حفاظت DDoS چیست؟

• Volumetric (سیل‌های L3/L4). اشباع raw پهنای باند: سیل‌های UDP، تقویت DNS/NTP، کلاسیک‌های botnet به سبک Mirai. بر حسب gigabit سنجیده می‌شود — حملات مدرن به طور معمول از ۱۰۰ Gbps فراتر می‌روند، بسیار فراتر از uplink هر سرور واحدی. فقط ظرفیت scrubbing upstream به این پاسخ می‌دهد.
• حملات پروتکل. اتمام connection-state به جای پهنای باند: سیل‌های SYN، ترفندهای fragmented-packet، اتمام جدول اتصال. از نظر حجم کوچک‌تر، کشنده‌تر per packet؛ توسط stateful inspection در لبه فیلتر می‌شود.
• لایه اپلیکیشن (L7). سیل‌هایی از درخواست‌های HTTP مشروع به نظر می‌رسنده که به endpoint‌های گران نشانه می‌روند — صفحات جستجو، فرم‌های ورود، فراخوانی‌های API. سخت‌ترین برای فیلتر کردن عمومی چون هر درخواست شبیه یک کاربر واقعی است؛ توسط rate-limiting، challenge‌ها و caching در لبه اپلیکیشن کاهش می‌یابد.

یک پشته حفاظت واقعی به هر سه رسیدگی می‌کند؛ «DDoS protected» که فقط به معنای یک ACL روتر است به هیچ‌کدام نمی‌رسد.

خط لوله شناسایی → انحراف → scrubbing → تزریق مجدد است. تله‌متری جریان (NetFlow/sFlow) هر IP مشتری را برای ناهنجاری‌ها زیر نظر دارد — یک baseline ترافیک که ناگهان چند برابر می‌شود، یک ترکیب پروتکل که با یک امضای حمله شناخته‌شده مطابقت دارد. ظرف چند ثانیه، prefix هدف به ظرفیت scrubbing منحرف می‌شود: سخت‌افزار فیلترینگ که منابع جعلی را drop می‌کند، جریان‌ها را rate-limit می‌کند، رفتار پروتکل را اعتبارسنجی می‌کند و آنچه باقی می‌ماند را رد می‌کند. ترافیک تمیز به سمت سرور شما دوباره وارد شبکه می‌شود، که اغلب هیچ چیزی متوجه نمی‌شود. دو رقم مهم زمان-تا-کاهش (ثانیه در مقابل دقیقه تعیین می‌کند آیا بازیکنان/کاربران اصلاً متوجه می‌شوند) و headroom scrubbing هستند (یک scrubber ۱۰ Gbps در مقابل یک سیل ۴۰۰ Gbps تزئین است). «Always-on» یعنی ترافیک به طور دائم به صورت inline تجزیه‌وتحلیل می‌شود نه اینکه فقط بعد از آسیب منحرف شود؛ برای workload‌های مستعد حمله این تفاوت محصول است.

حفاظت شامل‌شده (از جمله ما) لایه‌های شبکه را پوشش می‌دهد: جذب volumetric و فیلترینگ پروتکل تا مقیاس چند صد gigabit، always-on، بدون هزینه اضافی، در هر مکان. آنچه هیچ فیلتر سطح شبکه‌ای نمی‌تواند به طور کامل پوشش دهد کارایی اپلیکیشن خودتان است: اگر یک درخواست HTTP ارزان باعث شود اپلیکیشن شما یک query پنج ثانیه‌ای پایگاه داده اجرا کند، یک مهاجم فقط به چند صد درخواست در ثانیه — غیرقابل تمایز از کاربران — نیاز دارد تا به شما آسیب برساند. مقاومت L7 کار مشترک است: میزبان سیل‌ها را فیلتر می‌کند؛ شما به طور تهاجمی cache می‌کنید، endpoint‌های گران را rate-limit می‌کنید، و (اگر صفحات challenge می‌خواهید) با یک CDN جلو می‌روید. میزبان‌های صادق این را می‌گویند؛ از هر کسی که «unhackable» وعده می‌دهد مراقب باشید.

یک الگوی زشت در میزبانی اصلی وجود دارد: مورد حمله قرار گرفتن، تعلیق شدن. سیاست واقعی DDoS بسیاری از ارائه‌دهندگان بودجه‌ای null-route کردن قربانی است — IP شما تا زمانی که حمله متوقف شود تاریک می‌شود، که یعنی مهاجم فوراً و مکرراً برنده می‌شود. شبکه‌هایی با کاهش جدی و فرهنگ عدم مجازات قربانیان به طور نامتناسب در گوشه آفشور/DDoS-tolerant بازار یافت می‌شوند — رومانی دقیقاً برای همین مشهور است. سیاست ما سالم است: مورد حمله قرار گرفتن یک نقض نیست، کاهش به طور خودکار درگیر می‌شود، و هیچ‌کس برای قربانی بودن null-route نمی‌شود. (البته راه‌اندازی حملات در طرف دیگر AUP قرار دارد.)