Apa saja lapisan pertahanan DDoS, dan apa yang ditangani masing-masing?

Question

Accepted Answer

Pertahanan DDoS adalah **pertahanan secara mendalam**: tidak ada satu kontrol yang menghentikan setiap serangan, jadi Anda menumpuk lapisan yang masing-masing menyerap, menyaring, atau memblokir kelas lalu lintas yang berbeda. Urutan penting — dorong sebanyak mungkin pekerjaan ke tepi, jauh dari asal Anda.

## Lapisan, dari tepi ke dalam

- **CDN / pusat pembersihan** (Cloudflare, Akamai, AWS Shield) — lapisan terluar. Dengan **anycast**, IP yang sama diumumkan dari banyak titik kehadiran, jadi banjir volumetrik **tersebar di seluruh kapasitas global** alih-alih satu pusat data. Pusat pembersihan menyerap banjir dan hanya meneruskan lalu lintas bersih.
- **WAF (Web Application Firewall)** — memeriksa permintaan HTTP dan memblokir pola berbahaya: tanda tangan buruk, agen pengguna mencurigakan, IP buruk yang dikenal, dan banjir **Lapisan 7** yang meniru permintaan nyata.
- **Pembatasan laju** — membatasi permintaan per IP, kunci API, atau pengguna selama jendela waktu, mengembalikan `429 Too Many Requests`. Menghentikan klien yang menyalahgunakan tanpa merugikan klien normal.
- **Upstream / ISP blackhole (null-route)** — upaya terakhir untuk volume mentah. Penyedia melepaskan semua lalu lintas ke IP target (**remotely-triggered blackhole, RTBH**), mengorbankan satu IP itu untuk melindungi segalanya.
- **Autoscaling + overprovisioning** — kapasitas asal tambahan untuk **menyerap** apa yang terlewat, membeli waktu sementara lapisan lain terlibat.

## Bagaimana mereka bekerja bersama

Model mental adalah **absorb -> filter -> block** :

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Serangan volumetrik mati di lapisan CDN/scrubbing; serangan tingkat aplikasi yang terlihat seperti lalu lintas nyata disaring oleh WAF dan pembatas laju.

## Mengapa ini penting

Mengandalkan satu lapisan gagal dapat diprediksi: WAF tidak dapat menghentikan banjir 1 Tbps (pipa jenuh terlebih dahulu), dan CDN saja dengan senang hati akan meneruskan banjir HTTP yang cerdas ke asal Anda. Penumpukan berarti setiap kelas serangan bertemu dengan kontrol yang dirancang untuk itu, dan asal hanya pernah melihat lalu lintas yang tidak dapat ditangani lapisan luar sendiri.