Mitkä ovat DDoS-puolustuskerrokset ja mitä kukin käsittelee?

Question

Accepted Answer

DDoS-puolustus on **puolustus syvyydessä**: mikään yksittäinen kontrolli ei pysäytä jokaista hyökkäystä, joten pinota kerroksia, joista kukin imee, suodattaa tai estää erilaisen liikenneluokan. Järjestys on tärkeä — työnnä niin paljon työtä kuin mahdollista reunalle, pois alkuperästäsi.

## Kerrokset, reunasta sisäänpäin

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — uloin kerros. **anycast**:lla sama IP ilmoitetaan monista läsnäolon pisteistä, joten volumetrinen tulva **jakautuu globaalille kapasiteetille** yhden tietokeskuksen sijaan. Puhdistuskeskukset imevät tulvan ja edelleen vain puhtaan liikenteen.
- **WAF (Web Application Firewall)** — tarkistaa HTTP-pyynnöt ja estää haitalliset kuviot: huonot allekirjoitukset, epäilyttävät käyttäjäagentit, tunnetut huonot IP:t ja **Layer 7** tulvat, jotka jäljittelevät todellisia pyyntöjä.
- **Rate limiting** — rajoittaa pyyntöjä IP:tä, API-avainta tai käyttäjää kohti aikaikkunassa, palauttaa `429 Too Many Requests`. Pysäyttää väärinkäyttäjäasiakkaat vahingoittamatta normaaleja.
- **Upstream / ISP blackhole (null-route)** — viimeinen keino raakalle volyymille. Palveluntarjoaja pudottaa kaiken liikenteen kohde-IP:lle (**remotely-triggered blackhole, RTBH**), uhrataan yhtä IP:tä kaiken muun suojelemiseksi.
- **Autoscaling + overprovisioning** — lisäkapasiteettia lähtöön **imemaan** sen, mikä pääsee läpi, ostaa aikaa kun muut kerrokset osallistuvat.

## Kuinka ne toimivat yhdessä

Mielentila malli on **ime -> suodata -> estä**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetriset hyökkäykset kuolevat CDN/scrubbing-kerroksessa; sovellustason hyökkäykset, jotka näyttävät todelliselta liikenteeltä, suodatetaan WAF:n ja nopeusrajoittimen avulla.

## Miksi sillä on väliä

Yhden kerroksen varaan jättäminen epäonnistuu ennustettavasti: WAF ei voi pysäyttää 1 Tbps tulva (putki kyllästyy ensin), ja CDN yksin onnellisesti välittää älykkään HTTP tulvan alkuperääsi. Kerrostuminen tarkoittaa, että jokainen hyökkäysluokka vastaa sille suunniteltua kontrollia, ja lähde näkee vain liikenteen, jota ulommat kerrokset eivät voineet käsitellä yksin.