Ποια είναι τα στρώματα της άμυνας DDoS και τι χειρίζεται το καθένα;

Question

Accepted Answer

Η άμυνα DDoS είναι **άμυνα σε βάθος**: κανένας μεμονωμένος έλεγχος δεν σταματά κάθε επίθεση, οπότε στοιβάζετε στρώματα που το καθένα απορροφά, φιλτράρει ή αποκλείει μια διαφορετική κατηγορία κίνησης. Η σειρά σημαίνει — ωθήστε όσο περισσότερη δουλειά γίνεται στο περιθώριο, μακριά από την προέλευσή σας.

## Τα στρώματα, από το περιθώριο προς τα εσωτερικά

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — το εξωτερικότερο στρώμα. Με **anycast**, η ίδια IP διακηρύσσεται από πολλά σημεία παρουσίας, οπότε μια ογκομετρική πλημμύρα **διασπείρεται σε παγκόσμια δυναμικότητα** αντί για ένα κέντρο δεδομένων. Τα κέντρα αποσάθρωσης απορροφούν την πλημμύρα και προωθούν μόνο καθαρή κίνηση.
- **WAF (Web Application Firewall)** — επιθεωρεί τα αιτήματα HTTP και αποκλείει ενοχλητικά μοτίβα: κακές υπογραφές, ύποπτους χρήστες, γνωστές κακές IP και **Layer 7** πλημμύρες που μιμούνται πραγματικά αιτήματα.
- **Rate limiting** — περιορίζει τα αιτήματα ανά IP, κλειδί API ή χρήστη για ένα χρονικό παράθυρο, επιστρέφοντας `429 Too Many Requests`. Σταματάει τους κακόβουλους πελάτες χωρίς να βλάπτονται οι κανονικοί.
- **Upstream / ISP blackhole (null-route)** — η τελευταία έκδοχη για ακατέργαστο όγκο. Ο πάροχος ρίχνει όλη την κίνηση στη στοχευμένη IP (**remotely-triggered blackhole, RTBH**), θυσιάζοντας αυτή την ένα IP για να προστατεύσει τα πάντα άλλα.
- **Autoscaling + overprovisioning** — επιπλέον χωρητικότητα προέλευσης για **να απορροφήσει** ό,τι ξεφεύγει, αγοράζοντας χρόνο ενώ άλλα στρώματα εμπλέκονται.

## Πώς λειτουργούν μαζί

Το νοητικό μοντέλο είναι **απορροφήστε -> φιλτράρετε -> αποκλείστε**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Οι ογκομετρικές επιθέσεις πεθαίνουν στο στρώμα CDN/scrubbing. οι επιθέσεις επιπέδου εφαρμογών που μοιάζουν με πραγματική κίνηση φιλτράρονται από το WAF και τον περιοριστή ταχύτητας.

## Γιατί σημαίνει

Η εξάρτηση από ένα στρώμα αποτυγχάνει προβλέψιμα: ένα WAF δεν μπορεί να σταματήσει μια πλημμύρα 1 Tbps (το σωλήνα κορεσμένα πρώτα), και ένα CDN μόνο θα περάσει με χαρά μια έξυπνη πλημμύρα HTTP προς την προέλευσή σας. Η δέσμευση σε στρώματα σημαίνει ότι κάθε κατηγορία επίθεσης συναντά έναν έλεγχο που σχεδιάστηκε για αυτήν, και η προέλευση βλέπει μόνο την κίνηση που τα εξωτερικά στρώματα δεν μπορούσαν να χειριστούν μόνα τους.