Защита DDoS для VPS: ёмкость, правила применения и восстановление

Перегруженный сетевой путь, исчерпанная таблица соединений и дорогостоящий запрос приложения требуют разных мер контроля. Собирайте сетевые счётчики, частоту запросов и время отклика. Первый симптом — это повод для расследования, а не доказательство одного типа атаки.

Скорость порта сервера, лимит передачи за период и ёмкость фильтрации — это разные характеристики. В подготовленном каталоге значения фильтрации по тарифам варьируются от 10 до 400 Gbps. Ни одно из них не меняет время CPU, необходимое для ответа на дорогостоящий запрос.

Umbra 1 указывает порт сервера 1 Gbps, месячный трафик 1 TB и спецификацию фильтрации 10 Gbps. Первое описывает соединение, второе — лимит за период, третье — предлагаемый контур фильтрации. Ни одно из них не означает, что приложение может обработать 10 Gbps полезных запросов. Поведение фильтрации и разрешённый трафик требуют проверки в сети запуска.

Подготовленный проект обнаруживает аномалии трафика, перенаправляет атаки на фильтрацию и возвращает разрешённый трафик. Целевое время активации — менее 60 секунд, но маршрутизацию в реальном времени и внешние средства управления необходимо протестировать, прежде чем это станет обещанием. Уточните, что происходит за пределами включённого объёма и как восстанавливается легитимный трафик.

Кэшируйте подходящие ответы, ограничивайте скорость дорогостоящих путей и защищайте административный доступ. WAF или обратный прокси должны быть настроены и поддерживаться как отдельный уровень. Ограничьте веб-доступ к источнику доверенными источниками прокси, если это часть архитектуры, не закрывая путь восстановления.

Назначьте, кто может менять правила, какие доказательства должны быть в тикете и как пользователи узнают статус. Проверьте доставку оповещений и резервный маршрут. Работающая резервная копия и трезвая запись об инциденте полезны, даже если событие окажется сбоем приложения.

Инциденты L3/L4 могут включать UDP-усиление через DNS, NTP или memcached, либо TCP SYN-флуды, создающие давление на состояние соединений. Инциденты L7 нацелены на работу приложения, например повторяющиеся поиски или попытки входа. Сравнивайте биты в секунду, пакеты в секунду и запросы в секунду отдельно. Пограничный фильтр, контроль соединений и правило приложения решают разные части проблемы.

• Закройте или ограничьте ненужные публичные UDP-сервисы и держите доступ к источнику осознанным.
• Географически распределённый дизайн anycast требует отзыва маршрутов, обработки состояний и тестов отказоустойчивости; он не обеспечивается показателем ёмкости защиты.

Проверка, CAPTCHA или шлюз proof-of-work могут добавить трения к подозрительным запросам. Они также могут повлиять на законных посетителей, автоматизированных клиентов и доступность, поэтому применяйте их к подходящим эндпоинтам и измеряйте результат. Медленный ответ или tarpit тоже занимает ресурсы; проверьте стоимость, прежде чем предполагать, что это дешевле отклонения запроса.

• Сохраняйте доступный маршрут восстановления или поддержки, когда проблема препятствует входу.
• Ограничения запросов, кэширование и исправления приложений остаются полезными даже при включённой проверке.