DDoS himoyasi

Qatlamli DDoS himoyasi, shuning uchun bitta hujum faqat bitta saytning muammosi bo‘lib qoladi

Trafik toshqinlari chekkada yutiladi, tarmoq qatlamidagi hujumlar yuqori oqimda filtrlanadi va serverga yetib borgan har qanday narsa maqsadli saytning yadrosi darajasidagi qafasi ichida ushlab qolinadi. Bir nechta qatlamlarning har biri alohida vazifani bajaradi, shu sababli bitta saytga qaratilgan hujum uning yonidagi saytlarning ishdan chiqishiga olib kelmaydi. Bu dunyo boʻylab 700 000 dan ortiq saytlarni joylashtiradigan platforma uchun biz yaratgan himoya modelidir va asosiy himoya har bir rejada ishlaydi. Mavjudligi: har bir sayt uchun maʼlumotlar bazasini cheklash faol ishlab chiqilmoqda va hozircha mavjud emas. Bu yerda tavsiflangan qolgan barcha imkoniyatlar bugungi kunda toʻliq ishlamoqda.

Bepul boshlang Narxlarni koʻrish

3yumshatish qatlamlari: tarmoq, chekka, server
700 000+butun dunyo boʻylab joylashtirilgan saytlar
Kiritilganasosiy izolyatsiya, WAF va tezlikni cheklash
99,99%Uzluksiz ishlash kafolati

Dizayniga koʻra koʻp qatlamli, chunki bittasi hech qachon yetarli emas

Volumetrik toshqin, L7 ilova toshqini va sekin ulanishni tugatish hujumi uchta turli xil muammodir. Biz ularning har birini hal qilish eng arzon va eng tez boʻlgan joyda hal qilamiz — serverlar guruhidan yuqorida, tarmoq chetida va katak ichida.

Tarmoq qatlami (L3/4)

Provayder darajasidagi DDoS himoyasi saytingiz ishlayotgan mashinada port, tarmoq kartasi (NIC) yoki protsessor siklini sarflashidan oldin, tarmoq darajasidagi toshqinlarni bizning ishchi tizimimizga yetib bormasdan oldinroq filtrlaydi. Kengaytirilgan va korporativ xavf profillari uchun Cloudflare Magic Transit va Spectrum xuddi shu filtrlashni HTTP boʻlmagan trafikka ham tatbiq etadi.

Chekkadagi amaliy qatlam (L7)

Har bir sayt oldida boshqariladigan chekka tarmoq (edge network) joylashgan. U hajmiy HTTP oqimlarini o‘ziga singdiradi, L7 WAF tizimini ishga tushiradi, har bir sayt uchun so‘rovlar tezligini cheklaydi hamda so‘rov manbaga yetib borishidan oldin haqiqiy tashrif buyuruvchilarni avtomatlashtirilgan trafikdan ajratish uchun botlarni boshqarish va boshqariladigan sinovlardan foydalanadi.

Server qatlami

LiteSpeed Enterprise har bir IP boʻyicha ulanish cheklovlari bilan ulanish va soʻrovlarni cheklashni qoʻllaydi, Imunify360 brute-force himoyasi va IP obroʻsini filtrlashga ega tarmoq xavfsizlik devorini boshqaradi, CloudLinux LVE kirish jarayoni cheklovlari esa bitta sayt bir vaqtning oʻzida qancha parallel soʻrovlarni ochiq saqlashi mumkinligini belgilaydi.

Sayt boʻyicha izolyatsiya

LVE har bir sayt uchun CPU, RAM, IO, IOPS, jarayonlar va kirish jarayonlarini alohida cheklaydi. Yuqori qatlamlardan oʻtib ketgan ortiqcha oqim maqsadli saytning oʻz qafasi ichida jilovlanadi, shuning uchun u hosil qilgan bosim butun server boʻylab tarqalmasdan, faqat oʻsha saytda qoladi.

Jilovlash asosiy maqsaddir

Hujum paytidagi xosting uzilishlarining aksariyati hujum oʻz nishoniga yetib borgani sababli yuz bermaydi. Bunga nishon tomonidan resurslarning sarflanishi serverdagi boshqa barcha narsalarni resurslarsiz qoldirishi sabab boʻladi. Ushbu arxitektura aynan mana shu xatolik rejimini bartaraf etish uchun ishlab chiqilgan.

Har bir sayt oʻzining CloudLinux LVE resurs qafasi ichida ishlaydi — hujumga uchragan sayt oʻzining yuqori chegarasida cheklanadi va qoʻshni saytlar oʻz limitlari kafolatlagan resurslarni saqlab qoladi.
CageFS har bir ijarachiga alohida fayl tizimi koʻrinishini beradi, shuning uchun bostirib kirishga urinishga aylanadigan hujum ijarachilar oʻrtasida tarqalmasdan, jilovlab qolinadi.
CloudLinux MySQL Governor har bir sayt boʻyicha maʼlumotlar bazasidan foydalanishni cheklaydi, shuning uchun keshlanmagan soʻrovlarni haddan tashqari yuklaydigan ilova darajasidagi oqim serverdagi boshqa barcha foydalanuvchilar uchun maʼlumotlar bazasi faoliyatini toʻxtatib qoʻya olmaydi.
Har bir sayt uchun LiteSpeed LSAPI ishchilari oʻsha saytning LVE cheklovlari bilan chegaralangan, shuning uchun soʻrovlar toshqini cheklanmagan PHP jarayonlarini vujudga keltira olmaydi.
Har bir IP uchun ulanish cheklovlari va LiteSpeed ulanishni cheklash funksiyasi sekin ulanish hamda ulanishlarni tugatishga qaratilgan hujumlarni ilova darajasida emas, veb-server darajasida zararsizlantiradi.

Kesh — aksariyat xostlar unutadigan amortizatordir

Bardosh berish eng arzon boʻlgan soʻrov — bu PHP yoki MySQL ga umuman yetib bormaydigan soʻrovdir. Bizning ikki qatlamli keshimiz ilova qatlami toshqinining katta qismiga asosiy serveringiz ish bajarmasdan, statik baytlar orqali javob berilishini taʼminlaydi.

LiteSpeed Enterprise'ning toʻliq sahifali keshi boʻlgan LSCache keshga olingan sahifalarni PHP yoki maʼlumotlar bazasini ishga tushirmasdan taqdim etadi — shuning uchun bir xil URL uchun takroriy soʻrovlar standart stakka qaraganda ancha kam xarajat talab qiladi.
Har bir sayt uchun Redis obyekt keshi haqiqatan ham dinamik bo‘lishi kerak bo‘lgan sahifalar uchun ma’lumotlar bazasini o‘qish yukini yengillashtiradi.
Cloudflare chekka keshlanishi soʻrovlarga tashrif buyuruvchining hududida javob beradi, shuning uchun toshqin trafigi bitta asosiy serverga jamlanish oʻrniga chekka tarmoq boʻylab taqsimlanadi.
Savat, toʻlov, mening hisobim, nonce va seans sahifalari standart boʻyicha keshdan chiqarib tashlanadi, shuning uchun yuklama ostida mustahkamlash hech qachon tranzaksiyani toʻxtatib qoʻymaydi.
Tozalash har ikkala qatlam boʻylab bitta boshqaruv elementidan muvofiqlashtiriladi, shuning uchun hodisa paytida kesh qamrovini oshirish keyinchalik sizda eskirgan sahifalar qolishiga olib kelmaydi.

Signaldan harakatga, avtomatik tarzda

Yumshatish bu qo‘llab-quvvatlash chiptasi emas. Signallar har birini majburiy choraga, mijoz bildirishnomasiga va — imkoni bor joyda — avtomatik tuzatishga moslashtiradigan siyosat tizimiga uzatiladi, bunda har bir o‘tish qayd etiladi.

Dinamik qat'iylashtirish

DDoS signali ishga tushganda, siyosat mexanizmi Cloudflare yumshatishini va har bir sayt uchun cheklovlarni qoʻllaydi hamda ushbu saytning LVE cheklovlarini dinamik ravishda kuchaytirishi mumkin. Signal bartaraf etilgach, cheklovlar yana yumshatiladi. Bosqichma-bosqich, qaytariladigan va har bir bosqichda qayd qilinadigan.

Cheklangan, oʻchirib qoʻyilmagan

Agar hujum manbaga xavf solsa, sayt 'cheklangan' holatga oʻtadi — qatʼiyroq LVE cheklovlari va soʻrovlar tezligini cheklash joriy etiladi, ammo sayt hamon ishchi holatda qoladi va xizmat koʻrsatadi. Bosim pasayishi bilanoq cheklangan holat avtomatik ravishda tiklanadi; bu toʻxtatib turish emas.

Asliy LVE avtomatik cheklovi

Siyosat mexanizmidan pastda, LVE har bir sayt uchun CPU, IO va jarayonlardan foydalanishni mahalliy hamda avtomatik tarzda cheklaydi. Bu trafik allaqachon hujum sifatida tasniflangan yoki yoʻqligidan qatʼi nazar ishlaydigan, har doim faol birinchi himoya chizigʻidir.

To'liq audit jurnali

Har bir ijro oʻzgarishi oʻz sababini, u avtomatik yoki xodimlar tomonidan boshlanganligini hamda uning ortidagi dalillarni qayd etadi. Sizga nima oʻzgarganligi va uni qanday hal qilish kerakligi haqida xabar beriladi hamda har bir harakat ustidan shikoyat qilish mumkin.

Nimalar kiritilgan va xavf ortganda siz nimani sotib olasiz

Boshlangʻich himoya ixtiyoriy emas, chunki hujumga uchragan yoki xavfsizligi buzilgan sayt oʻz qoʻshnilariga, serverlarimiz obroʻsiga va IP doiralarimizga xavf tugʻdiradi. Xavf darajasi talab qiladigan saytlar uchun kuchaytirilgan himoya mavjud.

Har bir tarifga kiritilgan: LVE va CageFS izolyatsiyasi, LiteSpeed ulanish va soʻrovlarni cheklash, brute-force himoyasi hamda IP nufuzini filtrlashga ega tarmoq xavfsizlik devori, proaktiv WAF va zararli dasturlarni tekshirish.
Qoʻshimchalar sifatida mavjud: kengaytirilgan bot boshqaruvi, yuqoriroq DDoS himoyasi darajalari, yaxshilangan WAF qoidalari, ustuvor skanerlash va maxsus xavfsizlik devori qoidalari.
Shuningdek, kerak boʻlganda qoʻshimcha xarid qilinadi: hujum maqsad emas, balki buzib kirishni yashirish uchun vosita boʻlgan holatlar uchun bir bosishda zararli dasturlarni tozalash va bartaraf etish.
Korxona va yuqori xavfli ish yuklamalari uchun Cloudflare Magic Transit yoki Spectrum orqali tarmoq darajasidagi ilgʻor yumshatish mavjud.

Haqiqatan ham butunlay boshqacha boʻlgan hujumlar

Trafikning keskin oshishi koʻpincha alomatdir. Katta oqimlarni boshqaradigan oʻsha signal uzatish tizimi ularni keltirib chiqaradigan buzilishlarni ham aniqlaydi, natijada hodisa shunchaki yutib yuborilmasdan, toʻgʻri tasniflanadi.

Biz xosting qiladigan har bir sayt har kuni zararli dasturlarga tekshiriladi va faol WAF asosiy zaiflik uchun tuzatish paydo boʻlishidan oldin maʼlum ekspluatatsiya usullarini bloklaydi — bu esa sayt boshqa birovning hujum vositasiga aylanish yoʻlidir.
Chiquvchi xatlar har bir sayt uchun miqdoriy cheklangan bo‘lib, hajmning keskin oshishi, qaytish ko‘rsatkichlari, qora ro‘yxatga tushishlar va shikoyat signallari doimiy nazorat qilinadi, shuning uchun spam yuborayotgan xavfsizligi buzilgan sayt qora ro‘yxatga kiritilgandan keyin emas, bir necha daqiqa ichida aniqlanadi.
Shubhali zararli dasturlar va fishing holatlari Google Safe Browsing, PhishTank hamda SURBL/APWG orqali qayta tekshiriladi va chora koʻrish toʻgʻrisida qaror qabul qilinishidan oldin skanerlash natijalari bilan oʻzaro bogʻlanadi.
Resurslardan noto‘g‘ri foydalanish va kripto-maynerlar har bir sayt uchun qayd etiladigan LVE CPU hamda IO xatolari sifatida namoyon bo‘ladi va bu qoidabuzarni avtomatik tarzda cheklaydi.
Har bir signal toʻrtta alohida vositaga emas, balki administrator konsolidagi bitta Qoidabuzarliklar boʻlimiga kelib tushadi — umumlashtirilgan, takrorlanishi bartaraf etilgan va ustuvorligi belgilangan holda.

Tez-tez soʻraladigan savollar

Agar serverimdagi boshqa saytga hujum qilinsa, mening saytimga nima boʻladi?

Dizayn maqsadi izolyatsiyalashdir. Har bir sayt cheklangan CPU, RAM, IO, IOPS, processes va entry-processes parametrlariga, oʻzining CageFS fayl tizimi koʻrinishiga hamda MySQL Governor orqali har bir sayt uchun maʼlumotlar bazasini cheklash imkoniyatiga ega boʻlgan oʻz CloudLinux LVE cage muhitida ishlaydi. Hujumga uchragan sayt butun mashina resurslarini sarflash oʻrniga oʻzining eng yuqori chegarasida cheklanadi hamda LiteSpeed har bir IP uchun ulanish cheklovlari uning veb-serverning qancha qismini egallashi mumkinligini chegaralaydi. Izolyatsiyalash har bir mijoz uchun alohida sozlanmaydi, balki yadro darajasida ishlab chiqilgan.

DDoS himoyasi kiritilganmi yoki u qoʻshimcha xizmatmi?

Asosiy himoya har bir rejaga kiritilgan: serverlar parki oldida LVE va CageFS izolyatsiyasi, LiteSpeed ulanish va so‘rovlarni cheklash, tarmoq xavfsizlik devori, proaktiv WAF va zararli dasturlarni skanerlash, shuningdek Cloudflare chekka yutish va provayder darajasidagi tarmoq filtrlash mavjud. Biz buni o‘z parkimiz himoyasini ixtiyoriy qoldira olmasligimiz sababli kiritamiz. Botlarni kengaytirilgan boshqarish, DDoSning yuqoriroq darajalari, takomillashtirilgan WAF qoidalari va maxsus xavfsizlik devori qoidalari ularga ehtiyoj sezadigan saytlar uchun qo‘shimcha xizmatlardir.

Saytim hujumga uchrasa, uni oflayn qilib qo‘yasizmi?

DDoS nishoniga aylanish Cloudflare yumshatishi hamda har bir sayt uchun soʻrovlar tezligini cheklashni, shuningdek — faqat hujum manbaga tahdid solayotgan taqdirdagina — 'throttled' holatini anglatadi: sayt ishlab turgan va xizmat koʻrsatayotgan holda yanada qatʼiyroq LVE cheklovlari qoʻllanadi. Bosim pasayishi bilanoq throttled holati avtomatik ravishda tiklanadi. Toʻxtatib qoʻyish faqat toʻlov qilinmagan yoki tasdiqlangan suiisteʼmollar holatida amalga oshiriladi va hatto oʻshanda ham sayt ishlamay qolgan sahifa oʻrniga brendlangan, sababi koʻrsatilgan ushlab turish sahifasini taqdim etadi.

Ilova qatlamidagi toshqin hali ham maʼlumotlar bazamga yetib boradimi?

Keshdan taqdim etiladigan hech bir narsa uchun emas. LSCache PHP yoki MySQL'ni ishga tushirmasdan keshlangan sahifa soʻrovlariga javob beradi va har bir sayt uchun Redis obʼyekt keshi haqiqatan ham dinamik sahifalar uchun oʻqish yuklamasini kamaytiradi. Qolgan narsalar saytingizning LVE jarayoni va kirish jarayoni cheklovlari hamda MySQL Governor'ning har bir sayt uchun maʼlumotlar bazasini cheklashi bilan chegaralangan, shuning uchun bitta saytdan keladigan maʼlumotlar bazasi bosimi serverga tarqala olmaydi. Savat, toʻlov, mening hisobim va sessiya sahifalari odatda kesVariableshlanmagan holda qoladi, shuning uchun xavfsizlikni kuchaytirish hech qachon tranzaksiyani toʻxtatmaydi.

HTTP bo'lmagan trafikni himoya qila olasizmi?

Ha, tarmoq qatlamida. Provayder darajasidagi DDoS himoyasi protokoldan qatʼi nazar, infratuzilmamizga yetib kelmasdan oldin L3/4 toshqinlarini filtrlaydi hamda ilgʻor yoki korporativ talablar uchun Cloudflare Magic Transit va Spectrum chekka darajasidagi xavfni kamaytirish choralarini HTTP boʻlmagan trafikka ham tatbiq etadi.

Hujum sodir boʻlganini va unga qarshi qanday chora koʻrganingizni qanday bilsam boʻladi?

Har bir ijro oʻzgarishi uning sababi, avtomatik yoki xodimlar tomonidan boshlangani va uning ortidagi dalillar bilan birga qayd etiladi. Sizga nima oʻzgargani va uni nima hal qilishi haqida xabar beriladi, har bir harakat ustidan shikoyat qilish mumkin va imtiyozli harakatlar sizning shaxsiy muvofiqlik monitoringingiz uchun audit jurnaliga kiritiladi. Signallar turli vositalar boʻylab tarqalmasdan, yagona Suiisteʼmolliklar stolida jamlanadi.

Toʻlovni amalga oshirishdan oldin buni sinab koʻrsam boʻladimi?

Ha. Footprint-Free xostingi 5 tagacha saytni oʻz ichiga olgan karta talab qilinmaydigan 14 kunlik sinov muddati bilan boshlanadi — toʻlov maʼlumotlari yoʻq, majburiyatlar yoʻq. Tariflar 30 kunlik soʻzsiz pulni qaytarish kafolati, bepul koʻchirishlar va bitta sotuvchiga bogʻlanib qolmaslik bilan taʼminlangan.

Tegishli

Trafik yetib kelganda allaqachon faol bo'lgan himoya

Tarmoqni filtrlash, chekkada yutish, server tezligini cheklash va har bir saytni ajratib saqlash siz tizimni joylashtirgan lahzadan boshlab ishlaydi — hech narsani sozlash shart emas, hodisa yuz berganda hech narsani yoqish talab etilmaydi. Karta talab qilinmaydigan 14 kunlik sinov muddati bilan boshlang, unga 30 kunlik pulni qaytarib berish kafolati va bepul koʻchirish xizmatlari ilova qilinadi.

Bepul boshlang