Kokie yra DDoS gynybos sluoksniai ir ką kiekvienas iš jų valdo?

Question

Accepted Answer

DDoS gynyba yra **gynyba tiesiame pamatne**: nėra vienos kontrolės, kuri sustabdytų visas atakas, todėl jūs sukuriate sluoksnius, kurie kiekvienas sugeria, filtruoja arba blokuoja skirtingą srautų klasę. Tvarka svarbūs — kuo daugiau darbo nukreipkite į kraštus, atokiau nuo jūsų šaltinio.

## Sluoksniai, nuo krašto į vidų

- **CDN / valymo centrai** (Cloudflare, Akamai, AWS Shield) — išorinis sluoksnis. Su **anycast**, tas pats IP yra paskelbtas iš daugelio buvimo vietų, todėl tūrinis potvynis **paskirstytas pagal pasaulinę talpą** vietoj vieno duomenų centro. Valymo centrai sugergia potvynį ir persiųsia tik švarų srautą.
- **WAF (Web Application Firewall)** — patikrina HTTP užklausas ir blokuoja kenkėjiškus šablonus: blogus parašus, įtartiną naudotojo agentus, žinomus blogus IP adresus ir **Layer 7** potvynius, kurie imituoja realistines užklausas.
- **Greičio ribojimas** — apriboja užklausas per IP, API raktą arba naudotoją per laiko langą, grąžinant `429 Too Many Requests`. Sustabdo žalingus klientus nesukeliant žalos normaliems.
- **Aukštyn / ISP blackhole (null-route)** — paskutinis recetas grynai tūriui. Teikėjas numeta visą srautą į tikslinį IP (**remotely-triggered blackhole, RTBH**), paaukojant tą vieną IP siekiant apsaugoti viską kitą.
- **Autoscaling + overprovisioning** — papildoma pradinio šaltinio talpa, skirta **sugerti** tai, kas prasiskverbia, lygus daugiau laiko kol veikia kiti sluoksniai.

## Kaip jie veikia kartu

Proto modelis yra **sugeri -> filtruoju -> blokuoju**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Tūrinės atakas žūva CDN/valymo sluoksnyje; programos sluoksnio atakas, kurios atrodo kaip realis srautas, filtruoja WAF ir greičio ribotuvas.

## Kodėl tai svarbu

Pasitikėjimas vienu sluoksniu neišvengiamai nepavyksta: WAF negali sustabdyti 1 Tbps potvynio (vamzdis pirmiausia pasotinamas), o vien CDN mielai praleis gudrų HTTP potvynį per jūsų šaltinį. Sluoksnių naudojimas reiškia, kad kiekviena atakų klasė sutinka kontrolę, sukurtą jai, o šaltinis mato tik srautą, kurį išoriniai sluoksniai negalėjo savistoviai valdyti.