Apa saé lapisan pertahanan DDoS, lan apa sing ditangani saben satunggal?

Question

Accepted Answer

Pertahanan DDoS minangka **pertahanan kanthi jero**: ora ana kontrol tunggal sing bisa ngeblokir kabeh serangan, dadi sampeyan ngumpulake lapisan sing saben satunggal nyerep, nglenyepake, utawa mblokir kelas trafiké sing beda. Urutané penting — dorong minangka akeh kerja minangka possible menyang pinggir, adoh saka asal.

## Lapisan, saka pinggir menyang njero

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — lapisan paling njaba. Karo **anycast**, IP sing padha diumumake saka pirang-pirang titik kehadiran, dadi banjir volumetrik **kebusak ing kapasitas global** tinimbang siji data center. Pusat pembersihan nyerep banjir lan nteruske mung trafiké sing resik.
- **WAF (Web Application Firewall)** — mriksa panjaluke HTTP lan ngeblokir pola jahat: tanda tangan sing ala, agen pangguna sing curiga, IP jahat sing dikenal, lan banjir **Layer 7** sing niru panjaluke sing nyata.
- **Rate limiting** — batesi panjalukan per IP, kunci API, utawa pangguna sajrone jendhela wektu, bali `429 Too Many Requests`. Mungkasi klien sing disalahake tanpa mbulongi sing normal.
- **Upstream / ISP blackhole (null-route)** — upaya terakhir kanggo volume mentah. Penyedia ngilangi kabeh trafiké menyang IP target (**remotely-triggered blackhole, RTBH**), ngorbane IP siji kasebut kanggo nglindhungi kabeh liyané.
- **Autoscaling + overprovisioning** — kapasitas asal tambahan kanggo **nyerep** apa sing lolos, nambung wektu nalika lapisan liyané melu.

## Carane makarya bebarengan

Model pikiran minangka **nyerep -> nglenyepake -> ngeblokir**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Serangan volumetrik mati ing lapisan CDN/scrubbing; serangan tingkat aplikasi sing katon kaya trafiké sing nyata dielus dening WAF lan pembatasan tarif.

## Mengapa iku penting

Manyamanake siji lapisan gagal kanthi bisa diramalake: WAF ora bisa ngeblokir banjir 1 Tbps (pipa jenuh dhisik), lan CDN piyambak bakal seneng nteruske banjir HTTP sing cerdas menyang asal sampeyan. Nglapis tegese saben kelas serangan ketemu kontrol sing dirancang kanggo iku, lan asal mung tau ndeleng trafiké sing lapisan njaba ora bisa ditangani dhewe.