Защита от DDoS
Наводнения поглощаются по краям, атаки сетевого уровня фильтруются выше по сети, а все, что доходит до сервера, изолируется внутри защищенной зоны уровня ядра конкретного сайта. Несколько уровней, каждый из которых выполняет свою задачу, поэтому атака, направленная на один сайт, не приводит к сбою в работе соседних. Это модель защиты, созданная нами для платформы, на которой размещено более 650 000 сайтов по всему миру, и базовые функции задействованы на каждом тарифном плане. Доступность: ограничение нагрузки на базу данных для каждого сайта находится в стадии активной разработки и пока недоступно. Все остальное, описанное здесь, работает уже сегодня.
Объёмный флуд, флуд на уровне L7 и атака на исчерпание медленных соединений — это три разные проблемы. Мы справляемся с каждой там, где это сделать проще и быстрее всего — выше по течению от пула, на периферии и внутри изолированной среды.
Защита от DDoS-атак на уровне провайдера фильтрует сетевые атаки выше нашего пуска воркеров, еще до того, как этот трафик задействует порт, сетевой интерфейс или процессорный цикл на машине, где работает ваш сайт. Для продвинутых и корпоративных профилей рисков Cloudflare Magic Transit и Spectrum распространяют ту же фильтрацию на не-HTTP-трафик.
Каждый сайт защищен управляемой периферийной сетью. Она поглощает объемные HTTP-атаки, запускает WAF уровня 7, применяет ограничение частоты запросов для каждого сайта, а также использует средства управления ботами и управляемые проверки, чтобы отделять реальных посетителей от автоматизированного трафика — и всё это до того, как запрос достигнет исходного сервера.
LiteSpeed Enterprise применяет троттлинг соединений и запросов с лимитами подключений на один IP, Imunify360 запускает сетевой брандмауэр с защитой от брутфорса и фильтрацией по репутации IP, а ограничения процессов LVE в CloudLinux задают верхнюю границу одновременных запросов, которые один сайт может удерживать открытыми.
LVE ограничивает CPU, RAM, IO, IOPS, процессы и входные процессы для каждого сайта индивидуально. Лавинообразный запрос, прорвавшийся через верхние уровни, регулируется внутри изолированной среды целевого сайта, поэтому создаваемая им нагрузка остается в пределах этого сайта, а не распространяется по всему серверу.
Большинство сбоев хостинга во время атаки вызваны не тем, что атака достигает своей цели. Они вызваны тем, что потребление ресурсов целью лишает всего остального все остальное на сервере. Именно этот режим отказа данная архитектура призвана устранить.
Самый дешёвый для обработки запрос — это тот, который никогда не обращается к PHP или MySQL. Наш двухслойный кэш гарантирует, что значительная часть потока запросов на уровне приложений будет обслужена статическими байтами, а не за счёт работы вашего исходного сервера.
МИТИГАЦИЯ — это не тикет в службу поддержки. Сигналы поступают в движок политик, который сопоставляет каждый из них с мерой принудительного исполнения, уведомлением клиента и — по возможности — автоматическим устранением проблемы, при этом каждое изменение состояния логируется.
Когда срабатывает сигнал DDoS, политика применяет средства защиты Cloudflare и ограничение частоты запросов для каждого сайта, а также может динамически ужесточать лимиты LVE этого сайта. Когда сигнал исчезает, лимиты снова смягчаются. Постепенно, обратимо и с фиксацией каждого шага в журнале.
Если атака угрожает источнику, сайт переходит в состояние «ограничения» — применяются более жесткие лимиты LVE и ограничения частоты запросов, при этом сайт продолжает работать и обслуживать запросы. Ограничение снимается автоматически, как только спадет нагрузка; это не блокировка.
Под механизмом политик LVE автоматически и нативно ограничивает использование CPU, ввода-вывода (IO) и процессов для каждого сайта. Это постоянно работающая первая линия защиты, которая функционирует независимо от того, классифицирован ли трафик как атака на данный момент.
Каждое изменение статуса блокировки фиксирует свою причину, информацию о том, было ли оно автоматическим или инициировано сотрудниками, а также подтверждающие доказательства. Вы получаете уведомление о том, что изменилось и как это исправить, и каждое действие можно обжаловать.
Базовая защита не является опциональной, поскольку атакованный или взломанный сайт угрожает своим соседям, репутации нашего сервера и нашим IP-диапазонам. Более мощная защита существует для сайтов, чей профиль риска этого требует.
Скачок трафика часто является симптомом. Тот же конвейер сигналов, который справляется с потоками, также фиксирует компрометации, которые их вызывают, поэтому инцидент классифицируется правильно, а не просто поглощается.
Главная цель дизайна — изоляция. Каждый сайт работает внутри собственной изолированной среды CloudLinux LVE с ограниченными ресурсами процессора, оперативной памяти, дискового ввода-вывода (IO, IOPS), процессов и точек входа (entry-processes), с собственной файловой системой CageFS и ограничением ресурсов базы данных для каждого сайта с помощью MySQL Governor. Атакованный сайт ограничивается собственными лимитами, а не задействует ресурсы всего сервера, а ограничения соединений по IP в LiteSpeed контролируют объем ресурсов веб-сервера, который он может занять. Изоляция обеспечивается на уровне ядра, а не настраивается индивидуально для каждого клиента.
Базовый уровень защиты включен во все тарифные планы: изоляция LVE и CageFS, ограничение количества подключений и запросов LiteSpeed, сетевой брандмауэр, проактивный WAF и сканирование на наличие вредоносного ПО, а также кэширование на краю сети Cloudflare и сетевая фильтрация на уровне провайдера перед всем пулом серверов. Мы включаем его по умолчанию, потому что не можем оставлять защиту собственной инфраструктуры на усмотрение пользователя. Расширенное управление ботами, более высокие уровни защиты от DDoS, улучшенные правила WAF и выделенные правила брандмауэра доступны в качестве дополнительных опций для сайтов, которым это необходимо.
Подпасть под DDoS-атаку означает задействование средств защиты Cloudflare в сочетании с ограничением частоты запросов для каждого сайта, а также — исключительно в случае угрозы для исходного сервера — переход в состояние «throttled»: более жесткие лимиты LVE при сохранении работоспособности и доступности сайта. Состояние throttling отменяется автоматически после спада нагрузки. Приостановление работы применяется только в случае неоплаты или подтвержденных злоупотреблений, и даже тогда вместо сломанной страницы посетители видят фирменную заглушку с указанием конкретной причины.
Это не относится к контенту, отдаваемому из кэша. LSCache отвечает на запросы к кэшированным страницам без вызова PHP или MySQL, а объектный кэш Redis для каждого сайта разгружает чтение по-настоящему динамических страниц. Всё остальное ограничено лимитами процессов LVE и entry-process для вашего сайта, а также регулированием нагрузки на базы данных для каждого сайта с помощью MySQL Governor, поэтому нагрузка на базу данных от одного сайта не может распространиться на весь сервер. Страницы корзины, оформления заказа, личного кабинета и сеансов по умолчанию остаются без кэширования, поэтому защита никогда не нарушает проведение транзакций.
Да, на сетевом уровне. Защита от DDoS на уровне провайдера фильтрует сетевые атаки L3/4 выше по потоку от нашей инфраструктуры независимо от протокола, а для расширенных или корпоративных требований Cloudflare Magic Transit и Spectrum распространяют защиту уровня Edge на не-HTTP-трафик.
Каждый переход в режим применения санкций регистрируется с указанием причины, сведений о том, был ли он автоматическим или инициирован сотрудником, а также подтверждающих материалов. Вы получаете уведомление о том, что изменилось и как это исправить, любое действие может быть обжаловано, а привилегированные действия фиксируются в журнале аудита для обеспечения вашего собственного соответствия требованиям. Сигналы агрегируются в едином центре Abuse Desk, а не разбросаны по разным инструментам.
Да. Хостинг Footprint-Free начинается с 14-дневного пробного периода без привязки карты, охватывающего до 5 сайтов — никаких платежных данных и обязательств. Тарифные планы подкреплены 30-й гарантией возврата денег без лишних вопросов, бесплатными миграциями и отсутствием привязки к поставщику.
Сетевая фильтрация, поглощение на периферии, троттлинг серверов и изоляция на уровне сайтов работают с момента развертывания — ничего не нужно настраивать или включать в разгар инцидента. Начните 14-дневную пробную версию без привязки карты, подкрепленную 30-дневной гарантией возврата денег и бесплатным переносом сайтов.
Начать бесплатно