Bảo vệ DDoS
Lưu lượng lớn được hấp thụ ở biên, các cuộc tấn công ở tầng mạng được lọc ở thượng nguồn, và bất kỳ thứ gì đến được máy chủ đều được cô lập bên trong vùng cách ly ở cấp độ nhân của chính trang web mục tiêu. Nhiều lớp, mỗi lớp đảm nhận một nhiệm vụ khác nhau, nhờ đó một cuộc tấn công nhắm vào trang web này sẽ không biến thành sự cố ngừng hoạt động cho các trang web bên cạnh. Đây là mô hình phòng thủ mà chúng tôi đã xây dựng cho một nền tảng lưu trữ hơn 650.000 trang web trên toàn thế giới và tính năng cơ bản này được áp dụng cho mọi gói dịch vụ. Tính khả dụng: tính năng điều tiết cơ sở dữ liệu cho từng trang web đang trong quá trình phát triển tích cực và chưa khả dụng. Mọi thứ khác được mô tả ở đây đều đã có hiệu lực ngay hôm nay.
Một cuộc tấn công lũ lụt lưu lượng, một cuộc tấn công ứng dụng L7 và một cuộc tấn công cạn kiệt kết nối chậm là ba vấn đề khác nhau. Chúng tôi xử lý từng vấn đề ở nơi có chi phí thấp nhất và tốc độ nhanh nhất — ở thượng nguồn của hệ thống, tại biên và bên trong vùng đệm.
Tính năng bảo vệ DDoS cấp nhà cung cấp lọc các đợt tấn công ngập lụt ở tầng mạng ở phía trước hệ thống worker của chúng tôi, trước khi lưu lượng truy cập đó kịp tiêu thụ một cổng, một card mạng (NIC) hoặc một chu kỳ CPU trên máy chủ chạy trang web của bạn. Đối với các cấu hình rủi ro nâng cao và doanh nghiệp, Cloudflare Magic Transit và Spectrum mở rộng cùng một bộ lọc này sang lưu lượng truy cập phi HTTP.
Một mạng biên được quản lý nằm phía trước mọi trang web. Nó hấp thụ các cuộc tấn công lũ lụt HTTP thể tích, chạy WAF lớp 7, áp dụng giới hạn tốc độ cho từng trang web, đồng thời sử dụng tính năng quản lý bot và thử thách được quản lý để tách biệt khách truy cập thực khỏi lưu lượng truy cập tự động — tất cả đều diễn ra trước khi yêu cầu đến được máy chủ gốc.
LiteSpeed Enterprise áp dụng tính năng điều tiết kết nối và yêu cầu với giới hạn kết nối trên mỗi IP, Imunify360 chạy một tường lửa mạng với tính năng bảo vệ chống tấn công dò mật khẩu (brute-force) và lọc danh tiếng IP, còn các giới hạn tiến trình đầu vào CloudLinux LVE sẽ chặn số lượng yêu cầu đồng thời tối đa mà một trang web duy nhất có thể giữ mở.
LVE giới hạn CPU, RAM, IO, IOPS, tiến trình và tiến trình nhập cho từng trang web riêng lẻ. Một lượng truy cập đột biến vượt qua các lớp phía trên sẽ được điều tiết bên trong chính "khung" của trang web mục tiêu, do đó áp lực mà nó tạo ra sẽ giữ lại ở trang web đó thay vì lan rộng ra toàn bộ máy chủ.
Hầu hết các sự cố gián đoạn lưu trữ trong một cuộc tấn công không phải do cuộc tấn công nhắm trúng mục tiêu. Chúng là do mức tiêu thụ tài nguyên của mục tiêu làm cạn kiệt mọi thứ khác trên máy chủ. Đó là chế độ lỗi mà kiến trúc này được thiết kế để loại bỏ.
Yêu cầu rẻ nhất để tồn tại là yêu cầu không bao giờ chạm đến PHP hay MySQL. Hệ thống bộ nhớ đệm hai lớp của chúng tôi đồng nghĩa với việc phần lớn lưu lượng truy cập dồn dập vào tầng ứng dụng sẽ được xử lý bằng các byte tĩnh thay vì để máy chủ gốc của bạn phải xử lý.
Việc giảm nhẹ không phải là một phiếu hỗ trợ. Các tín hiệu cung cấp cho một công cụ chính sách nhằm vạch bản đồ từng tín hiệu thành một hành động thực thi, một thông báo cho khách hàng và — nếu có thể — một biện pháp khắc phục tự động, với mọi chuyển đổi được ghi lại.
Khi tín hiệu DDoS xuất hiện, công cụ chính sách sẽ áp dụng cơ chế giảm thiểu của Cloudflare và giới hạn tốc độ theo từng trang web, đồng thời có thể thắt chặt linh hoạt các giới hạn LVE của trang web đó. Khi tín hiệu biến mất, các giới hạn sẽ nới lỏng trở lại. Được phân tầng, có thể đảo ngược và được ghi nhật ký ở mọi bước.
Nếu một cuộc tấn công đang đe dọa nguồn, trang web sẽ chuyển sang trạng thái 'bị hạn chế' (throttled) — giới hạn LVE và giới hạn tốc độ nghiêm ngặt hơn, trong khi trang web vẫn hoạt động và phục vụ. Trạng thái bị hạn chế sẽ tự động phục hồi sau khi áp lực giảm bớt; đây không phải là việc đình chỉ.
Dưới chính sách, LVE điều tiết mức sử dụng CPU, IO và tiến trình cho từng trang web một cách tự động và trực tiếp. Đây là tuyến phòng thủ đầu tiên luôn hoạt động, chạy bất kể lưu lượng truy cập đã được phân loại là tấn công hay chưa.
Mỗi lần chuyển đổi biện pháp cưỡng chế đều ghi lại lý do, liệu điều đó là tự động hay do nhân viên khởi xướng, cùng với bằng chứng đằng sau. Bạn sẽ được thông báo về những gì đã thay đổi và cách giải quyết, đồng thời mọi hành động đều có thể kháng cáo.
Bảo vệ cơ bản là bắt buộc, bởi vì một trang web bị tấn công hoặc xâm phạm sẽ đe dọa các trang web lân cận, danh tiếng máy chủ của chúng tôi và dải IP của chúng tôi. Các mức độ bảo vệ mạnh mẽ hơn áp dụng cho các trang web có hồ sơ rủi ro đòi hỏi điều đó.
Một sự bùng nổ lưu lượng truy cập thường là một triệu chứng. Cùng một đường ống tín hiệu xử lý các đợt lưu lượng lớn cũng đồng thời phát hiện các hành vi thỏa hiệp tạo ra chúng, nhờ đó một sự cố được phân loại chính xác thay vì chỉ bị hấp thụ.
Mục tiêu thiết kế là sự cô lập. Mỗi trang web chạy bên trong lồng CloudLinux LVE của riêng mình với các giới hạn về CPU, RAM, IO, IOPS, tiến trình và tiến trình nhập, chế độ xem hệ thống tệp CageFS riêng, và tính năng điều tiết cơ sở dữ liệu trên mỗi trang web thông qua MySQL Governor. Một trang web bị tấn công sẽ bị điều tiết ở mức trần của chính nó thay vì tiêu thụ toàn bộ máy chủ, và các giới hạn kết nối theo IP của LiteSpeed sẽ giới hạn mức độ chiếm dụng máy chủ web của nó. Việc cô lập được thiết kế ở cấp độ nhân hệ điều hành, không phải cấu hình theo từng khách hàng.
Hệ thống bảo vệ cơ bản được tích hợp trên mọi gói dịch vụ: cô lập LVE và CageFS, giới hạn kết nối và yêu cầu của LiteSpeed, tường lửa mạng, WAF chủ động và quét phần mềm độc hại, kết hợp với tính năng hấp thụ biên của Cloudflare và lọc mạng cấp nhà cung cấp đặt trước toàn bộ hệ thống. Chúng tôi tích hợp sẵn tính năng này vì không thể để việc bảo vệ hệ thống của chính mình trở thành một tùy chọn. Quản lý bot nâng cao, các tầng DDoS cao hơn, các quy tắc WAF nâng cao và quy tắc tường lửa chuyên dụng là các tiện ích bổ sung dành cho các trang web có nhu cầu sử dụng.
Việc là mục tiêu DDoS đồng nghĩa với việc áp dụng cơ chế giảm thiểu của Cloudflare cộng với giới hạn tốc độ theo từng trang web, và — chỉ khi cuộc tấn công đe dọa máy chủ gốc — trạng thái 'bị điều tiết' (throttled): giới hạn LVE khắt khe hơn nhưng trang web vẫn hoạt động và phục hồi. Trạng thái bị điều tiết sẽ tự động phục hồi ngay khi áp lực giảm bớt. Việc đình chỉ chỉ dành cho trường hợp không thanh toán hoặc lạm dụng đã được xác nhận, và ngay cả khi đó, trang web vẫn hiển thị một trang chờ có thương hiệu và nêu rõ lý do thay vì một trang bị lỗi.
Không áp dụng cho bất kỳ nội dung nào được phục vụ từ bộ nhớ đệm. LSCache trả về các yêu cầu trang đã được lưu bộ nhớ đệm mà không cần gọi PHP hoặc MySQL, và bộ nhớ đệm đối tượng Redis theo từng trang web sẽ giảm bớt tải đọc cho các trang có tính động thực sự. Phần còn lại bị giới hạn bởi các giới hạn tiến trình LVE và tiến trình truy cập của trang web bạn, cũng như tính năng điều tiết cơ sở dữ liệu theo từng trang web của MySQL Governor, do đó áp lực cơ sở dữ liệu từ một trang web không thể lan sang máy chủ. Các trang giỏ hàng, thanh toán, tài khoản của tôi và phiên làm việc được giữ nguyên trạng thái không lưu bộ nhớ đệm theo mặc định để quá trình bảo mật không bao giờ làm gián đoạn giao dịch.
Có, ở lớp mạng. Khảo sát bảo vệ DDoS cấp nhà cung cấp lọc các lưu lượng lũ lụt L3/4 ở thượng nguồn của hệ thống của chúng tôi bất kể giao thức nào, và đối với các yêu cầu nâng cao hoặc doanh nghiệp, Cloudflare Magic Transit và Spectrum mở rộng khả năng giảm thiểu cấp độ biên sang lưu lượng không phải HTTP.
Mọi chuyển đổi thực thi đều được ghi nhật ký kèm theo lý do, cho dù là tự động hay do nhân viên khởi xướng, cùng với bằng chứng đằng sau đó. Bạn được thông báo về những gì đã thay đổi và cách khắc phục, mọi hành động đều có thể kháng cáo, và các hành động đặc quyền được ghi nhật ký kiểm toán phục vụ cho lộ trình tuân thủ của riêng bạn. Các tín hiệu được tổng hợp trong một Trung tâm Xử lý Lạm dụng duy nhất thay vì nằm rải rác trên các công cụ.
Có. Hosting Footprint-Free bắt đầu với bản dùng thử 14 ngày không cần thẻ, hỗ trợ tối đa 5 trang web — không cần thông tin thanh toán, không cam kết. Các gói dịch vụ đi kèm chính sách hoàn tiền trong 30 ngày không cần giải thích, di chuyển miễn phí và không bị ràng buộc nhà cung cấp.
Lọc mạng, hấp thụ ở biên, điều tiết máy chủ và cô lập theo từng trang web hoạt động ngay từ khoảnh khắc bạn triển khai — không cần cấu hình, không cần bật thủ công giữa lúc sự cố. Bắt đầu dùng thử 14 ngày không cần thẻ, được bảo đảm bằng chính sách hoàn tiền trong 30 ngày và di chuyển miễn phí.
Dùng thử miễn phí