Apakah lapisan pertahanan DDoS, dan apa yang ditangani oleh masing-masing?

Question

Accepted Answer

Pertahanan DDoS adalah **pertahanan berlapis**: tiada satu kontrol pun yang menghentikan setiap serangan, jadi Anda menumpuk lapisan yang masing-masing menyerap, menyaring, atau memblokir kelas lalu lintas yang berbeda. Urutan penting — dorong sebanyak mungkin pekerjaan ke tepi, jauh dari asal Anda.

## Lapisan-lapisan, dari tepi ke dalam

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — lapisan paling luar. Dengan **anycast**, IP yang sama diumumkan dari banyak titik kehadiran, jadi banjir volumetrik **tersebar di seluruh kapasitas global** bukan satu pusat data. Pusat scrubbing menyerap banjir dan meneruskan hanya lalu lintas yang bersih.
- **WAF (Web Application Firewall)** — memeriksa permintaan HTTP dan memblokir pola berbahaya: tanda tangan buruk, agen pengguna yang mencurigakan, IP buruk yang diketahui, dan banjir **Layer 7** yang meniru permintaan nyata.
- **Pembatasan laju** — membatasi permintaan per IP, kunci API, atau pengguna selama jendela waktu, mengembalikan `429 Too Many Requests`. Menghentikan klien penyalahgunaan tanpa membahayakan yang normal.
- **Upstream / ISP blackhole (null-route)** — upaya terakhir untuk volume mentah. Penyedia menjatuhkan semua lalu lintas ke IP target (**remotely-triggered blackhole, RTBH**), mengorbankan satu IP itu untuk melindungi segalanya.
- **Autoscaling + overprovisioning** — kapasitas asal tambahan untuk **menyerap** apa yang lolos, membeli waktu sambil lapisan lain berkinerja.

## Cara mereka bekerja bersama

Model mental adalah **serap -> saring -> blokir**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Serangan volumetrik mati di lapisan CDN/scrubbing; serangan tingkat aplikasi yang terlihat seperti lalu lintas nyata disaring oleh WAF dan pembatas laju.

## Mengapa itu penting

Mengandakan satu lapisan gagal secara dapat diprediksi: WAF tidak dapat menghentikan banjir 1 Tbps (pipa menjadi jenuh terlebih dahulu), dan CDN saja akan dengan senang hati melewatkan banjir HTTP yang cerdas ke asal Anda. Berlapis berarti setiap kelas serangan bertemu kontrol yang dirancang untuk itu, dan asal hanya pernah melihat lalu lintas yang tidak dapat ditangani lapisan luar itu sendiri.