Melyek a DDoS-védelmi rétegek, és mit kezel mindegyik?

Question

Accepted Answer

A DDoS-védelem **mélységi védelmi modell**: egyetlen kontroll sem állítja meg az összes támadást, ezért rétegtesen építkezel olyan vezérlésekből, amelyek mindegyike más típusú forgalmat szív fel, szűr vagy blokkol. A sorrend számít — minél több munka-t nyomj a szélre, messze az eredeted mellett.

## A rétegek, kívülről befelé

- **CDN / tisztító központok** (Cloudflare, Akamai, AWS Shield) — a legkülső réteg. **Anycast** segítségével ugyanaz az IP-cím sok jelenléti pontból hirdetett, így egy volumetrikus áradat **globális kapacitás felett szétszóródik** egyetlen adatközpont helyett. A tisztító központok elnyelik az áradatot és csak tiszta forgalmat továbbítanak.
- **WAF (Web Application Firewall)** — megvizsgálja a HTTP-kéréseket és rosszindulatú mintákat blokkol: rossz aláírásokat, gyanús felhasználói ügynököket, ismert rossz IP-eket és **7. réteg** áradata, amely valódi kéréseket utánoz.
- **Sebességkorlátok** — korlátozza a kéréseket IP, API-kulcs vagy felhasználó időablakában, visszaadva `429 Too Many Requests`. Megállít visszaélés gyanús klienséket a normál emberek sérülése nélkül.
- **Upstream / ISP blackhole (null-route)** — az utolsó szükséglet nyers mennyiségre. Az szolgáltató elhagyja az összes forgalmat a cél IP-hez (**távolról kiváltott blackhole, RTBH**), ezt az egy IP-t feláldozva, hogy a többi mindent megvédjen.
- **Autoscaling + túlhivatalmagyaródás** — további eredeti kapacitás **felszívni** amit átpukkan, idő vásárlása közben más rétegek beindulnak.

## Hogyan működnek együtt

A gondolkodási modell az **absorb -> filter -> block** :

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetrikus támadások a CDN/scrubbing rétegen halnak meg; az alkalmazási szint támadások, amelyek valódi forgalomnak tűnnek, a WAF és sebességkorlát által szűrődnek.

## Miért fontos ez

Egy rétegre hagyatkozás kiszámíthatóan megbukik: a WAF nem tudja megállítani az 1 Tbps áradatot (a cső előbb telítődik), és egy CDN egyedül szívesen továbbít egy okos HTTP árrivatarást az eredeted felé. A rétegezés azt jelenti, hogy minden támadási osztály a számára tervezett vezérlésbe ütközik, és az eredete csak a forgalmat látja, amely a külső rétegek önmagában nem tudták kezelni.