Bagaimana mengatur Cloudflare untuk melindungi situs dari DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare melindungi website dengan baik ketika request melewatinya dan aplikasi mampu menangani trafik yang masih diteruskan.** Mengaktifkan satu pengaturan tidak melindungi semua jalur menuju server.

Bayangkan toko online. Penyerang dapat membanjiri gambar produk, berulang kali memanggil endpoint pencarian yang mahal, atau menghubungi server secara langsung. Tindakan ini menghabiskan sumber daya berbeda, sehingga perlindungan membutuhkan beberapa lapisan.

## 1. Tempatkan Cloudflare pada jalur request

Aktifkan status proxied pada record DNS website yang didukung. Pengunjung kemudian mencapai Cloudflare sebelum origin, yaitu server yang benar-benar menjalankan website. Record DNS-only menyediakan penerjemahan nama; record itu tidak mengarahkan trafik HTTP website melalui jalur perlindungan ini.

```text
Browser -> Cloudflare -> Origin -> Database
```

Inilah dasarnya: penyaringan Cloudflare hanya membantu request yang melewatinya. Periksa setiap hostname publik yang digunakan toko, termasuk hostname API, bukan hanya domain utama.

## 2. Tutup jalur langsung ke origin

Jika penyerang masih dapat mengakses origin secara langsung, mereka dapat melewati penyaringan. Batasi akses web masuk dari internet ke rentang IP Cloudflare yang sesuai dan perbarui daftar tersebut. Sebagai alternatif, evaluasi Cloudflare Tunnel, yang membuat koneksi keluar sehingga port web masuk publik dapat dihilangkan.

Pisahkan akses administrasi pada jalur terlindungi dan jangan membuka database ke internet publik. Uji akses normal melalui Cloudflare sekaligus penolakan akses langsung. Menyembunyikan alamat IP saja tidak cukup. Lihat [perlindungan origin](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Saring serangan sambil mempertahankan akses pelanggan asli

Tinjau perlindungan DDoS terkelola dan kontrol yang tersedia pada paket Anda. Tambahkan aturan WAF yang sesuai: WAF memeriksa pola mencurigakan pada request HTTP sebelum meneruskannya. Perlindungan DDoS dan aturan WAF menangani masalah yang beririsan tetapi berbeda; keduanya tidak membuktikan bahwa setiap request yang diterima murah bagi aplikasi.

Mulailah dengan aturan yang dapat dijelaskan, periksa trafik yang terdampak, lalu lakukan penyesuaian terbatas jika pelanggan sah terblokir. Banyaknya request yang diblokir bukan ukuran keberhasilan dengan sendirinya. Cloudflare mendokumentasikan [pengaturan dan penyesuaian DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Lindungi operasi mahal secara terpisah

Request gambar yang tersimpan di cache biasanya jauh lebih murah bagi origin daripada pencarian yang memindai banyak record database. Terapkan batas laju pada endpoint mahal berdasarkan penggunaan normal dan kapasitas layanan di belakangnya.

- Untuk login atau pengiriman OTP, gabungkan pembatasan di edge dengan pembatasan aplikasi berdasarkan akun atau tujuan. Satu IP dapat mewakili banyak pengguna asli.
- Untuk pencarian atau pembuatan laporan, batasi pekerjaan yang dapat dipicu setiap request; membatasi jumlah request saja masih dapat membiarkan request mahal membahayakan sistem.
- Untuk API terautentikasi, pertimbangkan pelanggan atau API key selain sinyal jaringan. Penyerang terdistribusi dapat memakai banyak alamat IP.

Tidak ada ambang aman yang berlaku universal. Amati puncak penggunaan sah, terapkan batas secara hati-hati, dan ukur penurunan beban backend sekaligus request sah yang ditolak.

## 5. Gunakan cache ketika berbagi hasil aman

Cache gambar publik dan file statis agar request berulang dapat dilayani tanpa mencapai origin. Pada contoh toko, ini mengurangi sumber daya untuk berulang kali melayani gambar produk yang sama.

Keranjang pribadi dan halaman akun membutuhkan aturan berbeda karena pengguna tidak boleh menerima data orang lain. Tinjau cache key dan kondisi bypass sebelum melakukan cache respons dinamis. Cache mengurangi pekerjaan berulang; cache tidak otomatis membuat login atau checkout aman saat beban tinggi.

## 6. Gunakan pemeriksaan darurat dengan rencana pemulihan

Mode Under Attack dapat menampilkan pemeriksaan browser selama insiden. Evaluasi penggunaannya pada rute browser yang terdampak dan hapus tindakan sementara ketika sesuai. Klien mesin dan webhook pembayaran mungkin tidak dapat menyelesaikan pemeriksaan browser, sehingga rutenya membutuhkan autentikasi yang sesuai dan kontrol terarah.

Terakhir, pastikan pelanggan asli dapat melihat produk dan menyelesaikan checkout sambil memantau latensi origin, CPU, tekanan database, dan error. Jika serangan jaringan langsung memenuhi koneksi origin, koordinasikan perlindungan di jaringan hulu dengan penyedia hosting. Tujuannya adalah menjaga layanan tetap berguna, bukan menjanjikan bahwa tidak ada serangan yang dapat mengganggu.

1. Tempatkan Cloudflare pada jalur request

2. Tutup jalur langsung ke origin

3. Saring serangan sambil mempertahankan akses pelanggan asli

4. Lindungi operasi mahal secara terpisah

5. Gunakan cache ketika berbagi hasil aman

6. Gunakan pemeriksaan darurat dengan rencana pemulihan

Pertanyaan terkait