CDN'ler yük devretme sitelerini DDoS saldırılarına karşı nasıl korur?

Muhtemelen Google App Engine'e (GAE) dağıtım yapacağım bir Java web uygulaması için tasarım sürecindeyim. GAE ile ilgili güzel bir şey, uygulamamı korkunç DDoS saldırısından güçlendirmekten endişelenmem gerekmiyor - sadece bir "faturalandırma tavanı" belirtiyorum ve trafiğim bu tavana (DDoS veya başka bir şekilde) ulaşıyorsa, GAE sadece uygulamamı kapatacak. Diğer bir deyişle, GAE, uygulamayı daha uzun süre çalışmaya devam etmeyi göze alamayacak kadar temelde herhangi bir miktara ölçeklenir.

Bu nedenle, bu faturalandırma tavanına basarsam ve GAE uygulamamı kapatırsa, web uygulaması alan adı DNS ayarlarım, GAE olmayan başka bir IP adresine "başarısız" bir durum planlamaya çalışıyorum. Bazı ilk araştırmalar CloudFlare gibi bazı CDN'lerin bu durum için hizmet sunduğunu göstermiştir. Temel olarak, DNS ayarlarımı onlarla birlikte saklıyorum ve yük devretme prosedürünü otomatikleştirmek için vurabileceğim bir API sağlıyorlar. Bu nedenle, GAE uygulamam için faturalandırma tavanımda% 99'um olduğunu tespit edersem, bu CloudFlare API'sine vurabilirim ve CloudFlare, GAE sunucularından başka bir IP adresine işaret etmek için DNS ayarlarımı dinamik olarak değiştirir.

Başlangıç ​​durumum, web uygulamamın belki de GoDaddy veya Rackspace tarafından barındırılan "salt okunur" (yalnızca statik içerik) sürümüne yük devretmektir.

Ama sonra aniden üzerime düştü: DDoS saldırıları etki alanı adını hedeflerse, GAE IP adresimden (örneğin) GoDaddy IP adresime geçersem ne fark eder? Aslında, yük devretme DDoS saldırganlarının yedek / GoDaddy sitemi indirmelerine izin vermek dışında hiçbir şey yapmaz!

Başka bir deyişle, DDoS saldırganları web uygulamamda GAE tarafından barındırılan ve www.blah-whatever.comgerçekte 100.2.3.4'lük bir IP adresi olan bir saldırıyı koordine eder . Trafiğimin faturalandırma tavanımın % 98'ine yükselmesine neden oluyorlar ve özel monitörüm 100.2.3.4'ten 105.2.3.4'e kadar bir CloudFlare yük devretmeyi tetikliyor . DDoS saldırganları umursamıyor! Hala bir saldırı düzenliyorlar www.blah-whatever.com! DDoS saldırısı devam ediyor!

Bu yüzden şunu soruyorum: CloudFlare gibi CDN'ler hangi korumayı sunuyor - böylece başka bir DNS'ye geçmeniz gerektiğinde - aynı, sürekli DDoS saldırısı için risk altında değilsiniz? Bu tür bir koruma varsa, yük devretme sitesine yerleştirilen herhangi bir teknik kısıtlama (ör. Salt okunur vb.) Var mı? Değilse, onlar ne kadar iyi ?! Şimdiden teşekkürler!

Bu yapılandırmadayken DDoS saldırılarına karşı koruma sağlamazlar. Bir CDN, bir DDoS saldırısına karşı "koruma" yapmaz - sadece sorunu çözmek için çok fazla donanım ve bant genişliğine sahip olarak etkilerini azaltır. CDN, DNS ayarlarını doğrudan sunucunuzu gösterecek şekilde değiştirdiğinde, CDN artık web siteniz için istekleri işlemez - istemciler CDN'nin IP'sini asla görmez, böylece CDN size artık koruma sunamaz.

"Onlar ne kadar iyi" kadar - DDoS saldırıları bir CDN kullanma noktası değildir. CDN kullanmanın amacı, sunucu ve istemci arasındaki coğrafi mesafeyi kısaltarak, birisi web sunucularınızdan birinden büyük miktarda veri istediği zaman ve veri alan kişi arasındaki gecikmeyi azaltmaktır. Yapabileceğiniz mükemmel bir optimizasyon; ancak DDoS'den güvenlik sağlamak için tasarlanmamıştır.

CDN tabanlı hızlandırma hizmetleri (CF gibi) sağlayan bir Cloud Security şirketi olan Incapsula için çalışıyorum .

(@Billy ONeal tarafından doğru şekilde belirtildiği gibi) CDN'nin tek başına DDoS koruması sağlamadığını, Bulut tabanlı Proxy Ağı'nın ÇOK etkili bir DDoS azaltma aracı olduğunu söylemek istiyorum.

Ve böylece, Cloud CDN'de DDoS durumunda, sitenize dünyanın dört bir yanındaki farklı POP'lardan erişmeye izin verirken, DDoS tarafından üretilen tüm ekstra trafiği alarak sizi koruyan "CDN" değil "Cloud" dur.

Ayrıca, bu bir ön kapı proxy çözümü olduğundan, bu teknoloji sunucularınıza çok sayıda SYN isteği göndermek için sahte IP'ler kullanan seviye 3-4 ağ DDoS saldırılarını (yani SYN Taşkınları) azaltmak için kullanılabilir.

Bu durumda bir proxy, ACK yanıtı alınana kadar bağlantı kurmaz, böylece SYN taşkınının oluşmasını önler.

Web sitesi güvenliği için Cloud'u kullanmanın başka yolları da vardır (örneğin, Kötü Bot Engelleme, Bulut tabanlı WAF) ve bunlardan bazıları DDoS hafifletme veya önleme için de kullanılabilir (tarayıcı botlarını durdurmak daha sonra için iyi bir örnektir), ancak Burada anlaşılacak en önemli şey, bunların hepsinin CDN'ye değil Bulut teknolojisine dayanmasıdır.