Izolacija po sajtu
Izolacija je razlika između incidenta i prekida rada. Svaki sajt koji hostujemo radi unutar CloudLinux LVE kaveza na nivou kernela sa sopstvenim ograničenjima za CPU, RAM, IO i procese, sopstvenim CageFS sistemom datoteka, sopstvenom PHP verzijom i sopstvenim ograničenjem baze podataka. Sajt koji je napadnut, kompromitovan ili jednostavno pokreće zahtevan upit je sadržan tamo gde se nalazi — i osnovni nivo izolacije je uključen u svaki paket, a ne prodaje se naknadno kao nadogradnja. Dostupnost: ograničavanje baze podataka po sajtu i statistika resursa po sajtu su u fazi aktivnog razvoja i još uvek nisu dostupne. Sve ostalo opisano ovde je aktivno već danas.
Radna flota pokreće CloudLinux OS, koji više-zakupništvo spušta direktno u jezgro. Svaki sajt dobija lako virtuelno okruženje – LVE – koje predstavlja čvrstu granicu umesto ljubazne konvencije. Ništa što sajt radi unutar svog kaveza ne može se trošiti iz tuđeg budžeta.
LVE ograničava CPU, RAM, IO, IOPS, procese i ulazne procese (entry-processes) za svaki sajt zasebno. Kada sajt premaši svoj limit, on biva ograničen unutar sopstvenog okruženja — greška se beleži za taj sajt, dok susedni sajtovi nastavljaju da rade neometano.
Dodatak zaglavljen u petlji, loše napisan cron zadatak ili web-crawler koji bombarduje krajnju tačku prvo dostiže sopstvene procese i ograničenja ulaznih procesa sajta. Jedan sajt ne može jednostavno da optereti celu mašinu.
Pošto su ulazni procesi ograničeni po kavezu, poplava usmerena na jedan sajt ne može otvoriti neograničen rad na hostu. LiteSpeed ograničavanje konekcija i zahteva i Imunify360 mrežni zaštitni zid nalaze se ispred toga, tako da napad ostaje problem same mete.
Svaka LVE greška se beleži po sajtu i ulazi u platformski mehanizam politika, koji može automatski da pooštri ili ublaži ograničenja. Vidite zašto je sajt ograničen i kada — postepeno, reverzibilno i zabeleženo.
Izolacija resursa sprečava da sajt bude bučan. Izolacija fajl sistema sprečava ga da bude radoznao. CageFS pruža svakom zakupcu privatan, ograničen pogled na mašinu.
Pod CageFS-om, zakupac vidi sopstvene fajlove i minimalan, očišćen skup sistemskih binarnih fajlova — i ne može da vidi druge zakupce, sajtove drugih zakupaca niti osetljive sistemske fajlove. Uobičajeni režim otkazivanja u deljenom hosting-u, gde jedan kompromitovani nalog postaje pozicija za čitanje svakog drugog naloga na serveru, onemogućen je na nivou kernela.
Ovo je najvažnije onog dana kada nešto krene po zlu. Ako je sajt kompromitovan — putem zastarelog dodatka, ukradenih akreditiva, ranjive teme — CageFS je ono što ograničava štetu samo na taj jedan kavez. Naša bezbednosna specifikacija pažljivo bira reči: CageFS sadrži proboje. Zadržavanje je poštena tvrdnja i ona koja odlučuje da li je incident čišćenje jednog sajta ili čitave flote.
Rezervne kopije pojačavaju istu granicu. Rezervne kopije za svaki sajt su nepromenljive, van lokacije i izolovane od radne flote, sa testiranim vraćanjima u prethodno stanje, tako da čak i u najgorem slučaju kompromitovanja jednog sajta postoji čist, nezavisan put oporavka koji ne zavisi od stanja mašine na kojoj je pokrenut.
Izolacija veb-sloja je samo pola priče. Na WordPress floti, ono zbog čega server najčešće deluje sporo jesu upiti jednog sajta, a ne saobraćaj tog sajta. To je rešeno eksplicitno.
CloudLinux MySQL Governor ograničava korišćenje baze podataka po sajtu, tako da teški upiti jednog sajta ne mogu da uspore server za sve ostale. To je kontrola protiv usporavanja i radi bez obzira na to da li bučan sajt ikada primeti da je ograničen.
Flota koristi MariaDB (ili Percona), izabran za WordPress opterećenja umesto preuzet podrazumevano, sa Governor sistemom na vrhu kao slojem za pravednu raspodelu resursa po zakupcu.
Redis objekat keš memorija na nivou svakog sajta apsorbuje ponovljena čitanja pre nego što stignu do baze podataka, čime se smanjuje pritisak koji Governor mora da posreduje na prvom mestu. Keširanje i izolacija rade kao jedan sistem.
CloudLinux alt-PHP daje svakom sajtu sopstveni birač PHP verzije, sopstvene ekstenzije (imagick, gd, redis i ostale) i sopstvena očvrsnuta podešavanja — sa LSAPI radnicima ograničenim LVE limitima tog sajta, tako da je PHP konkurentnost deo kaveza, a ne beg iz njega.
Izolacija odlučuje koliko daleko se problem širi. Sprovođenje odlučuje šta se dešava dalje. Zamenili smo grubu uključeno/isključeno suspenziju mašinom stanja, vođenom trajnim radnim procesima i sprovedenom nad radnikom kroz LiteSpeed, LVE i Imunify.
Izolacija nije funkcija paketa koja se pojavljuje tri nivoa iznad. Ona je svojstvo infrastrukture, tako da je identična bez obzira na to da li pokrećete jednu WooCommerce prodavnicu ili dve hiljade mrežnih sajtova.
Masivne i PBN mreže rade na istoj LVE i CageFS podlozi, uz rotaciju CDN naloga otpornu na tragove i isporuku statičnog HTML-a. Izolacija je ono što gustinu čini bezbednom: sajtovi dele infrastrukturu bez deljenja sudbine.
Upravljani WordPress, WooCommerce, PHP, statički i Node sajtovi dobijaju iste kaveze uz potpunu samostalnost — sopstvenu PHP verziju i ekstenzije, Redis objektni keš, staging i push-to-live.
Za opterećenja kojima je potrebna čvršća granica od podrazumevane optimizovane za gustinu, potpuna izolacija kontejnera po sajtu nudi se kao varijanta drajvera za provizioniranje: isti endžin, isto kontrolno okruženje, drugačiji smeštaj, uz veće opterećenje resursa.
LVE i CageFS izolacija, proaktivni WAF i skeniranje zlonamernog softvera uključeni su za svakog korisnika, jer inficirani ili nekontrolisani sajt ugrožava svoje susede i našu reputaciju IP adrese. Čišćenje zlonamernog softvera jednim klikom i napredni nivoi zaštite su plaćeni dodaci, ali osnova nije.
Komercijalna iskušenja u hostingu nastoje da bezbednost dele po paketima: jeftini korisnici se smeštaju na deljeni server sa blagim ograničenjima, dok se onima kojima je stalo do zaštite ona naplaćuju. Mi to ne radimo, jer je korisnik koji nije platio izolaciju upravo onaj čiji kompromitovani sajt postaje incident za sve ostale.
Hostingujemo više od 650.000 sajtova širom sveta, na infrastrukturi gde je gustina celokupna ekonomska osnova. To funkcioniše samo ako je izolacija u njenoj osnivi bezuslovna. Kavezi na nivou kernela, privatni pregled fajl sistema, ograničavanje resursa baze podataka po sajtu i PHP po sajtu predstavljaju cenu rada na tom nivou bez deljene sudbine — tako da su uključeni za svakoga, na svakom paketu, od prvog sajta koji primenite.
Rezultat je platforma koja se ponaša predvidljivo tokom loših dana drugih ljudi. Iza nje stoje garancija neprekidnog rada od 99,99%, nepromenljive udaljene rezervne kopije za svaku lokaciju pojedinačno sa testiranim vraćanjem podataka, kao i kompletan revizorski trag svake bezbednosne mere preduzete na vašim sajtovima.
Izolacija je dizajnirana posebno da to spreči. LVE ograničava CPU, RAM, IO, IOPS i procese po sajtu, MySQL Governor ograničava korišćenje baze podataka po sajtu, a LSAPI radnici su ograničeni sopstvenim kavezom sajta — tako da se skok saobraćaja ili teško opterećenje upitima kod komšije ograničava na njihovom plafonu, a ne vašem. Svaka greška se beleži po sajtu, a mehanizam politika može automatski da postroži ograničenja bučnog sajta.
Iskren odgovor je izolacija pre nego garancija. CageFS svakom zakupcu pruža izolovani prikaz fajl sistema — kompromitovani zakupac ne može da vidi druge zakupce, njihove sajtove ili osetljive sistemske fajlove — a potvrđeni slučaj malvera ili fišinga premešta taj sajt u karantin: van mreže, zaključani fajlovi, bez izvršavanja, izolovano radi analize. To je ono što ograničava radijus štete. Pored toga, na svakom sajtu pokrećemo skeniranje zlonamernog softvera i proaktivni WAF, kao i nepromenljive vanlokacijske rezervne kopije po sajtu sa testiranim vraćanjem u prethodno stanje, tako da oporavak nikada ne zavisi od stanja dotične mašine.
Uključeno je u svaki paket. LVE i CageFS izolacija, proaktivni WAF i skeniranje zlonamernog softvera predstavljaju osnovu za svakog korisnika, jer inficirani ili nekontolisani sajt ugrožava susedne sajtove i našu IP reputaciju — to jednostavno ne možemo ostaviti kao opciju. Ono što se prodaje kao dodatak jeste uklanjanje zlonamernog softvera i sanacija jednim klikom, kao i napredni nivoi zaštite poput poboljšanih WAF pravila, prioriteta skeniranja, upravljanja botovima i viših DDoS nivoa.
Ograničen je unutar sopstvenog kaveza umesto da je isključen. Ograničen znači stroža LVE ograničenja i ograničavanje protoka dok sajt i dalje radi i islužuje sadržaj, a automatski se oporavlja čim uzrok nestane. Obavešteni ste o razlogu, prelaz je zabeležen sa dokazima, i na njega je moguće uložiti žalbu. Ako je opterećenje rezultat stvarnog rasta, a ne greške, rešenje je veći paket, a ne trajno ograničenje.
Ne — suspendovani sajt prikazuje brendiranu stranicu sa objašnjenjem razloga (naplata, održavanje ili zloupotreba) tako da deluje namerno, a ne pokvareno. Suspenzija se ukida uplatom, otklanjanjem problema ili žalbom. Karantin je stroži i funkcioniše drugačije: ukida se tek nakon čišćenja i pregleda, nikada automatski.
Na Zinn® Managed WordPress, da — CloudLinux alt-PHP daje svakom sajtu sopstveni birač PHP verzije, sopstvene ekstenzije kao što su imagick, gd i redis, i sopstvena ojačana podešavanja, a sve je to ograničeno LVE limitima tog sajta. Footprint-Free Hosting namerno pokreće standardizovaniju, zaključanu konfiguraciju po sajtu, pošto je raznovrsnost konfiguracija sama po sebi footprint.
Da. CloudLinux LVE i CageFS predstavljaju podrazumevanu opciju optimizovanu za gustinu na obe linije proizvoda. Za radna opterećenja kojima je potrebna čvršća granica, potpuna izolacija kontejnera po sajtu nudi se kao varijanta drajvera za provizionisanje — isti mehanizam i upravljačka ravan sa drugačijim raspoređivanjem, čime se režijski troškovi žrtvuju za jaču separaciju.
Da. Footprint-Free Hosting počinje 14-odnevnim probnim periodom bez kartice koji obuhvata do pet sajtova – bez podataka o plaćanju i bez obaveza. Primenite nekoliko sajtova, propustite malo opterećenja kroz njih i vidite kako se kavezi ponašaju pre nego što donesete odluku.
Započnite 14-dnevni probni period na Footprint-Free Hosting-u bez unosa kartice — do pet sajtova, bez detalja o plaćanju, bez obaveza. Izolacija na nivou kernela, proaktivni WAF i skeniranje zlonamernog softvera uključeni su od prvog postavljanja.
Započni besplatno