Ulinzi dhidi ya DDoS

Ulinzi wa tabaka nyingi wa DDoS, ili shambulio moja liwe tatizo la tovuti moja tu

Mafuriko ya trafiki hufyonzwa pembezoni mwa mtandao, mashambulizi ya tabaka la mtandao huchujwa kabla hayajafika, na chochote kinachofikia seva hudhibitiwa ndani ya ngome ya kiwango cha kernel ya tovuti lengwa yenyewe. Tabaka kadhaa, kila moja likifanya kazi tofauti, ili shambulio linalolenga tovuti moja lisisababishe hitilafu kwa tovuti zilizo kando yake. Huu ndio mfumo wa ulinzi tuliotengeneza kwa jukwaa linalohifadhi zaidi ya tovuti 700,000 ulimwenguni kote, na kiwango cha msingi kinapatikana kwenye kila mpango. Upatikanaji: udhibiti wa kasi ya hifadhidata kwa kila tovuti unaendelea kuundwa na bado haupatikani. Kila kitu kingine kilichoelezwa hapa kinafanya kazi kikamilifu leo.

Anza bila malipo Tazama bei

3safu za upunguzaji: mtandao, ukingo, seva
700,000+tovuti zilizohifadhiwa ulimwenguni kote
Imejumuishwautengano wa kimsingi, WAF na udhibiti wa kasi
99.99%Uhakikisho wa muda wa kufanya kazi

Yenye tabaka nyingi kulingana na muundo, kwa sababu moja haitoshi kamwe

Mafuriko ya kiujazo, mafuriko ya programu ya L7 na shambulio la polepole la kumaliza miunganisho ni matatizo matatu tofauti. Tunashughulikia kila mojawapo pale ambapo ni rahisi na haraka zaidi kushughulikia — juu ya kundi la mifumo, ukingoni, na ndani ya kizimba.

Safu ya mtandao (L3/4)

Ulinzi wa DDoS wa kiwango cha mtoa huduma huchuja mafuriko ya safu ya mtandao kabla ya kufikia kundi letu la mashine za utendaji, kabla ya trafiki hiyo kutumia mlango, NIC au mzunguko wa CPU kwenye mashine inayotumika kuendesha tovuti yako. Kwa wasifu wa hatari za juu na za kibiashara, Cloudflare Magic Transit na Spectrum hueneza uchujaji huo huo kwa trafiki isiyo ya HTTP.

Tabaka la programu (L7) pembezoni

Mtandao wa ukingoni unaosimamiwa upo mbele ya kila tovuti. Hufyonza mafuriko ya kiwango kikubwa ya HTTP, huendesha WAF ya L7, huweka vizuizi vya kiwango kwa kila tovuti, na hutumia usimamizi wa roboti pamoja na changamoto zinazosimamiwa ili kutenganisha wageni halisi na trafiki ya kiotomatiki — yote haya kabla ombi halijafika kwenye seva asili.

Tabaka la seva

LiteSpeed Enterprise inatekeleza udhibiti wa miunganisho na maombi kwa kuweka vizuizi vya muunganisho kwa kila IP, Imunify360 huendesha ngome ya mtandao yenye ulinzi dhidi ya brute-force na uchujaji wa sifa ya IP, na vizuizi vya mchakato wa kuingia wa CloudLinux LVE hupunguza idadi ya maombi ya wakati mmoja ambayo tovuti moja inaweza kufungua.

Udhibiti wa kila tovuti

LVE huwekea kikomo CPU, RAM, IO, IOPS, michakato na michakato ya kuingia kwa kila tovuti kibinafsi. Furiko linalopenya tabaka za juu hudhibitiwa ndani ya ngome ya tovuti lengwa yenyewe, hivyo shinikizo linalosababishwa hubakia kwenye tovuti hiyo badala ya kuenea kwenye seva nzima.

Udhibiti ndio msingi

Kukatika kwingi kwa huduma za upangishaji wakati wa shambulio hakusababishwi na shambulio kufikia lengo lake. Kunasababishwa na matumizi ya rasilimali ya lengo kukausha kila kitu kingine kwenye seva. Hiyo ndiyo hali ya hitilafu ambayo muundo huu umebuniwa kuiondoa.

Kila tovuti hufanya kazi ndani ya ngome yake ya rasilimali ya CloudLinux LVE — tovuti inayoshambuliwa hupunguzwa kasi kwenye ukomo wake wa juu, na tovuti za jirani huhifadhi rasilimali ambazo mipaka yao inazihakikishia.
CageFS humpa kila mpangaji mwonekano uliotengwa wa mfumo wa faili, ili shambulio linaloongezeka na kuwa jaribio la kuingilia lizuiliwe badala ya kuenea kwa wapangaji wengine.
CloudLinux MySQL Governor hudhibiti matumizi ya hifadhidata kwa kila tovuti, ili mafuriko ya safu ya programu yanayolemea hoja ambazo hazijahifadhiwa kwenye akiba yasiweze kuangusha hifadhidata kwa kila mtu mwingine kwenye seva.
Wafanyakazi wa LiteSpeed LSAPI kwa kila tovuti wamebanwa na mipaka ya LVE ya tovuti hiyo, kwa hivyo mafuriko ya maombi hayawezi kuanzisha michakato ya PHP isiyo na kikomo.
Vikomo vya miunganisho kwa kila IP na udhibiti wa kasi ya miunganisho ya LiteSpeed hukabili mashambulizi ya miunganisho ya polepole na kuisha kwa miunganisho kwenye seva ya wavuti, si kwenye programu.

Kache ni kifaa cha kupunguza mtikisiko ambacho wakaribishaji wengi husahau

Ombi la gharama nafuu zaidi kustahimili ni lile ambalo haligusi kamwe PHP au MySQL. Akiba yetu ya safu mbili inamaanisha sehemu kubwa ya ongezeko kubwa la maombi kwenye safu ya programu hujibiwa kwa baiti tuli badala ya seva yako ya asili kufanya kazi.

LSCache, bafa ya ukurasa mzima ya LiteSpeed Enterprise, hutoa kurasa zilizohifadhiwa bila kuendesha PHP au hifadhidata — kwa hivyo maombi ya mara kwa mara ya URL ile ile yanatumia sehemu ndogo tu ya yale ambayo yangetumiwa kwenye usanidi wa kawaida.
Kache ya vipengee ya Redis kwa kila tovuti hupunguza usomaji wa hifadhidata kwa kurasa ambazo lazima ziwe na maudhui yanayobadilika.
Uhifadhi wa muda pembezoni mwa mtandao wa Cloudflare hujibu maombi katika eneo la mgeni, kwa hivyo msongamano mkubwa wa data hutawanywa katika mtandao wa pembezoni badala ya kuelekezwa kwenye chanzo kimoja tu.
Kurasa za toroli, malipo, akaunti yangu, nonce na kipindi zimetengwa kwenye kache kwa chaguomsingi, kwa hivyo uimarishaji chini ya mzigo hauvurugi muamala kamwe.
Usafishaji unaratibiwa katika tabaka zote mbili kutoka kwa kidhibiti kimoja, kwa hivyo kuongeza ufikiaji wa akiba wakati wa tukio hakukuachii kurasa zilizopitwa na wakati baadaye.

Kutoka ishara hadi hatua, kiotomatiki

Upunguzaji si tiketi ya usaidizi. Ishara hulisha mfumo wa sera ambao huweka ramani ya kila moja kwenye hatua ya utekelezaji, arifa ya mteja na — inapowezekana — utatuzi wa kiotomatiki, huku kila mabadiliko yakirekodiwa.

Ukazaji unaobadilika

Wakati ishara ya DDoS inapowashwa, mtambo wa sera hutumia udhibiti wa Cloudflare na ukomo wa kiwango kwa kila tovuti, na unaweza kubana vikomo vya LVE vya tovuti hiyo kwa njia ya nguvu. Ishara inapoondoka, vikomo hulegezwa tena. Hatua kwa hatua, inayoweza kugeuzwa, na hurekodiwa katika kila hatua.

Imepunguzwa kasi, haijazimwa

Ikiwa shambulio linatishia asili, tovuti huhamia kwenye hali ya 'kudhibitiwa' — mipaka thabiti zaidi ya LVE na udhibiti wa kiwango, huku tovuti ikiwa bado inafanya kazi na kutoa huduma. Hali ya kudhibitiwa hujirekebisha kiotomatiki mara tu shinikizo linapoondoka; huu si usitishaji.

Udhibiti kasi wa kiotomatiki wa asili wa LVE

Chini ya injini ya sera, LVE hupunguza matumizi ya CPU, IO na michakato kwa kila tovuti kiasili na kiotomatiki. Ni safu ya kwanza inayofanya kazi kila wakati, ikifanya kazi iwe trafiki imeainishwa kama shambulio tayari au la.

Njia kamili ya ukaguzi

Kila mabadiliko ya utekelezaji hurekodi sababu yake, ikiwa ilikuwa ya kiotomatiki au iliyoanzishwa na wafanyakazi, na ushahidi uliopo nyuma yake. Mtaarifiwa kuhusu kile kilichobadilika na jinsi ya kukitatua, na kila hatua inaweza kukatiwa rufaa.

Ni nini kimejumuishwa, na kile unachonunua hatari inapoongezeka

Ulinzi wa kimsingi si wa hiari, kwa sababu tovuti iliyoshambuliwa au kuathiriwa inatishia majirani zake, sifa ya seva zetu na safu zetu za IP. Ulinzi thabiti zaidi upo kwa tovuti ambazo wasifu wao wa hatari unahitaji hilo.

Imejumuishwa kwenye kila mpango: utenganishaji wa LVE na CageFS, udhibiti wa miunganisho na maombi ya LiteSpeed, ngome ya mtandao yenye ulinzi wa mashambulizi ya brute-force na uchujaji wa sifa ya IP, WAF thabiti inayojilinda kabla ya mashambulizi, na ukaguzi wa programu hasidi.
Inapatikana kama nyongeza: usimamizi wa hali ya juu wa roboti, viwango vya juu vya ulinzi wa DDoS, sheria zilizoimarishwa za WAF, ukaguzi wa kipaumbele na sheria maalum za firewall.
Pia hutolewa kama huduma ya ziada unapoihitaji: usafishaji na urekebishaji wa programu hasidi kwa mbofyo mmoja, kwa kisa ambapo shambulio lilikuwa kifuniko cha uingiliaji badala ya lengo kuu.
Upunguzaji wa athari wa kiwango cha juu cha mtandao kupitia Cloudflare Magic Transit au Spectrum unapatikana kwa ajili ya mizigo ya kazi ya ngazi ya shirika na hatari kubwa.

Mashambulizi ambayo ni ya kipekee kabisa

Ongezeko la ghafla la trafiki mara nyingi huwa ni dalili. Njia ile ile ya usindikaji wa mawimbi inayoshughulikia mafuriko ya trafiki pia hugundua ukiukaji wa usalama unaoyasababisha, ili tukio liweze kuainishwa kwa usahihi badala ya kufyonzwa tu.

Kila tovuti tunayohifadhi hukaguliwa kila siku kubaini programu hasidi, na WAF tendaji huzuia mbinu zinazojulikana za unyonyaji kabla ya kiraka kupatikana kwa ajili ya udhaifu uliopo — njia ambayo tovuti huwa zana ya mashambulizi ya mtu mwingine.
Barua pepe zinazotoka huwekewa kikomo cha idadi kwa kila tovuti na hufuatiliwa kwa ongezeko la ghafla la ujazo, viwango vya barua pepe zilizokataliwa, kuingizwa kwenye orodha za kuzuia na ishara za malalamiko, ili tovuti iliyoathiriwa inayotuma barua taka igunduliwe ndani ya dakika chache badala ya baada ya kuorodheshwa kwenye orodha ya kuzuia.
Programu hasidi na wizi wa data (phishing) unaoshukiwa hukaguliwa kwa kulinganishwa na Google Safe Browsing, PhishTank na SURBL/APWG, na kuhusishwa na matokeo ya uchanganuzi kabla ya uamuzi wa utekelezaji kuchukuliwa.
Matumizi mabaya ya rasilimali na wachimbaji wa crypto hujitokeza kama hitilafu za LVE CPU na IO zilizorekodiwa kwa kila tovuti, ambazo hupunguza kiotomatiki rasilimali za mkiukaji.
Kila ishara hufika kwenye Dawati moja la Matumizi Mabaya katika dashibodi ya msimamizi — ikiwa imeunganishwa, imeondolewa nakala na kupewa kipaumbele — badala ya kwenye zana nne zilizotengana.

Maswali Yanayoulizwa Mara kwa Mara

Ikiwa tovuti nyingine kwenye seva yangu itashambuliwa, nini kitatokea kwa yangu?

Lengo la muundo ni udhibiti wa kutenga. Kila tovuti hufanya kazi ndani ya ngome yake ya CloudLinux LVE ikiwa na viwango maalum vya CPU, RAM, IO, IOPS, michakato na michakato ya kuingia, mwonekano wake wa mfumo wa faili wa CageFS, na udhibiti wa hifadhidata kwa kila tovuti kupitia MySQL Governor. Tovuti inayoshambuliwa hudhibitiwa katika kikomo chake badala ya kutumia rasilimali zote za mashine, na viwango vya juu vya miunganisho kwa kila IP vya LiteSpeed huzuia kiasi ambacho inaweza kuchukua kwenye seva ya wavuti. Udhibiti wa kutenga umeundwa kwenye kernel, hausanidiwi kwa kila mteja.

Je, ulinzi wa DDoS umejumuishwa, au ni huduma ya ziada?

Kiwango cha msingi kinajumuishwa kwenye kila mpango: utenganishaji wa LVE na CageFS, udhibiti wa miunganisho na maombi wa LiteSpeed, ngome ya mtandao, WAF thabiti na ukaguzi wa programu hasidi, pamoja na ufyonzaji wa ukingoni wa Cloudflare na uchujaji wa mtandao katika kiwango cha mtoa huduma mbele ya kundi zima la seva. Tunaijumuisha kwa sababu hatuwezi kuacha ulinzi wa kundi letu wenyewe la seva uwe wa hiari. Udhibiti wa kina wa roboti, viwango vya juu vya DDoS, sheria zilizoboreshwa za WAF na sheria maalum za ngome ni vipengele vya ziada kwa tovuti zinazovihitaji.

Je, mtaondoa tovuti yangu mtandaoni ikishambuliwa?

Kuwa mlengwa wa DDoS kunamaanisha upunguzaji wa athari kupitia Cloudflare pamoja na uwekaji wa mipaka ya kasi kwa kila tovuti, na — ikiwa tu shambulio linatishia seva asili — hali ya 'throttled': mipaka mikali zaidi ya LVE huku tovuti ikiendelea kufanya kazi na kutoa huduma. Hali ya throttled huondoka yenyewe mara tu shinikizo linapotulia. Usitishaji umetengwa kwa ajili ya kutolipa au matumizi mabaya yaliyothibitishwa, na hata wakati huo, tovuti huonyesha ukurasa maalum wenye chapa unaoeleza sababu badala ya ukurasa uliovunjika.

Je, mafuriko ya tabaka la programu bado yataathiri hifadhidata yangu?

Sio kwa chochote kinachotolewa kutoka kwenye akiba. LSCache hujibu maombi ya kurasa zilizohifadhiwa bila kuita PHP au MySQL, na akiba ya kitu ya Redis ya kila tovuti hupunguza usomaji wa kurasa zenye nguvu halisi. Kinachosalia kimewekewa mipaka na michakato ya LVE ya tovuti yako na mipaka ya michakato ya kuingia na kwa udhibiti wa hifadhidata kwa kila tovuti wa MySQL Governor, ili shinikizo la hifadhidata kutoka kwa tovuti moja lisiweze kumwagika kwenye seva. Kurasa za mikokoteni, malipo, akaunti yangu na vipindi hubaki bila kuwekwa kwenye akiba kwa chaguomsingi ili uimarishaji usiwahi kukatiza muamala.

Je, unaweza kulinda trafiki ambayo si ya HTTP?

Ndiyo, katika safu ya mtandao. Ulinzi wa DDoS wa kiwango cha mtoa huduma huchuja mafuriko ya L3/4 kabla ya kufikia mifumo yetu bila kujali itifaki, na kwa mahitaji ya juu au ya kibiashara Cloudflare Magic Transit na Spectrum hueneza upunguzaji wa kiwango cha ukingoni kwa trafiki isiyo ya HTTP.

Nitajuaje kuwa shambulio limetokea na mlichofanya kulihusu?

Kila mabadiliko ya utekelezaji huwekwa kwenye kumbukumbu pamoja na sababu yake, iwe ilikuwa ya kiotomatiki au iliyoanzishwa na wafanyakazi, na ushahidi uliopo nyuma yake. Mnaarifiwa kuhusu kile kilichobadilika na kile kinachotatua hilo, kila hatua inaweza kukatiwa rufaa, na hatua zenye mamlaka maalum huwekwa kwenye kumbukumbu ya ukaguzi kwa ajili ya ufuatiliaji wenu wa kufuata sheria. Ishara hukusanywa katika Dawati moja la Dhuluma badala ya kutawanywa katika zana mbalimbali.

Je, ninaweza kujaribu hii kabla ya kulipa?

Ndiyo. Upangishaji wa Footprint-Free unaanza na jaribio la siku 14 bila kadi linalojumuisha hadi tovuti 5 — hakuna maelezo ya malipo, hakuna ahadi. Mipango inalindwa na dhamana ya kurudishiwa pesa ya siku 30 bila maswali, uhamaji wa bure na hakuna kufungwa kwa mtoa huduma.

Husika

Ulinzi ambao tayari umewashwa trafiki inapowasili

Uchujaji wa mtandao, ufyonzaji wa ukingoni, udhibiti wa kasi ya seva na uzuiaji wa kila tovuti hufanya kazi kuanzia unapotekeleza — hakuna chochote cha kusanidi, hakuna cha kuwasha katikati ya tukio. Anza na jaribio la siku 14 bila kadi, linaloungwa mkono na dhamana ya kurudishiwa pesa ya siku 30 pamoja na uhamiaji wa bure.

Anza bila malipo