Kuinka rakentaisit DDoS-tapausten hallintaohjekirjan?

Question

Accepted Answer

DDoS-ohjekirja muuttaa paniikin tarkistuslistaksi. Sen perusperiaate: **valmistaudu hyökkäyksen ennen, ei sen aikana** — tilit varattuna, yhteystiedot tiedossa ja koontinäytöt valmiina, joten vastaus on suoritus, ei improvisaatio.

## Valmistaudu etukäteen

- Ole **CDN/puhdistuspalvelun toimittaja jo integroituna** (DNS osoitettu sen kautta, "hyökkäys käynnissä" -tila, jonka voit aktivoida).
- Pidä **peruskoontinäytöt ja hälytykset** liikenteelle, virheprosentille ja cache-osumille, jotta poikkeamat tulevat ilmi nopeasti.
- Kirjoita etukäteen **WAF-säännöt ja nopeudenrajoitustasot**, jotka voit kiristää välittömästi.
- Ylläpidä **yhteyslistaa**: päivystävät, CDN/ISP-tuki, johtaminen ja valmis **tilasivumalli**.

## Ohjekirjan vaiheet

1. **Havaitse ja julistaa** — hälytys tai korreloitu poikkeama (katso DDoS-havaitseminen) käynnistää tapauksen. Määritä tapausten johtaja välittömästi.
2. **Tunnista hyökkäystyyppi ja kohde** — onko se Layer 3/4 (volumetrinen) vai Layer 7 (HTTP-tulva)? Mikä päätepisteistä, IP tai alue? Tyyppi määrittää, mitkä kontrollit aktivoit.
3. **Aktivoi puolustus** — ota CDN "hyökkäys käynnissä" -tila käyttöön / puhdista, **kiristä WAF-sääntöjä** ja **pienennä nopeudenrajoituksia**. Aloita halvimmista, laajimmista kontrolleista.
4. **Estä / null-reititi lähteet** — estä loukkaavat IP-alueet tai maantieteelliset alueet reunalla; viimeisenä keinona pyydä ISP:tä **null-reitittämään** kohde-IP säästääksesi alustan loput.
5. **Kommunikoi** — päivitä **tilasivua**, päivitä sidosryhmiä ja pidä aikajanaa. Selkeä viestintä estää toisen sekaannuksen kriisin.
6. **Skaalaa tarvittaessa** — autoskaalaa tai yliyhdistä alkuperäisen kapasiteetin välittäessä liikennettä, joka pääsee läpi suodattimien kiristyessä.
7. **Jälkitapaus-arviointi** — kun järjestelmä on vakaa, tee syytön retrospektiivi: mikä toimi, mikä oli hidasta, mitkä säännöt tehdä pysyviksi ja mitkä aukot sulkea.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## Miksi se on tärkeää

Oikean hyökkäyksen alla viive ja adrenaliini saavat ihmiset ohittamaan vaiheita ja pahentamaan asiat. Ohjekirja tarjoaa tunnetun sekvenssin, valmiiksi rakennetun työkalun ja selkeät roolit, joten tiimi lievittää ongelmia minuuteissa sen sijaan, että keskustelisivat vaihtoehdoista, kun sivusto on alhaalla. Arvokkain rivi missään DDoS-ohjekirjassa on etukäteen tehty valmistelu — et voi integroida puhdistuspalvelun toimittajaa tai löytää ISP:n hätänumeroa, kun olet tulvaan joutunut.