DDoS 방어는 **defense in depth(심층 방어)**입니다. 단일 통제로 모든 공격을 막을 수 없으므로, 각각 다른 종류의 트래픽을 흡수·필터·차단하는 계층을 쌓습니다. 순서가 중요합니다 — 가능한 한 많은 작업을 origin에서 멀리 edge로 밀어내세요.
429 Too Many Requests를 반환합니다. 정상 클라이언트를 해치지 않으면서 남용 클라이언트를 막습니다.사고 모델은 흡수 -> 필터 -> 차단입니다:
인터넷 flood
-> CDN + anycast : 전 세계 PoP에 볼륨 흡수(ABSORB)
-> scrubbing : 명백한 쓰레기 drop (L3/L4 flood)
-> WAF : 악성 HTTP 필터(FILTER) (L7)
-> rate limiting : 남용 클라이언트 throttle (429)
-> origin (autoscaled) : 남은 깨끗한 트래픽 처리
-> ISP null-route : origin IP가 압도되면 최후의 수단
볼류메트릭 공격은 CDN/scrubbing 계층에서 죽고, 실제 트래픽처럼 보이는 애플리케이션 계층 공격은 WAF와 rate limiter가 필터링합니다.
한 계층에 의존하면 예측 가능하게 실패합니다. WAF는 1 Tbps flood를 막을 수 없고(파이프가 먼저 포화됨), CDN 단독으로는 영리한 HTTP flood를 origin으로 기꺼이 통과시킵니다. 계층화는 각 공격 종류가 그에 맞게 설계된 통제를 만나게 하고, origin은 외곽 계층이 스스로 처리하지 못한 트래픽만 보게 됩니다.