Bảo vệ chống DDoS
Lưu lượng truy cập ồ ạt được hấp thụ tại biên mạng, các cuộc tấn công tầng mạng được lọc từ thượng nguồn, và bất kỳ thứ gì tiếp cận máy chủ đều được cô lập bên trong lồng bảo vệ cấp kernel của chính trang web mục tiêu. Nhiều lớp bảo vệ, mỗi lớp đảm nhiệm một nhiệm vụ khác nhau, nhằm đảm bảo một cuộc tấn công nhắm vào một trang web sẽ không gây gián đoạn hoạt động cho các trang bên cạnh. Đây là mô hình phòng thủ chúng tôi xây dựng cho nền tảng đang lưu trữ hơn 700.000 trang web trên toàn thế giới, và cấu hình cơ bản này được áp dụng cho mọi gói dịch vụ. Khả năng cung cấp: tính năng điều tiết cơ sở dữ liệu theo từng trang web đang trong quá trình tích cực phát triển và hiện chưa khả dụng. Mọi tính năng khác được mô tả ở đây đều đã hoạt động ngay hôm nay.
Một cuộc tấn công tràn lưu lượng (volumetric flood), tràn ứng dụng tầng L7 và tấn công làm cạn kiệt kết nối chậm là ba vấn đề khác nhau. Chúng tôi xử lý từng vấn đề tại nơi tiết kiệm chi phí và nhanh nhất — ở thượng nguồn của hệ thống máy chủ, tại vùng biên và bên trong lồng tủ.
Tính năng bảo vệ chống DDoS ở cấp nhà cung cấp lọc các luồng tấn công tầng mạng ở thượng nguồn của cụm worker, trước khi lưu lượng đó kịp tiêu tốn cổng, NIC hoặc chu kỳ CPU trên máy chủ chạy trang web của bạn. Đối với hồ sơ rủi ro nâng cao và doanh nghiệp, Cloudflare Magic Transit và Spectrum mở rộng cơ chế lọc tương tự cho lưu lượng phi HTTP.
Mạng biên được quản lý hoạt động phía trước mỗi trang web. Mạng này giúp giảm thiểu các cuộc tấn công lưu lượng HTTP lớn, vận hành tường lửa L7 WAF, áp dụng giới hạn tốc độ cho từng trang web, đồng thời sử dụng tính năng quản lý bot và thử thách được quản lý để phân tách khách truy cập thực với lưu lượng tự động — tất cả đều diễn ra trước khi yêu cầu đến được máy chủ gốc.
LiteSpeed Enterprise áp dụng điều tiết kết nối và yêu cầu với giới hạn kết nối trên mỗi IP, Imunify360 vận hành tường lửa mạng với tính năng bảo vệ chống tấn công brute-force cùng tính năng lọc danh tiếng IP, và giới hạn quy trình đầu vào của CloudLinux LVE kiểm soát số lượng yêu cầu đồng thời tối đa mà một trang web có thể mở.
LVE giới hạn CPU, RAM, IO, IOPS, các tiến trình và tiến trình nhập cảnh riêng biệt cho từng trang web. Lưu lượng quá tải vượt qua được các tầng trên sẽ bị kìm hãm bên trong không gian cô lập của chính trang web mục tiêu, do đó áp lực tạo ra sẽ chỉ giới hạn ở trang web đó chứ không lan ra toàn bộ máy chủ.
Hầu hết các sự cố ngừng hoạt động dịch vụ lưu trữ trong một cuộc tấn công không phải do cuộc tấn công tiếp cận được mục tiêu. Chúng xảy ra do việc tiêu thụ tài nguyên của mục tiêu làm cạn kiệt mọi thứ khác trên máy chủ. Đó là lỗi mà kiến trúc này được thiết kế để loại bỏ.
Yêu cầu tiết kiệm chi phí xử lý nhất là yêu cầu không bao giờ chạm đến PHP hoặc MySQL. Bộ nhớ đệm hai lớp của chúng tôi đồng nghĩa với việc phần lớn lưu lượng truy cập dồn dập ở tầng ứng dụng sẽ được phản hồi bằng các byte tĩnh thay vì để máy chủ gốc của quý khách phải xử lý.
Giảm thiểu không phải là một phiếu hỗ trợ. Các tín hiệu sẽ cung cấp dữ liệu cho một công cụ chính sách nhằm liên kết từng tín hiệu với một hành động thực thi, một thông báo cho khách hàng và — nếu có thể — một biện pháp khắc phục tự động, với mọi chuyển tiếp đều được ghi nhật ký.
Khi tín hiệu DDoS kích hoạt, công cụ chính sách sẽ áp dụng biện pháp giảm thiểu của Cloudflare và giới hạn tốc độ cho từng trang web, đồng thời có thể thắt chặt các giới hạn LVE của trang web đó một cách linh hoạt. Khi tín hiệu kết thúc, các giới hạn sẽ được nới lỏng trở lại. Theo từng cấp độ, có thể đảo ngược và được ghi nhật ký ở mỗi bước.
Nếu một cuộc tấn công đe dọa máy chủ gốc, trang web sẽ chuyển sang trạng thái 'bị điều tiết' (throttled) — áp dụng các giới hạn LVE nghiêm ngặt hơn và giới hạn tốc độ truy cập, trong khi trang web vẫn hoạt động và phục vụ bình thường. Trạng thái điều tiết sẽ tự động khôi phục khi áp lực giảm bớt; đây không phải là lệnh tạm ngưng.
Bên dưới công cụ chính sách, LVE điều tiết việc sử dụng CPU, IO và tiến trình cho từng trang web một cách tự nhiên và tự động. Đây là tuyến đầu tiên luôn hoạt động, vận hành bất kể lưu lượng truy cập đã được phân loại là một cuộc tấn công hay chưa.
Mỗi lần chuyển đổi thực thi đều ghi lại lý do, liệu hành động đó là tự động hay do nhân viên khởi xướng, và bằng chứng liên quan. Quý khách sẽ được thông báo về những gì đã thay đổi và cách giải quyết, đồng thời mọi hành động đều có thể khiếu nại.
Tính năng bảo vệ cơ bản không phải là tùy chọn, vì một trang web bị tấn công hoặc bị xâm nhập sẽ đe dọa đến các trang lân cận, danh tiếng máy chủ và dải IP của chúng tôi. Chúng tôi có các biện pháp bảo vệ nghiêm ngặt hơn cho những trang web có hồ sơ rủi ro yêu cầu điều đó.
Lưu lượng truy cập tăng đột biến thường là một triệu chứng. Cùng một đường truyền tín hiệu xử lý lưu lượng quá tải cũng phát hiện các lỗ hổng bảo mật tạo ra chúng, nhờ đó sự cố được phân loại chính xác thay vì chỉ được hấp thụ.
Mục tiêu thiết kế là sự cô lập. Mỗi trang web đều chạy bên trong CloudLinux LVE cage riêng với CPU, RAM, IO, IOPS, processes và entry-processes bị giới hạn, chế độ xem hệ thống tệp CageFS riêng, cùng tính năng điều tiết cơ sở dữ liệu trên từng trang web thông qua MySQL Governor. Một trang web bị tấn công sẽ bị điều tiết ở mức trần riêng thay vì tiêu tốn toàn bộ tài nguyên máy chủ, và giới hạn kết nối trên mỗi IP của LiteSpeed sẽ ràng buộc mức tài nguyên máy chủ web mà trang đó có thể chiếm giữ. Sự cô lập được thiết kế kỹ thuật ở cấp độ kernel, không phải cấu hình riêng cho từng khách hàng.
Cơ sở này được bao gồm trong mọi gói: cách ly LVE và CageFS, điều tiết kết nối và yêu cầu của LiteSpeed, tường lửa mạng, WAF chủ động và quét phần mềm độc hại, cùng khả năng hấp thụ biên của Cloudflare và lọc mạng cấp nhà cung cấp ở phía trước toàn bộ hệ thống máy chủ. Chúng tôi đưa nó vào vì chúng tôi không thể để việc bảo vệ hệ thống máy chủ của chính mình là tùy chọn. Quản lý bot nâng cao, các cấp DDoS cao hơn, quy tắc WAF nâng cao và quy tắc tường lửa chuyên dụng là các tiện ích bổ sung cho các trang web cần đến chúng.
Trở thành mục tiêu DDoS đồng nghĩa với việc áp dụng biện pháp giảm thiểu của Cloudflare cùng với giới hạn tần suất cho từng trang web, và — chỉ khi cuộc tấn công đe dọa đến máy chủ gốc — chuyển sang trạng thái 'throttled': các giới hạn LVE nghiêm ngặt hơn trong khi trang web vẫn hoạt động và phục vụ bình thường. Trạng thái throttled sẽ tự động phục hồi sau khi áp lực qua đi. Việc đình chỉ chỉ dành riêng cho trường hợp không thanh toán hoặc hành vi lạm dụng đã được xác nhận, và ngay cả khi đó, trang web vẫn sẽ hiển thị một trang tạm giữ có thương hiệu, nêu rõ lý do cụ thể thay vì một trang bị lỗi.
Không áp dụng cho bất kỳ nội dung nào được phân phát từ bộ nhớ đệm. LSCache phản hồi các yêu cầu trang được lưu trong bộ nhớ đệm mà không cần gọi PHP hoặc MySQL, và bộ nhớ đệm đối tượng Redis theo từng trang web sẽ giảm tải các thao tác đọc cho các trang thực sự động. Những gì còn lại bị giới hạn bởi quy trình LVE và giới hạn quy trình nhập của trang web của quý khách cũng như việc điều tiết cơ sở dữ liệu theo từng trang web của MySQL Governor, do đó áp lực cơ sở dữ liệu từ một trang web không thể tràn sang máy chủ. Các trang giỏ hàng, thanh toán, tài khoản của tôi và phiên được mặc định không lưu vào bộ nhớ đệm để việc tăng cường bảo mật không bao giờ làm gián đoạn giao dịch.
Có, ở tầng mạng. Tính năng bảo vệ DDoS cấp độ nhà cung cấp sẽ lọc các đợt bùng nổ lưu lượng L3/4 ở thượng nguồn của hệ thống máy chủ chúng tôi bất kể giao thức nào, và đối với các yêu cầu nâng cao hoặc cấp doanh nghiệp, Cloudflare Magic Transit và Spectrum sẽ mở rộng khả năng giảm thiểu cấp độ biên cho lưu lượng không phải HTTP.
Mọi thay đổi thực thi đều được ghi nhật ký cùng với lý do, cho dù đó là tự động hay do nhân viên khởi xướng, và bằng chứng liên quan. Quý vị sẽ được thông báo về những gì đã thay đổi và những gì giải quyết được vấn đề đó, mọi hành động đều có thể khiếu nại, và các hành động đặc quyền được ghi nhật ký kiểm toán cho lộ trình tuân thủ của riêng quý vị. Các tín hiệu được tổng hợp tại một Bàn xử lý lạm dụng duy nhất thay vì nằm rải rác trên nhiều công cụ.
Có. Dịch vụ lưu trữ Footprint-Free bắt đầu với bản dùng thử 14 ngày không cần thẻ áp dụng cho tối đa 5 trang web — không cần thông tin thanh toán, không ràng buộc. Các gói dịch vụ được hỗ trợ bởi chính sách đảm bảo hoàn tiền vô điều kiện trong 30 ngày, chuyển dữ liệu miễn phí và không bị ràng buộc bởi nhà cung cấp.
Tính năng lọc mạng, hấp thụ tại biên, điều tiết máy chủ và ngăn chặn theo từng trang web sẽ hoạt động ngay từ thời điểm quý khách triển khai — không cần định cấu hình, không cần bật bất kỳ thứ gì khi xảy ra sự cố. Hãy bắt đầu với bản dùng thử 14 ngày không cần thẻ, được đảm bảo bằng chính sách hoàn tiền trong 30 ngày và dịch vụ di chuyển miễn phí.
Bắt đầu miễn phí