распределяется по всему серверу.
Большинство сбоев хостинга во время атаки вызваны не тем, что атака достигает цели. Они вызваны тем, что потребление ресурсов целью истощает все остальные процессы на сервере. Это именно тот тип сбоя, для устранения которого разработана данная архитектура.
Самый экономичный для обработки запрос — тот, который вообще не доходит до PHP или MySQL. Благодаря нашему двухуровневому кэшу большая часть флуда на прикладном уровне обслуживается статическими байтами, не нагружая ваш исходный сервер.
Снижение последствий — это не обращение в службу поддержки. Сигналы поступают в обработчик политик, который сопоставляет каждый из них с мерой принудительного характера, уведомлением клиента и — где это возможно — автоматическим устранением, при этом каждый переход регистрируется.
При срабатывании сигнала DDoS механизм политик применяет средства защиты Cloudflare и ограничение частоты запросов для каждого сайта, а также может динамически ужесточать лимиты LVE для этого сайта. Когда сигнал исчезает, ограничения снова смягчаются. Поэтапно, обратимо и регистрируется на каждом шаге.
Если атака угрожает серверу-источнику, сайт переходит в состояние «ограничения» — применяются более жесткие лимиты LVE и ограничение частоты запросов, при этом сайт остается доступным и обслуживает трафик. Ограничение снимается автоматически, как только спадает нагрузка; это не является блокировкой.
Ниже механизма политик LVE нативно и автоматически регулирует использование процессора, операций ввода-вывода и процессов для каждого сайта. Это постоянно действующая первая линия защиты, работающая независимо от того, был ли трафик уже классифицирован как атака.
Каждое изменение статуса правоприменения фиксирует свою причину, было ли оно автоматическим или инициированным сотрудниками, а также лежащие в его основе доказательства. Вы получите уведомление о том, что изменилось и как это исправить, и каждое действие может быть обжаловано.
Базовая защита обязательна, поскольку атакованный или скомпрометированный сайт угрожает соседним ресурсам, репутации наших серверов и нашим диапазонам IP-адресов. Для сайтов, чей профиль риска требует этого, предусмотрена усиленная защита.
Всплеск трафика часто является лишь симптомом. Тот же сигнальный конвейер, который справляется с перегрузками, выявляет и вызвавшие их компрометации, благодаря чему инцидент классифицируется надлежащим образом, а не просто поглощается.
Цель архитектуры — изоляция. Каждый сайт работает в собственной клетке CloudLinux LVE с ограничениями по CPU, RAM, IO, IOPS, процессам и входным процессам, собственным представлением файловой системы CageFS и регулированием базы данных для каждого сайта через MySQL Governor. Атакованный сайт ограничивается собственным лимитом, а не потребляет ресурсы всей машины, а ограничения соединений на IP-адрес LiteSpeed определяют, какую долю веб-сервера он может занять. Изоляция реализована на уровне ядра, а не настраивается индивидуально для каждого клиента.
Базовый уровень включен в каждый тариф: изоляция LVE и CageFS, регулирование подключений и запросов LiteSpeed, сетевой брандмауэр, упреждающий WAF и сканирование на наличие вредоносного ПО, а также поглощение на границе сети с помощью Cloudflare и сетевая фильтрация на уровне провайдера перед всем пулом серверов. Мы включаем это, поскольку не можем оставить защиту собственной инфраструктуры опциональной. Расширенное управление ботами, более высокие уровни защиты от DDoS, улучшенные правила WAF и выделенные правила брандмауэра являются дополнениями для сайтов, которым они необходимы.
Статус цели DDoS-атаки означает включение защиты Cloudflare и ограничение частоты запросов для каждого сайта, а также — исключительно при угрозе исходному серверу — переход в состояние «throttled»: ужесточение лимитов LVE при сохранении доступности и работоспособности сайта. Ограничение снимается автоматически после спада нагрузки. Блокировка применяется только при неуплате или подтвержденных нарушениях, но даже в этом случае вместо страницы с ошибкой отображается брендированная страница-заглушка с указанием конкретной причины.
Это не относится к тому, что отдается из кэша. LSCache обрабатывает запросы к кэшированным страницам без вызова PHP или MySQL, а кэш объектов Redis для каждого сайта снижает нагрузку на чтение для действительно динамических страниц. Все остальное ограничивается лимитами процессов LVE и входных процессов вашего сайта, а также регулированием базы данных для каждого сайта со стороны MySQL Governor, поэтому нагрузка на базу данных от одного сайта не может распространиться на весь сервер. Страницы корзины, оформления заказа, личного кабинета и сессий по умолчанию не кэшируются, поэтому усиление защиты никогда не прерывает транзакции.
Да, на сетевом уровне. Защита от DDoS-атак на уровне провайдера фильтрует лавинные потоки L3/4 выше нашей инфраструктуры независимо от протокола, а для расширенных или корпоративных требований Cloudflare Magic Transit и Spectrum распространяют механизмы защиты периметра на трафик, отличный от HTTP.
Каждое изменение статуса мер принуждения регистрируется с указанием причины, сведений о том, было ли оно автоматическим или инициировано сотрудником, а также обосновывающих доказательств. Вы получаете уведомление о том, что изменилось и что необходимо для разрешения ситуации; каждое действие можно обжаловать, а привилегированные действия фиксируются в журнале аудита для обеспечения соответствия вашим требованиям комплаенса. Сигналы агрегируются в едином Abuse Desk, а не распределяются по разным инструментам.
Да. Хостинг Footprint-Free начинается с 14-дневного пробного периода без привязки карты, охватывающего до 5 сайтов — без платежных данных и обязательств. Тарифы подкреплены 30-дневной гарантией безусловного возврата средств, бесплатными миграциями и отсутствием привязки к поставщику услуг.
Фильтрация трафика, поглощение на границе сети, ограничение нагрузки на сервер и изоляция отдельных сайтов работают с момента развертывания — ничего не нужно настраивать, ничего не требуется включать во время инцидента. Начните с 14-дневного пробного периода без привязки карты, подкрепленного 30-дневной гарантией возврата средств и бесплатной миграцией.
Начать бесплатно