การป้องกัน DDoS
น้ำท่วมถูกดูดซับไว้ที่ขอบ การโจมตีระดับเครือข่ายถูกกรองที่ต้นทาง และสิ่งที่มาถึงเซิร์ฟเวอร์จะถูกกักเก็บไว้ภายในเคอร์เนลเลเวลเคจของเว็บไซต์เป้าหมายเอง หลายชั้น แต่ละชั้นทำหน้าที่แตกต่างกัน ดังนั้นการโจมตีที่มุ่งเป้าไปที่เว็บไซต์เดียวจึงไม่กลายเป็นเหตุการณ์ล่มของเว็บไซต์อื่นๆ ที่อยู่ข้างเคียง นี่คือโมเดลการป้องกันที่เราสร้างขึ้นสำหรับแพลตฟอร์มที่โฮสต์เว็บไซต์กว่า 650,000 แห่งทั่วโลก และระบบพื้นฐานนี้ทำงานอยู่บนทุกแพ็กเกจ ความพร้อมใช้งาน: การจำกัดอัตราการใช้ฐานข้อมูลต่อเว็บไซต์กำลังอยู่ระหว่างการพัฒนาและยังไม่เปิดให้บริการในขณะนี้ ทุกสิ่งอื่นๆ ที่อธิบายไว้ที่นี่เปิดใช้งานจริงแล้วในวันนี้
การโจมตีแบบ Volumetric flood, การโจมตีแบบ L7 application flood และการโจมตีแบบ Slow connection-exhaustion attack คือปัญหาที่แตกต่างกันสามรูปแบบ เราจัดการกับปัญหาแต่ละประเภทในจุดที่มีต้นทุนต่ำที่สุดและรวดเร็วที่สุด นั่นคือ นอกกลุ่มเซิร์ฟเวอร์ (upstream of the fleet) ที่ขอบเครือข่าย (at the edge) และภายในเซิร์ฟเวอร์ (inside the cage)
ระบบป้องกัน DDoS ในระดับผู้ให้บริการจะกรองการโจมตีเลเยอร์เครือข่ายต้นทางก่อนถึงกลุ่มเวิร์กเกอร์ของเรา ก่อนที่ทราฟฟิกนั้นจะใช้พอร์ต NIC หรือรอบซีพียูบนเครื่องที่เว็บไซต์ของคุณทำงานอยู่ สำหรับโปรไฟล์ความเสี่ยงระดับสูงและระดับองค์กร Cloudflare Magic Transit และ Spectrum จะขยายการกรองแบบเดียวกันนี้ไปยังทราฟฟิกที่ไม่ใช่ HTTP
ระบบเครือข่ายเอดจ์แบบจัดการจะทำงานอยู่หน้าเว็บไซต์ทุกแห่ง โดยทำหน้าที่ดูดซับการโจมตีแบบ HTTP flood ปริมาณมาก รัน WAF เลเยอร์ 7 ใช้การจำกัดอัตราการเข้าถึงต่อเว็บไซต์ และใช้ระบบจัดการบอทกับความท้าทายแบบจัดการเพื่อแยกผู้เข้าชมจริงออกจากทราฟฟิกที่เป็นระบบอัตโนมัติ ทั้งหมดนี้เกิดขึ้นก่อนที่คำขอจะไปถึงเซิร์ฟเวอร์ต้นทาง
LiteSpeed Enterprise ใช้การจำกัดการเชื่อมต่อและคำขอด้วยขีดจำกัดการเชื่อมต่อต่อ IP, Imunify360 รันไฟร์วอลล์เครือข่ายพร้อมการป้องกันการโจมตีแบบบรุตาฟอร์ซและการกรองชื่อเสียงของ IP และขีดจำกัดกระบวนการเข้าสู่ระบบ CloudLinux LVE กำหนดขีดจำกัดจำนวนคำขอพร้อมกันสูงสุดที่เว็บไซต์เดียวจะสามารถเปิดค้างไว้ได้
LVE จะจำกัด CPU, RAM, IO, IOPS, processes และ entry-processes สำหรับแต่ละเว็บไซต์แยกจากกัน การโจมตีที่ผ่านชั้นบนสุดเข้ามาจะถูกจำกัดความเร็วไว้ภายในกรงของเว็บไซต์เป้าหมายนั้นเอง แรงกดดันที่เกิดขึ้นจึงอยู่กับเว็บไซต์นั้นแทนที่จะกระจายไปยังเซิร์ฟเวอร์ทั้งหมด
ปัญหาระบบโฮสติ้งล่มส่วนใหญ่ในระหว่างการถูกโจมตีไม่ได้เกิดจากตัวการโจมตีเข้าถึงเป้าหมายได้ แต่เกิดจากการที่ทรัพยากรของเป้าหมายถูกใช้จนหมดสิ้น ส่งผลให้บริการอื่นๆ บนเครื่องเดียวกันขาดแคลนทรัพยากรตามไปด้วย นี่คือจุดอ่อนที่สถาปัตยกรรมนี้ได้รับการออกแบบมาเพื่อกำจัดให้หมดไป
คำขอที่ประหยัดที่สุดในการรอดชีวิตคือคำขอที่ไม่เคยสัมผัสกับ PHP หรือ MySQL แคชสองชั้นของเราหมายความว่าปริมาณการใช้งานระดับแอปพลิเคชันส่วนใหญ่จะได้รับการตอบกลับด้วยไบต์แบบคงที่ แทนที่จะปล่อยให้เซิร์ฟเวอร์ต้นทางของคุณทำงาน
การบรรเทาไม่ใช่ตั๋วสนับสนุน สัญญาณต่างๆ จะป้อนเข้าสู่เอนจิ้นนโยบายที่แมปแต่ละสัญญาณเข้ากับการดำเนินการบังคับใช้ การแจ้งเตือนลูกค้า และ—เท่าที่จะทำได้—การแก้ไขปัญหาโดยอัตโนมัติ พร้อมทั้งบันทึกการเปลี่ยนผ่านทุกขั้นตอนไว้
เมื่อสัญญาณ DDoS ทำงาน เอ็นจิ้นนโยบายจะใช้การบรรเทาผลกระทบของ Cloudflare และการจำกัดอัตราการเข้าใช้งานต่อเว็บไซต์ และสามารถปรับจำกัด LVE ของเว็บไซต์นั้นให้เข้มงวดขึ้นได้แบบไดนามิก เมื่อสัญญาณหายไป ขีดจำกัดจะผ่อนคลายลงอีกครั้ง มีการปรับระดับ ย้อนกลับได้ และบันทึกไว้ในทุกขั้นตอน
หากการโจมตีส่งผลกระทบต่อต้นทาง เว็บไซต์จะเปลี่ยนไปใช้อยู่ในสถานะ 'ถูกจำกัดความเร็ว' — ซึ่งมีการจำกัด LVE และอัตราการเข้าชมที่เข้มงวดขึ้น โดยที่เว็บไซต์ยังคงใช้งานได้และให้บริการอยู่ สถานะถูกจำกัดความเร็วจะฟื้นตัวโดยอัตโนมัติเมื่อแรงกดดันลดลง นี่ไม่ใช่การระงับการใช้งาน
ด้านล่างระบบนโยบาย LVE จะควบคุมปริมาณการใช้ CPU, IO และกระบวนการทำงานของแต่ละเว็บไซต์โดยอัตโนมัติและในระดับเนทีฟ นี่คือด่านแรกที่ทำงานตลอดเวลา โดยจะเริ่มทำงานทันทีไม่ว่าทราฟฟิกดังกล่าวจะถูกจำแนกประเภทเป็นการโจมตีแล้วหรือไม่ก็ตาม
ทุกการเปลี่ยนผ่านของการบังคับใช้จะบันทึกเหตุผล ไม่ว่าจะเป็นแบบอัตโนมัติหรือดำเนินการโดยทีมงาน พร้อมด้วยหลักฐานประกอบ คุณจะได้รับแจ้งว่ามีอะไรเปลี่ยนแปลงบ้างและจะแก้ไขอย่างไร และทุกการดำเนินการสามารถอุทธรณ์ได้
การป้องกันพื้นฐานไม่ใช่สิ่งที่มีหรือไม่มีก็ได้ เนื่องจากเว็บไซต์ที่ถูกโจมตีหรือถูกเจาะระบบจะส่งผลกระทบต่อเว็บไซต์ข้างเคียง ชื่อเสียงของเซิร์ฟเวอร์เรา และช่วงไอพีของเรา การป้องกันที่เข้มงวดขึ้นมีไว้สำหรับเว็บไซต์ที่มีโปรไฟล์ความเสี่ยงที่จำเป็นต้องใช้เท่านั้น
ปริมาณการใช้งานที่พุ่งสูงมักเป็นสัญญาณเตือน ท่อส่งสัญญาณชุดเดียวกันที่รองรับปริมาณมหาศาลยังตรวจจับการบุกรุกที่ก่อให้เกิดเหตุดังกล่าวด้วย เหตุการณ์จึงถูกจำแนกประเภทได้อย่างถูกต้องแทนที่จะเป็นแค่การกลืนหายไปเฉยๆ
เป้าหมายการออกแบบคือการกักเก็บความเสียหาย ไซต์ทั้งหมดจะทำงานภายใน CloudLinux LVE cage ของตนเอง พร้อมจำกัด CPU, RAM, IO, IOPS, processes และ entry-processes, มุมมองระบบไฟล์ CageFS ของตนเอง และการจำกัดอัตราการใช้ฐานข้อมูลต่อไซต์ผ่าน MySQL Governor ไซต์ที่ถูกโจมตีจะถูกจำกัดที่ขีดจำกัดของตนเองแทนที่จะใช้ทรัพยากรทั้งเครื่อง และขีดจำกัดการเชื่อมต่อต่อ IP ของ LiteSpeed จะจำกัดปริมาณการใช้เว็บเซิร์ฟเวอร์ที่ทำได้ การกักเก็บถูกออกแบบในระดับเคอร์เนล ไม่ใช่กำหนดค่ารายลูกค้า
ทุกแผนบริการมาพร้อมกับระบบพื้นฐานดังนี้: การแยกระดับ LVE และ CageFS, การจำกัดการเชื่อมต่อและคำขอของ LiteSpeed, ไฟร์วอลล์เครือข่าย, ระบบ WAF เชิงรุก และการสแกนัลแวร์ พร้อมด้วยระบบรองรับทราฟฟิกที่ขอบเครือข่ายของ Cloudflare และการกรองเครือข่ายระดับผู้ให้บริการที่อยู่หน้ากลุ่มเซิร์ฟเวอร์ทั้งหมด เราผนวกรวมสิ่งเหล่านี้ไว้เพราะเราไม่สามารถทำให้การป้องกันกลุ่มเซิร์ฟเวอร์ของเราเองเป็นสิ่งที่มีหรือไม่มีก็ได้ การจัดการบอทขั้นสูง, ระดับการป้องกัน DDoS ที่สูงขึ้น, กฎ WAF ที่เสริมประสิทธิภาพ และกฎไฟร์วอลล์เฉพาะกิจ เป็นบริการเสริมสำหรับเว็บไซต์ที่ต้องการใช้งานฟีเจอร์เหล่านี้
การตกเป็นเป้าหมาย DDoS จะนำไปสู่การบรรเทาผลกระทบด้วย Cloudflare ร่วมกับการจำกัดอัตราการเข้าชมต่อเว็บไซต์ และ—เฉพาะในกรณีที่การโจมตีคุกคามเซิร์ฟเวอร์ต้นทาง—จะเข้าสู่สถานะ 'ถูกจำกัดความเร็ว': ขีดจำกัด LVE ที่เข้มงวดขึ้นโดยที่เว็บไซต์ยังคงใช้งานได้และให้บริการอยู่ สถานะถูกจำกัดความเร็วจะกลับคืนสู่ปกติโดยอัตโนมัติเมื่อแรงกดดันลดลง การระงับการใช้งานสงวนไว้สำหรับการไม่ชำระเงินหรือการละเมิดที่ได้รับการยืนยันแล้ว และแม้ในกรณีนั้น เว็บไซต์ก็จะแสดงหน้าพักการใช้งานที่มีตราสินค้าและระบุเหตุผลเฉพาะ แทนที่จะแสดงหน้าที่พัง
ไม่ใช่สำหรับเนื้อหาใดๆ ที่เสิร์ฟจากแคช LSCache ตอบสนองคำขอหน้าเว็บที่แคชไว้โดยไม่ต้องเรียกใช้งาน PHP หรือ MySQL และแคชออบเจ็กต์ Redis แบบต่อเว็บไซต์จะช่วยลดภาระการอ่านสำหรับหน้าเว็บที่เป็นไดนามิกอย่างแท้จริง ส่วนที่เหลือจะถูกจำกัดด้วยขีดจำกัดกระบวนการ LVE และ entry-process ของเว็บไซต์คุณ รวมถึงการควบคุมปริมาณฐานข้อมูลต่อเว็บไซต์ของ MySQL Governor ดังนั้น แรงกดดันต่อฐานข้อมูลจากเว็บไซต์เดียวจึงไม่สามารถลามไปยังเซิร์ฟเวอร์ได้ หน้าตะกร้าสินค้า การชำระเงิน บัญชีของฉัน และหน้าเซสชัน จะไม่ถูกแคชไว้โดยค่าเริ่มต้น ดังนั้นการรักษาความปลอดภัยจึงไม่ขัดขวางการทำธุรกรรมใดๆ
ใช่ ในระดับเครือข่าย การป้องกัน DDoS ในระดับผู้ให้บริการจะกรองการท่วมของข้อมูลใน L3/4 ที่ต้นน้ำของกลุ่มเซิร์ฟเวอร์ของเรา โดยไม่คำนึงถึงโปรโตคอล และสำหรับความต้องการระดับสูงหรือระดับองค์กร Cloudflare Magic Transit และ Spectrum จะขยายการบรรเทาผลกระทบระดับ Edgeไปยังทราฟฟิกที่ไม่ใช่ HTTP
การเปลี่ยนสถานะการบังคับใช้ทุกครั้งจะถูกบันทึกไว้พร้อมกับเหตุผล ไม่ว่าจะเป็นแบบอัตโนมัติหรือดำเนินการโดยเจ้าหน้าที่ พร้อมด้วยหลักฐานประกอบ คุณจะได้รับการแจ้งเตือนว่ามีอะไรเปลี่ยนแปลงบ้างและต้องแก้ไขอย่างไร ทุกการดำเนินการสามารถยื่นอุทธรณ์ได้ และการดำเนินการสิทธิ์พิเศษจะถูกเก็บบันทึกการตรวจสอบเพื่อให้สอดคล้องกับข้อกำหนดของคุณ สัญญาณเตือนต่างๆ จะถูกรวบรวมไว้ที่ Abuse Desk ศูนย์กลางเดียว แทนที่จะกระจัดกระจายอยู่ตามเครื่องมือต่างๆ
ใช่แล้ว Footprint-Free Hosting เริ่มต้นด้วยการทดลองใช้งาน 14 วันโดยไม่ต้องใช้บัตรเครดิต ครอบคลุมเว็บไซต์สูงสุด 5 เว็บไซต์ โดยไม่ต้องให้ข้อมูลการชำระเงินและไม่มีข้อผูกมัด แผนบริการต่างๆ มาพร้อมกับการรับประกันคืนเงินภายใน 30 วันโดยไม่มีเงื่อนไข การย้ายเว็บไซต์ฟรี และไม่มีการผูกมัดกับผู้ให้บริการ
การกรองเครือข่าย, การดูดซับที่ขอบเครือข่าย, การจำกัดความเร็วเซิร์ฟเวอร์ และการกักเก็บแยกตามเว็บไซต์จะทำงานทันทีที่คุณใช้งาน โดยไม่ต้องตั้งค่าใดๆ และไม่ต้องเปิดใช้งานกลางคันเมื่อเกิดเหตุการณ์ เริ่มต้นด้วยทดลองใช้งานฟรี 14 วันโดยไม่ต้องใช้บัตรเครดิต พร้อมการรับประกันคืนเงินภายใน 30 วันและการย้ายข้อมูลฟรี
เริ่มใช้งานฟรี