तुम DDoS घटना प्रतिक्रिया runbook कसे तयार कराल?

Question

Accepted Answer

एक DDoS runbook घबराहट को चेकलिस्ट मध्ये रूपांतरित करते. त्याचे मूल तत्व: **हल्ल्यापूर्वी तयारी करा, हल्ल्यादरम्यान नाही** — खाती प्रावधानित, संपर्क ज्ञात, आणि डॅशबोर्ड तयार, त्यामुळे प्रतिक्रिया कार्यकारिता आहे, तात्काळीकता नाही.

## आगाऊन तयारी करा

- **CDN/scrubbing provider आधीच एकीकृत** असावा (DNS त्याच्या माध्यमातून निर्देशित, "attack अंतर्गत" मोड जो तुम्ही फ्लिप करू शकता).
- **baseline dashboards आणि alerts** traffic, error rate, आणि cache-hit ratio साठी ठेवा जेणेकरून विसंगती लवकर उघड होतील.
- **WAF rules आणि rate-limit tiers** पूर्व-लिहा जे तुम्ही तात्काळीकपणे कठोर करू शकता.
- **contact list** राखा: on-call, CDN/ISP support, leadership, आणि तयार **status-page** template.

## Runbook पायऱ्या

1. **Detect आणि declare** — एक alert किंवा correlated anomaly (DDoS detection पहा) घटना ट्रिगर करते. तात्काळीकपणे incident commander नियुक्त करा.
2. **Attack type आणि target ओळखा** — हा Layer 3/4 (volumetric) किंवा Layer 7 (HTTP flood) आहे? कोणता endpoint, IP, किंवा region? प्रकार हे निर्धारित करते की तुम्ही कोणते नियंत्रण engage कराल.
3. **Defenses engage करा** — CDN "under attack" mode / scrubbing चालू करा, **WAF rules कठोर करा**, आणि **rate limits कमी करा**. सर्वात स्वस्त, सर्वव्यापी नियंत्रणांपासून सुरुवात करा.
4. **Block / null-route sources** — offending IP ranges किंवा geos edge वर block करा; अंतिम उपाय म्हणून, ISP ला **null-route** targeted IP साठी विचारा ताकि बाकी platform वाचवा.
5. **Communicate करा** — **status page** मध्ये post करा, stakeholders अपडेट करा, आणि timeline राखा. स्पष्ट comms भ्रम यांचे दुसरे संकट प्रतिबंधित करते.
6. **आवश्यक असल्यास scale करा** — autoscale किंवा origin capacity overprovision करा जेणेकरून traffic absorb होईल जो filters कठोर होत असताना through जाते.
7. **Post-incident review** — एकदा स्थिर झाल्यानंतर, blameless retro चालवा: काय काम केले, काय हळू होते, कोणते rules permanent बनवायचे, आणि कोणते gaps बंद करायचे.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## महत्व

खरा हल्ल्याखाली, latency आणि adrenaline लोकांना पायऱ्या skip करायला आणि गोष्टी वाईट करायला बाध्य करते. एक runbook ज्ञात sequence, pre-built tooling, आणि स्पष्ट roles देते, त्यामुळे team site down असताना option debate करण्याऐवजी मिनिटांमध्ये complete करते. कोणत्याही DDoS runbook मध्ये सर्वात मूल्यवान line हीच आहे की आगाऊन तयारी — तुम्ही scrubbing provider integrate किंवा ISP चा emergency number शोधू शकत नाही जेव्हा तुम्ही flooded असताना.