Захист від DDoS
Сплески трафіку поглинаються на межі мережі, атаки мережевого рівня фільтруються на вищих вузлах, а все, що доходить до сервера, ізолюється всередині власної оболонки цільового сайту на рівні ядра. Кілька рівнів, кожен з яких виконує окреме завдання, завдяки чому атака на один сайт не призводить до збою в роботі розташованих поруч ресурсів. Це модель захисту, яку ми створили для платформи, що обслуговує понад 700 000 сайтів по всьому світу, і базовий захист діє на кожному тарифному плані. Доступність: обмеження навантаження на базу даних для окремих сайтів перебуває в активній розробці та ще недоступне. Усе інше, описане тут, уже повноцінно працює.
Об'ємний флуд, флуд на рівні застосунку L7 і повільна атака на вичерпання пулу з'єднань — це три різні проблеми. Ми усуваємо кожну з них там, де це найдешевше і найшвидше: вище за течією від парку серверів, на периферії мережі та всередині серверної шафи.
Захист від DDoS-атак на рівні провайдера фільтрує перевантаження мережевого рівня ще до нашого парку обробників, перш ніж цей трафік узагалі використає порт, мережеву карту чи такт процесора на комп'ютері, де працює ваш сайт. Для розширених і корпоративних профілів ризику Cloudflare Magic Transit і Spectrum поширюють таку саму фільтрацію і на трафік, відмінний від HTTP.
Перед кожним сайтом розташована керована периферійна мережа (edge network). Вона поглинає об'ємні атаки HTTP-flood, запускає WAF рівня L7, застосовує ліміти запитів для кожного сайту та використовує керування ботами й керовані перевірки, щоб відокремити реальних відвідувачів від автоматизованого трафіку — і все це ще до того, як запит досягне джерела.
LiteSpeed Enterprise застосовує обмеження швидкості з'єднань і запитів із лімітами з'єднань на IP-адресу, Imunify360 запускає мережевий брандмауер із захистом від атак методом підбору та фільтрацією репутації IP, а ліміти вхідних процесів CloudLinux LVE обмежують кількість одночасних запитів, які може тримати відкритими один сайт.
LVE обмежує CPU, RAM, IO, IOPS, процеси та вхідні процеси окремо для кожного сайту. Наплив трафіку, який долає вищі рівні захисту, стримується всередині ізольованого середовища самого цільового сайту, тому створюване ним навантаження залишається в межах цього сайту, а не поширюється на весь сервер.
Більшість збоїв хостингу під час атаки спричинені не тим, що атака досягає своєї цілі. Вони спричинені тим, що споживання ресурсів ціллю позбавляє ресурсів усе інше на сервері. Це саме той режим збою, для усунення якого розроблено цю архітектуру.
Запит, який найдешевше пережити, — це той, який ніколи не торкається PHP або MySQL. Наш дворівневий кеш означає, що значна частина флуду на рівні додатків обробляється статичними байтами, а не роботою вашого основного сервера.
Усунення наслідків — це не тікет служби підтримки. Сигнали надходять до механізму політик, який зіставляє кожен із них із примусовою дією, сповіщенням клієнта та — де це можливо — автоматичним виправленням, водночас кожен перехід фіксується в журналі.
Коли спрацьовує сигнал DDoS, механізм політик застосовує захист Cloudflare та обмеження частоти запитів для кожного сайту, а також може динамічно посилювати ліміти LVE цього сайту. Коли сигнал зникає, обмеження знову послаблюються. Поетапно, з можливістю скасування та фіксацією на кожному кроці.
Якщо атака загрожує серверу походження, сайт переходить у стан «обмеження» — застосовуються суворіші ліміти LVE та обмеження частоти запитів, при цьому сайт залишається доступним і працює. Обмеження знімається автоматично, щойно спадає навантаження; це не є блокуванням.
Під механізмом політик LVE нативно та автоматично обмежує використання процесора, операцій вводу-виводу та процесів для кожного сайту. Це перша лінія, що діє постійно, працюючи незалежно від того, чи було трафік уже класифіковано як атаку.
Кожна зміна статусу правозастосування фіксує свою причину, незалежно від того, чи була вона автоматичною, чи ініційованою персоналом, а також докази, що її обґрунтовують. Вас повідомляють про те, що змінилося та як це вирішити, і кожну дію можна оскаржити.
Базовий захист не є необов'язковим, оскільки атакований або скомпрометований сайт загрожує сусіднім ресурсам, репутації наших серверів та нашим діапазонам IP-адрес. Для сайтів, чий профіль ризику цього вимагає, передбачено посилений захист.
Сплеск трафіку часто є лише симптомом. Той самий конвеєр сигналів, що обробляє перевантаження, виявляє і компрометації, які їх спричиняють, завдяки чому інцидент правильно класифікується, а не просто поглинається.
Мета проєктування — ізоляція. Кожен сайт працює у власному CloudLinux LVE cage з обмеженнями CPU, RAM, IO, IOPS, processes та entry-processes, власним поданням файлової системи CageFS та обмеженням бази даних для кожного сайту через MySQL Governor. Атакований сайт обмежується власною межею замість того, щоб споживати ресурси всієї машини, а ліміти з'єднань на одну IP-адресу LiteSpeed обмежують обсяг ресурсів вебсервера, які він може зайняти. Ізоляція реалізована на рівні ядра, а не налаштовується для кожного клієнта окремо.
Базовий рівень включено до кожного тарифного плану: ізоляція LVE та CageFS, обмеження підключень і запитів LiteSpeed, мережевий брандмауер, проактивний WAF і сканування на наявність шкідливого ПЗ, а також поглинання на рівні edge-мережі Cloudflare та мережева фільтрація на рівні провайдера перед усім парком серверів. Ми включаємо це, оскільки не можемо залишити захист нашого власного парку серверів необов'язковим. Розширене керування ботами, вищі рівні захисту від DDoS, покращені правила WAF та виділені правила брандмауера є додатковими опціями для сайтів, які їх потребують.
Перебування під DDoS-атакою означає пом'якшення через Cloudflare разом із обмеженням частоти запитів для сайту, а також — лише якщо атака загрожує серверу походження — перехід у стан «throttled»: суворіші ліміти LVE, поки сайт залишається доступним і працює. Обмеження знімається автоматично після спаду навантаження. Призупинення застосовується виключно в разі несплати або підтвердженого зловживання, і навіть тоді замість зламаної сторінки відображається брендована сторінка-заглушка із зазначенням конкретної причини.
Не для того, що подається з кешу. LSCache відповідає на запити кешованих сторінок без виклику PHP або MySQL, а кеш об'єктів Redis для кожного сайту розвантажує операції читання для справді динамічних сторінок. Те, що залишається, обмежено лімітами процесів LVE та вхідних процесів вашого сайту, а також обмеженням бази даних для кожного сайту за допомогою MySQL Governor, тому навантаження на базу даних з одного сайту не може поширитися на сервер. Сторінки кошика, оформлення замовлення, особистого кабінету та сеансів за замовчуванням залишаються некешованими, тому посилення захисту ніколи не перериває транзакцію.
Так, на мережевому рівні. Захист від DDoS-атак на рівні постачальника фільтрує лавинні потоки L3/4 перед нашою інфраструктурою незалежно від протоколу, а для розширених або корпоративних вимог Cloudflare Magic Transit та Spectrum розширюють захист граничного рівня на трафік, відмінний від HTTP.
Кожен перехід правозастосування реєструється із зазначенням причини, незалежно від того, чи був він автоматичним, чи ініційованим персоналом, а також доказів, що стоять за ним. Вас повідомляють про те, що змінилося і що це вирішує, будь-яку дію можна оскаржити, а привілейовані дії реєструються в журналі аудиту для вашої власної перевірки відповідності. Сигнали агрегуються в єдиній службі Abuse Desk, а не розпорошуються між різними інструментами.
Так. Хостинг Footprint-Free починається з 14-денного пробного періоду без прив'язки картки, що охоплює до 5 сайтів — жодних платіжних даних, жодних зобов'язань. Плани підкріплені 30-денною беззастережною гарантією повернення коштів, безкоштовними міграціями та відсутністю прив'язки до постачальника послуг.
Фільтрація мережі, поглинання на межі, обмеження навантаження сервера та ізоляція окремих сайтів працюють з моменту розгортання — нічого не потрібно налаштовувати, нічого не потрібно вмикати під час інциденту. Почніть із 14-денного пробного періоду без прив'язки картки, підкріпленого 30-денною гарантією повернення коштів і безкоштовною міграцією.
Почати безкоштовно