Πώς θα δημιουργούσες ένα runbook για αντιμετώπιση περιστατικών DDoS;

Question

Accepted Answer

Ένα DDoS runbook μετατρέπει τον πανικό σε μια λίστα ελέγχου. Η θεμελιώδης αρχή του: **προετοιμασία πριν την επίθεση, όχι κατά τη διάρκειά της** — λογαριασμοί ενεργοποιημένοι, επαφές γνωστές, και πίνακες ελέγχου κατασκευασμένοι, ώστε η αντίδραση να είναι εκτέλεση, όχι αυτοσχεδιασμός.

## Προετοιμασία εκ των προτέρων

- Έχετε ένα **CDN/scrubbing provider ήδη ενσωματωμένο** (DNS κατευθυνόμενο μέσα από αυτό, μια κατάσταση "υπό επίθεση" που μπορείτε να ενεργοποιήσετε).
- Διατηρήστε **βασικούς πίνακες ελέγχου και ειδοποιήσεις** για κίνηση, ποσοστό σφάλματος και cache-hit ratio ώστε οι ανωμαλίες να εμφανιστούν γρήγορα.
- Προ-γράψτε **κανόνες WAF και επίπεδα περιορισμού ρυθμού** που μπορείτε να αυστηροποιήσετε αμέσως.
- Διατηρήστε μια **λίστα επαφών**: on-call, υποστήριξη CDN/ISP, ηγεσία, και ένα έτοιμο **template σελίδας κατάστασης**.

## Τα βήματα του runbook

1. **Ανίχνευση και δήλωση** — μια ειδοποίηση ή συσχετισμένη ανωμαλία (δείτε DDoS detection) ενεργοποιεί ένα περιστατικό. Αναθέστε αμέσως έναν incident commander.
2. **Αναγνώριση τύπου επίθεσης και στόχου** — είναι Layer 3/4 (volumetric) ή Layer 7 (HTTP flood); Ποιο endpoint, IP ή περιοχή; Ο τύπος υπαγορεύει ποια controls θα ενεργοποιήσετε.
3. **Ενεργοποίηση άμυνας** — ενεργοποιήστε τη λειτουργία CDN "υπό επίθεση" / scrubbing, **αυστηροποιήστε τους κανόνες WAF**, και **μειώστε τα όρια ρυθμού**. Ξεκινήστε με τα φθηνότερα, ευρύτερα controls.
4. **Αποκλεισμός / null-route πηγών** — αποκλείστε τα προσβάσιμα εύρη IP ή γεω-τοποθεσίες στο edge; ως τελευταία λύση, ζητήστε από το ISP να **null-route** το στοχευόμενο IP για να σώσετε το υπόλοιπο πλατφόρμας.
5. **Επικοινωνία** — δημοσιεύστε στη **σελίδα κατάστασης**, ενημερώστε τα stakeholders, και διατηρήστε ένα χρονολόγιο. Σαφής επικοινωνία αποτρέπει μια δεύτερη κρίση σύγχυσης.
6. **Κλιμάκωση εάν χρειάζεται** — autoscale ή overprovision την χωρητικότητα origin για απορρόφηση κίνησης που διέρχεται από τα φίλτρα ενώ αυστηροποιούνται.
7. **Ανασκόπηση μετά το περιστατικό** — μόλις σταθεροποιηθεί, εκτελέστε μια blameless retro: τι λειτούργησε, τι ήταν αργό, ποιοι κανόνες να γίνουν μόνιμοι, και ποια κενά να κλείσουν.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## Γιατί έχει σημασία

Υπό μια πραγματική επίθεση, η λανθάνουσα κατάσταση και η αδρεναλίνη κάνουν τους ανθρώπους να παραλείπουν βήματα και να χειροτερεύουν τα πράγματα. Ένα runbook δίνει μια γνωστή ακολουθία, προ-κατασκευασμένα εργαλεία, και σαφείς ρόλους, ώστε η ομάδα να μετριάζει σε λεπτά αντί να συζητά επιλογές ενώ το site είναι κάτω. Η πιο πολύτιμη γραμμή σε οποιοδήποτε DDoS runbook είναι η προετοιμασία που έχει γίνει εκ των προτέρων — δεν μπορείτε να ενσωματώσετε έναν scrubbing provider ή να βρείτε τον αριθμό έκτακτης ανάγκης του ISP ενώ πλημμυρίζεστε.