Hvad er lagene af DDoS-forsvar, og hvad håndterer hver enkelt?

Question

Accepted Answer

DDoS-forsvar er **forsvar i dybden**: ingen enkelt kontrol stopper ethvert angreb, så du staplinger lag, der hver absorberer, filtrerer eller blokerer en anden klasse af trafik. Rækkefølgen betyder noget — skub så meget arbejde som muligt til kanten, væk fra dit oprindelse.

## Lagene, fra kant indad

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — det yderste lag. Med **anycast** annonceres den samme IP fra mange points of presence, så en volumetrisk oversvømmelse **spredt over global kapacitet** i stedet for et datakenter. Skrubbingcentre absorberer oversvømmelsen og videresender kun ren trafik.
- **WAF (Web Application Firewall)** — inspicerer HTTP-anmodninger og blokerer ondsindet mønstre: dårlige signaturer, mistænkelige brugeragenter, kendte dårlige IP'er og **Layer 7** oversvømmelser, der efterligner rigtige anmodninger.
- **Rate limiting** — begrænser anmodninger pr. IP, API-nøgle eller bruger over et tidsvindue og returnerer `429 Too Many Requests`. Stopper misbrugsklienter uden at skade normale.
- **Upstream / ISP blackhole (null-route)** — sidste udvej for rå volumen. Udbyderen slipper al trafik til den målrettede IP (**remotely-triggered blackhole, RTBH**), ofrer den ene IP for at beskytte alt andet.
- **Autoscaling + overprovisioning** — ekstra ursprungskapacitet til **at absorbere** det, der slipper gennem, køb tid, mens andre lag engagerer.

## Hvordan de arbejder sammen

Den mentale model er **absorbere -> filtrere -> blokere**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetriske angreb dør i CDN/scrubbing-laget; applikationslag-angreb, der ligner rigtig trafik, filtreres af WAF og rate limiter.

## Hvorfor det betyder noget

At stole på ét lag mislykkes forudsigeligt: en WAF kan ikke stoppe en 1 Tbps-oversvømmelse (røret mætter først), og en CDN alene vil gerne passere en klog HTTP-oversvømmelse til dit oprindelse. Lagdeling betyder, at hver angrebsklasse møder en kontrol designet til det, og oprindelsen ser kun trafik, som de ydre lag ikke kunne håndtere på egen hånd.