Mbrojtje nga DDoS

Mbrojtje e shtresëzuar nga DDoS, në mënyrë që një sulm të mbetet problem vetëm i një sajti

Vërshimet absorbohen në skaj, sulmet e shtresës së rrjetit filtrohen më lart, dhe çdo gjë që arrin në server mbahet brenda kafazit të vetë nivelit të kernelit të faqes së synuar. Disa shtresa, secila duke kryer një funksion të ndryshëm, në mënyrë që një sulm i drejtuar ndaj një faqeje të mos shndërrohet në një ndërprerje për ato pranë saj. Ky është modeli i mbrojtjes që ndërtuam për një platformë që pret mbi 700,000 faqe në mbarë botën, dhe baza funksionon në çdo plan. Disponueshmëria: kufizimi i bazës së të dhënave për çdo faqe është në zhvillim e sipër dhe nuk është ende i disponueshëm. Çdo gjë tjetër e përshkruar këtu është aktive sot.

Filloni falas Shikoni çmimet

3shtresat e zbutjes: rrjeti, skaji, serveri
700,000+faqe të hostuara në mbarë botën
E përfshirëizolim bazë, WAF dhe kufizim i shpejtësisë
99.99%Garanci e kohës së funksionimit

I shtresuar sipas dizajnit, sepse një nuk është kurrë i mjaftueshëm

Një vërshim volumetrik, një vërshim aplikacioni L7 dhe një sulm i ngadaltë i shterimit të lidhjeve janë tri probleme të ndryshme. Ne e trajtojmë secilin prej tyre aty ku është më lirë dhe më shpejt për t'u trajtuar — përpara flotës, në skaj dhe brenda kafazit.

Shtresa e rrjetit (L3/4)

Mbrojtja nga DDoS në nivel ofruesi filtron vërshimet e shtresës së rrjetit përpara flotës sonë të punëtorëve, përpara se ai trafik të konsumojë ndonjëherë një portë, një NIC ose një cikël CPU-je në makinën ku funksionon faqja juaj. Për profilet e avancuara dhe ato të ndërmarrjeve të rrezikut, Cloudflare Magic Transit dhe Spectrum e shtrijnë të njëjtin filtrim edhe në trafikun jo-HTTP.

Shtresa e aplikacionit (L7) në skaj

Një rrjet skajor (edge network) i menaxhuar qëndron përpara çdo faqeje. Ai përthith vërshimet volumetrike HTTP, ekzekuton një WAF L7, zbaton kufizimin e shpejtësisë për çdo faqe dhe përdor menaxhimin e boteve dhe sfidat e menaxhuara për të ndarë vizitorët e vërtetë nga trafiku i automatizuar — të gjitha këto përpara se një kërkesë të arrijë në origjinë.

Shtresa e serverit

LiteSpeed Enterprise zbaton kufizimin e lidhjeve dhe kërkesave me limite lidhjesh për çdo IP, Imunify360 ekzekuton një firewall rrjeti me mbrojtje ndaj sulmeve brute-force dhe filtrim të reputacionit të IP-ve, dhe kufijtë e proceseve hyrëse të CloudLinux LVE përcaktojnë sesa kërkesa të njëkohshme mund të mbajë hapur një faqe e vetme.

Izolim për çdo faqe

LVE kufizon veçmas për çdo faqe përdorimin e CPU, RAM, IO, IOPS, proceset dhe proceset hyrëse. Një fluks që kalon përmes shtresave të sipërme frenohet brenda kafazit të vetë faqes së synuar, kështu që ngarkesa e krijuar mbetet te ajo faqe dhe nuk përhapet në të gjithë serverin.

Kufizimi është qëllimi

Shumica e ndërprerjeve të shërbimit gjatë një sulmi nuk shkaktohen nga arritja e sulmit në objektivin e tij. Ato shkaktohen nga konsumi i burimeve të objektivit që privon gjithçka tjetër në server. Ky është modeli i dështimit që kjo arkitekturë është projektuar të eliminojë.

Çdo faqe funksionon brenda kafazit të saj të burimeve CloudLinux LVE — faqja e sulmuar kufizohet në tavanin e saj, dhe faqet fqinje ruajnë burimet që u garantojnë kufijtë e tyre.
CageFS i ofron çdo qiramarrësi një pamje të izoluar të sistemit të skedarëve, në mënyrë që një sulm që përshkallëzohet në një përpjekje ndërhyrjeje të frenohet dhe të mos përhapet te qiramarrësit e tjerë.
CloudLinux MySQL Governor kufizon përdorimin e bazës së të dhënave për çdo faqe, në mënyrë që një vërshim në nivelin e aplikacionit që mbingarkon kërkesat e pakashuara të mos mund ta rrëzojë bazën e të dhënave për të gjithë të tjerët në server.
Proceset LiteSpeed LSAPI për çdo faqe kufizohen nga limitet LVE të asaj faqeje, kështu që një fluks i madh kërkesash nuk mund të gjenerojë procese PHP të pakufizuara.
Kufijtë e lidjeve për çdo IP dhe kufizimi i lidjeve nga LiteSpeed i thithin sulmet e lidjeve të ngadalta dhe shterimit të lidjeve në serverin e uebit, jo në aplikacion.

Kash-i është amortizatori që shumica e hosteve harrojnë

Kërkesa më pak e kushtueshme për t'u përballuar është ajo që nuk prek kurrë PHP-në ose MySQL-in. Memoria jonë e fshehur me dy nivele bën që një pjesë e madhe e një vërshimi në nivel aplikacioni të marrë përgjigje përmes bajteve statike, në vend që të ngarkohet serveri juaj burimor.

LSCache, memorja e plotë e faqeve e LiteSpeed Enterprise, ofron faqe të ruajtura në memorje pa thirrur PHP-në ose bazën e të dhënave — kështu që kërkesat e përsëritura për të njëjtin URL kushtojnë vetëm një pjesë të vogël të asaj që do të kushtonin në një strukturë standarde.
Një memorie e përkohshme objektesh Redis për çdo faqe shkarkon leximet e bazës së të dhënave për faqet që vërtet duhet të jenë dinamike.
Ruajtja e përkohshme në skaj e Cloudflare u përgjigjet kërkesave në rajonin e vizitorit, kështu që trafiku vërshues shpërndahet në të gjithë rrjetin e skajit në vend që të konvergojë në një origjinë të vetme.
Faqet e shportës, pagesës, llogarisë sime, nonce dhe sesionit janë të përjashtuara nga memoria e fshehtë si parazgjedhje, kështu që forcimi nën ngarkesë nuk e ndërpret kurrë një transaksion.
Pastrimi koordinohet në të dyja shtresat nga një kontroll i vetëm, kështu që rritja e mbulimit të memories së fshehtë gjatë një incidenti nuk ju lë me faqe të vjetruara më pas.

Nga sinjali te veprimi, automatikisht

Zbutja e pasojave nuk është një kërkesë mbështetjeje. Sinjalet ushqejnë një motor politikash që lidh secilin prej tyre me një veprim zbatimi, një njoftim për klientin dhe — aty ku është e mundur — një korrigjim automatik, ku çdo tranzicion regjistrohet në regjistër.

Shtrëngim dinamik

Kur aktivizohet një sinjal DDoS, motori i politikave zbaton zbutjen e Cloudflare dhe kufizimin e shkallës për çdo faqe, si dhe mund të shtrëngojë në mënyrë dinamike kufijtë LVE të asaj faqeje. Kur sinjali pastrohet, kufijtë lirohen përsëri. E shkallëzuar, e kthyeshme dhe e regjistruar në çdo hap.

Kufizuar, jo e fikur

Nëse një sulm kërcënon burimin, faqja kalon në një gjendje 'të kufizuar' — kufij më të rreptë LVE dhe kufizim të shpejtësisë, ndërkohë që faqja mbetet aktive dhe funksionale. Kufizimi rikthehet automatikisht sapo të kalojë ngarkesa; nuk bëhet fjalë për pezullim.

Kufizim automatik vendas i LVE-së

Nën motorin e politikave, LVE frenon përdorimin e CPU-së, hyrje/daljeve (IO) dhe proceseve për çdo faqe në mënyrë native dhe automatike. Kjo është linja e parë gjithmonë aktive, e cila funksionon pavarësisht nëse trafiku është klasifikuar ende apo jo si një sulm.

Gjurmë e plotë e auditimit

Çdo tranzicion zbatimi regjistron arsyen e tij, nëse ka qenë automatik apo i iniciuar nga stafi, dhe provat mbështetëse. Ju njoftoheni për atë që ka ndryshuar dhe se si ta zgjidhni atë, dhe çdo veprim është i ankimueshëm.

Çfarë përfshihet dhe çfarë blini kur rreziku rritet

Mbrojtja bazë nuk është me zgjedhje, sepse një sajt i sulmuar ose i komprometuar kërcënon fqinjët e tij, reputacionin e serverëve tanë dhe gamat tona të IP-ve. Mbrojtje më e rëndë ekziston për sajtet profili i rrezikut të të cilëve e kërkon atë.

Të përfshira në çdo plan: izolimi LVE dhe CageFS, kufizimi i lidhjeve dhe kërkesave LiteSpeed, mbrojtës rrjeti (firewall) me mbrojtje nga sulmet me forcë brutale dhe filtrim i reputacionit të IP-së, WAF proaktiv dhe skanim për softuerë keqdashës.
Ofrohet si shtesa: menaxhim i avancuar i bot-eve, nivele më të larta të mbrojtjes nga DDoS, rregulla të përmirësuara të WAF-it, skanim me përparësi dhe rregulla të dedikuara të murit mbrojtës.
Ofrohet gjithashtu si shërbim shtesë kur ju nevojitet: pastrimi dhe riparimi nga programet keqdashëse me një klikim, për rastet kur një sulm ishte thjesht një mbulesë për një komprometim dhe jo qëllimi përfundimtar.
Zbutja e avancuar e nivelit të rrjetit nëpërmjet Cloudflare Magic Transit ose Spectrum është e disponueshme për ngarkesat e punës të nivelit të ndërmarrjeve dhe me rrezik të lartë.

Sulme që janë vërtet diçka e veçantë

Një rritje e papritur e trafikut shpesh është një simptomë. I njëjti kanal sinjalesh që përballon flukset e mëdha dallon edhe komprometimet që i prodhojnë ato, në mënyrë që një incident të klasifikohet saktë në vend që thjesht të përthithet.

Çdo faqe që ne presim skanohet çdo ditë për softuerë keqdashës, dhe WAF proaktiv bllokon teknikat e njohura të shfrytëzimit përpara se të ekzistojë një arnim për cenueshmërinë themelore — rruga përmes së cilës një faqe bëhet mjet sulmi për dikë tjetër.
Posta dalëse është e kufizuar në normë për çdo faqe dhe monitorohet për rritje të papritura të volumit, norma kthimi, goditje në listat e bllokimit dhe sinjale ankesash, në mënyrë që një faqe e komprometuar që dërgon mesazhe të padëshiruara të kapet brenda pak minutash dhe jo pas bllokimit në listë.
Malware-et dhe phishing-u i dyshuar kryqëzohen me Google Safe Browsing, PhishTank dhe SURBL/APWG, dhe korrelohen me rezultatet e skanimit përpara se të merret një vendim zbatimi.
Keqpërdorimi i burimeve dhe minatorët e kriptove shfaqen si gabime të LVE CPU dhe IO të regjistruara për çdo faqe, të cilat kufizojnë automatikisly shkelësin.
Çdo sinjal mbërrin në një Zyrë të vetme për Abuzimet në panelin e administratorit — i agreguar, i pastruar nga dublikatat dhe i prioritizuar — në vend të katër veglave të shkëputura.

Pyetjet e shpeshta

Nëse sulmohet një faqe tjetër në serverin tim, çfarë ndodh me timen?

Qëllimi i dizajnit është izolimi. Çdo faqe ekzekutohet brenda kafazit të vet CloudLinux LVE me kufizime të CPU-së, RAM-it, IO-së, IOPS-it, proceseve dhe proceseve hyrëse, pamjen e vet të sistemit të skedarëve CageFS dhe kufizimin e bazës së të dhënave për çdo faqe përmes MySQL Governor. Një faqe e sulmuar kufizohet në tavanin e saj në vend që të konsumojë të gjithë makinën, dhe kufijtë e lidhjeve për çdo IP nga LiteSpeed përcaktojnë se sa pjesë të serverit të uebit mund të zërë ajo. Izolimi është i ndërtuar në nivel të kernelit, jo i konfiguruar për çdo klient.

A është e përfshirë mbrojtja DDoS, apo është një shtesë?

Niveli bazë përfshihet në çdo plan: izolimi LVE dhe CageFS, kufizimi i lidhjeve dhe kërkesave nga LiteSpeed, një mur mbrojtës rrjeti, WAF proaktiv dhe skanimi për programe me qëllim të keq, me përthithje në skaj nga Cloudflare dhe filtrim rrjeti në nivel ofruesi përpara gjithë flotës. Ne e përfshijmë këtë sepse nuk mund ta lëmë mbrojtjen e flotës sonë si opsionale. Menaxhimi i avancuar i bot-eve, nivelet më të larta të DDoS, rregullat e përmirësuara të WAF-it dhe rregullat e dedikuara të murit mbrojtës janë shtesa për faqet që kanë nevojë për to.

A do ta hiqni faqen time nga linja nëse sulmohet?

Të qenit shënjestër e një DDoS-i përkthehet në zbutje nga Cloudflare plus kufizim të shpejtësisë për çdo faqe, dhe — vetëm nëse sulmi po kërcënon serverin e origjinës — gjendjen 'throttled': kufij më të rreptë të LVE-së me faqen ende aktive dhe në shërbim. Gjendja e kufizuar rikthehet automatikisht sapo presioni të largohet. Pezullimi rezervohet për mospagesë ose abuzim të konfirmuar, dhe madje edhe atëherë faqja shfaq një faqe mbajtëse me markë dhe me arsyen specifike, në vend të një faqeje të prishur.

A e prek ende përmbytja e shtresës së aplikacionit bazën time të të dhënave?

Jo për asgjë që shërbehet nga memoria e përkohshme. LSCache u përgjigjet kërkesave për faqe të ruajtura në memorie pa thirrur PHP ose MySQL, dhe një memorie e përkohshme objektesh Redis për çdo faqe lehtëson leximet për faqet vërtet dinamike. Ajo që mbetet kufizohet nga kufijtë e proceseve LVE dhe proceseve të hyrjes të faqes suaj, si dhe nga kufizimi i bazës së të dhënave për çdo faqe nga MySQL Governor, në mënyrë që ngarkesa e bazës së të dhënave nga një faqe të mos përhapet në server. Faqet e shportës, arkëtimit, llogarisë sime dhe sesionit mbeten të paruajtura në memorie si parazgjedhje, në mënyrë që forcimi i sigurisë të mos ndërpresë kurrë një transaksion.

A mund të mbroni trafikun që nuk është HTTP?

Po, në shtresën e rrjetit. Mbrojtja DDoS në nivel ofruesi filtron vërshimet L3/4 në rrjedhën e sipërme të infrastrukturës sonë, pavarësisht protokollit, dhe për kërkesa të avancuara ose të ndërmarrjeve, Cloudflare Magic Transit dhe Spectrum e shtrijnë zbutjen e nivelit të skajit edhe te trafiku jo-HTTP.

Si mund ta di se ka ndodhur një sulm dhe çfarë keni bërë ju në lidhje me të?

Çdo tranzicion zbatimi regjistrohet me arsyen e tij, nëse ka qenë automatik apo i iniciuar nga stafi, dhe provat që qëndrojnë pas tij. Ju njoftoheni për atë që ka ndryshuar dhe çfarë e zgjidh atë, çdo veprim mund të apelohet, dhe veprimet me privilegje regjistrohen në auditim për gjurmën tuaj të pajtueshmërisë. Sinjalet grumbullohen në një Abuse Desk të vetëm në vend që të shpërndahen nëpër mjete të ndryshme.

A mund ta provoj këtë përpara se të paguaj?

Po. Hostimi Footprint-Free fillon me një periudhë prove 14-ditore pa kartë që mbulon deri në 5 faqe — pa detaje pagese, pa detyrime. Planet mbështeten nga një garanci 30-ditore për kthimin e parave pa asnjë kusht, migrim falas dhe pa bllokim nga ofruesi.

Të ngjashme

Mbrojtje që është tashmë aktive kur mbërrin trafiku

Filtrimi i rrjetit, përthithja në skaj, kufizimi i serverit dhe izolimi për çdo faqe funksionojnë që nga momenti i vendosjes — asgjë për t'u konfiguruar, asgjë për t'u aktivizuar në mes të një incidenti. Filloni me një provë 14-ditore pa kartë, të mbështetur nga një garanci 30-ditore për kthimin e parave dhe migrime falas.

Filloni falas