DDoS-bescherming voor een VPS: capaciteit, toepassingsregels en herstel

Een overbelast netwerkpad, een uitgeputte verbindingstabel en een dure applicatiequery vereisen verschillende maatregelen. Verzamel netwerktellers, verzoekfrequenties en reactietijden. Het eerste symptoom is bewijs om te onderzoeken, niet het bewijs van één aanvalstype.

Serverpoortsnelheid, periodieke overdrachtslimiet en mitigatiecapaciteit zijn verschillende specificaties. De mitigatiewaarden van de voorbereide catalogus variëren van 10 tot 400 Gbps per plan. Geen daarvan verandert de CPU-tijd die nodig is om een kostbaar verzoek te beantwoorden.

Umbra 1 vermeldt een serverpoort van 1 Gbps, 1 TB maandelijks verkeer en een mitigatiespecificatie van 10 Gbps. Het eerste beschrijft de verbinding, het tweede een periodevergoeding en het derde een voorgestelde filterenvelop. Geen daarvan betekent dat de applicatie 10 Gbps nuttige verzoeken kan beantwoorden. Filtergedrag en toegestaan verkeer moeten op het lanceernetwerk worden gevalideerd.

Het voorbereide ontwerp detecteert verkeersanomalieën, leidt aanvallen naar filtering en retourneert toegestaan verkeer. Het beoogde activeringsdoel is onder 60 seconden, maar live routing en upstream-besturing moeten worden getest voordat dit een belofte wordt. Vraag wat er gebeurt buiten de inbegrepen envelop en hoe legitiem verkeer wordt hersteld.

Cache geschikte antwoorden, beperk het aantal verzoeken naar dure paden en beveilig administratieve toegang. Een WAF of reverse proxy moet als afzonderlijke laag worden geconfigureerd en onderhouden. Beperk de webtoegang tot de origin tot vertrouwde proxyservers als dat deel uitmaakt van het ontwerp, zonder de herstelroute te sluiten.

Wijs toe wie regels kan wijzigen, welk bewijs in een ticket hoort en hoe gebruikers de status leren kennen. Test waarschuwingslevering en de vervangende route. Een werkende back-up en een nuchter incidentverslag zijn nuttig, zelfs wanneer het incident een applicatiefout blijkt te zijn.

L3/L4-incidenten kunnen UDP-amplificatie via DNS, NTP of memcached omvatten, of TCP SYN-floods die verbindingsstatus onder druk zetten. L7-incidenten richten zich op applicatiewerk, zoals herhaalde zoekopdrachten of loginpogingen. Vergelijk bits per seconde, pakketten per seconde en aanvragen per seconde afzonderlijk. Een edgefilter, een verbindingsbeheer en een applicatieregel lossen verschillende delen van het probleem op.

• Sluit onnodige openbare UDP-diensten of beperk ze en houd toegang tot de oorsprong bewust.
• Een geografisch gedistribueerd anycast-ontwerp vereist route-intrekking, statusafhandeling en failovertests; het wordt niet vastgesteld door een mitigatiecapaciteitscijfer.

Een challenge, CAPTCHA of proof-of-work-gate kan frictie toevoegen aan verdachte verzoeken. Het kan ook legitieme bezoekers, geautomatiseerde clients en toegankelijkheid beïnvloeden, dus pas het toe op geschikte endpoints en meet het resultaat. Een langzame reactie of tarpit bezet ook resources; test de kosten voordat u aanneemt dat het goedkoper is dan het verzoek afwijzen.

• Houd een toegankelijke herstel- of supportroute aan wanneer een uitdaging de toegang belemmert.
• Verzoeklimieten, caching en applicatie-oplossingen blijven nuttig, zelfs wanneer een challenge is ingeschakeld.