როგორ შექმნიდით DDoS ინციდენტის რეაგირების runbook?

Question

Accepted Answer

DDoS runbook პანიკას ჩეკლისტად აქცევს. მისი ძირითადი პრინციპი: **მოემზადეთ შეტევამდე, არა მის დროს** — ანგარიშები აღმზადებული, კონტაქტები ცნობილი, და დაშბორდები აშენებული, ასე რომ რეაგირება არის შესრულება, არა იმპროვიზაცია.

## მოემზადეთ წინასწარი

- გქონდეთ **CDN/scrubbing პროვაიდერი უკვე ინტეგრირებული** (DNS მიმართული მის მეშვეობით, "შეტევის დროს" რეჟიმი, რომელიც შეგიძლიათ გადაწერთ).
- შეინახეთ **საბაზო დაშბორდები და გაფრთხოვები** ტრაფიკისთვის, შეცდომის მაჩვენებლისთვის და ქეშის ჰიტ კოეფიციენტისთვის, ასე რომ ანომალიები სწრაფად ჩნდებიან.
- წინასწარ დაწერეთ **WAF წესები და მაჩვენებელი ლიმიტი ტიერები**, რომელიც შეგიძლიათ მყისიერად გამკაცროთ.
- შეინახეთ **კონტაქტების სია**: on-call, CDN/ISP მხარდაჭერა, ლიდერობა, და მზა **სტატუსის გვერდი** შაბლონი.

## Runbook ნაბიჯები

1. **აღმოჩენა და გამოცხადება** — გაფრთხოვება ან კორელირებული ანომალია (იხ. DDoS აღმოჩენა) ტრიგერ აკეთებს ინციდენტი. დაუყოვნებლივ დანიშნეთ ინციდენტის კომანდირი.
2. **შეტევის ტიპის და სამიზნის იდენტიფიკაცია** — ეს არის ფენა 3/4 (ვოლუმეტრული) თუ ფენა 7 (HTTP წყლულობა)? რომელი ბოლო წერტილი, IP, ან რეგიონი? ტიპი განსაზღვრავს რომელი კონტროლი ეწუთ.
3. **თავდაცვის გაშვება** — ჩართეთ CDN "შეტევის დროს" რეჟიმი / scrubbing, **გამკაცრეთ WAF წესები**, და **დაბლა მაჩვენებელი ლიმიტი**. დაიწყეთ უმოკლეს, ყველაზე ფართო კონტროლებით.
4. **ბლოკი / null-route წყაროები** — შეზღუდოს შემავალი IP დიაპაზონები ან ხელმოწერები კიდეზე; ბოლო ზომის სახით, ჰკითხეთ ISP-ს **null-route** სამიზნე IP-ს პლატფორმის დანარჩენის შენახვისთვის.
5. **კომუნიკაცია** — პოსტ **სტატუსის გვერდზე**, განაახლეთ заинтересованные მხარეები, და შეინახეთ ხრონოლოგია. ნათელი კომუნიკაცია ხელს უშლის აღრევის მეორე კრიზისს.
6. **მასშტაბირება თუ საჭირო** — autoscale ან გადახურეთ origin სიმძლავრე ტრაფიკის შესაწოვად, რომელიც გაივლის ფილტრების გამკაცრებისას.
7. **პოსტ-ინციდენტი მიმოხილვა** — ერთხელ სტაბილურ, გაუშვა უნიშვო ретро: რა მუშაობდა, რა იყო ნელი, რომელი წესი გავხადოთ მუდმივი, და რომელი ხარვეზი დახურვა.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## რატომ აქვს მნიშვნელობა

ნამდვილი შეტევის დროს, შეფერხება და ადრენალინი ადამიანებს გამოტოვებინებენ ნაბიჯებს და უარესდებენ ნივცებს. რუნბუკი იძლევა ცნობილ თანმიმდევრობას, წინასწარ აშენებულ ხელსაწყოებს, და ნათელ როლებს, ასე რომ გუნდი შეამცირებს რამდენიმე წუთში ოპციების დებატის ნაცვლად მხოლოდ თქვენი საიტი ჩამოდის. ყველაზე ღირებული ხაზი ნებისმიერი DDoS runbook-ში არის მოემზადა წინა — თქვენ არ შეგიძლიათ ინტეგრირება scrubbing პროვაიდერი ან იპოვო ISP-ის გადაუდებელი ნომერი ხოლო თქვენ ხართ დაღუპებული.