Kif tikkonfigura Cloudflare biex tipproteġi sit minn DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare jipproteġi website l-aħjar meta t-talbiet jgħaddu minnu u l-applikazzjoni tiflaħ it-traffiku li jibqa’.** Li tixgħel setting wieħed ma jipproteġix kull mogħdija lejn is-server tiegħek.

Immaġina ħanut online. L-attakkanti jistgħu jgħarrqu t-talbiet għall-immaġnijiet tal-prodotti, isejħu ripetutament endpoint tat-tiftix li jiswa ħafna riżorsi, jew jikkuntattjaw is-server direttament. Dawn jużaw riżorsi differenti, għalhekk il-konfigurazzjoni teħtieġ diversi saffi.

## 1. Poġġi Cloudflare fil-mogħdija tat-talbiet

Ippermetti l-istatus proxied għar-rekords DNS appoġġati tal-website. Il-viżitaturi mbagħad jilħqu Cloudflare qabel l-origin, jiġifieri s-server li fil-fatt iħaddem il-website. Rekord DNS-only isolvi l-isem; ma jgħaddix it-traffiku HTTP tal-website minn din il-mogħdija protetta.

```text
Browser -> Cloudflare -> Origin -> Database
```

Din hija l-bażi: il-filtrazzjoni f’Cloudflare tgħin biss għat-talbiet li jilħquh. Iċċekkja kull hostname pubbliku użat mill-ħanut, inkluż dak tal-API, mhux id-dominju prinċipali biss.

## 2. Agħlaq ir-rotta diretta lejn l-origin

Jekk l-attakkanti għadhom jistgħu jilħqu l-origin direttament, jistgħu jevitaw il-filtri. Illimita l-aċċess web pubbliku li jidħol għall-firxiet IP xierqa ta’ Cloudflare u żommhom aġġornati. Inkella, evalwa Cloudflare Tunnel, li jgħaqqad ’il barra u jista’ jneħħi l-ħtieġa ta’ ports web pubbliċi li jaċċettaw konnessjonijiet deħlin.

Żomm l-aċċess amministrattiv fuq rotta protetta separata u d-databases barra l-internet pubbliku. Ittestja kemm l-aċċess normali minn Cloudflare kif ukoll ir-rifjut tal-aċċess dirett. Li taħbi indirizz IP biss mhuwiex biżżejjed. Ara [l-protezzjoni tal-origin](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Iffiltra l-attakki filwaqt li tipproteġi l-klijenti reali

Irrevedi l-protezzjoni DDoS ġestita u l-kontrolli disponibbli fil-pjan tiegħek. Żid regoli WAF xierqa: WAF jiċċekkja t-talbiet HTTP għal xejriet suspettużi qabel jgħaddihom. Il-protezzjoni DDoS u r-regoli WAF jindirizzaw problemi li jikkoinċidu iżda huma differenti; l-ebda waħda ma tipprova li kull talba aċċettata tiswa ftit għall-applikazzjoni.

Ibda b’regoli li tista’ tispjega, eżamina t-traffiku affettwat u aġġusta b’mod limitat jekk jiġu mblukkati klijenti leġittimi. Għadd kbir ta’ talbiet imblukkati mhuwiex waħdu kejl ta’ suċċess. Cloudflare jiddokumenta [l-konfigurazzjoni u l-aġġustament tad-DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Ipproteġi separatament l-operazzjonijiet għaljin

Talba għal immaġni fil-cache ġeneralment tiswa ħafna inqas għall-origin minn tiftix li jiskennja ħafna rekords tad-database. Applika limiti tar-rata għal endpoints għaljin skont l-użu normali u l-kapaċità tas-servizz warajhom.

- Għal login jew twassil ta’ OTP, għaqqad limiti fit-tarf tan-netwerk ma’ limiti fl-applikazzjoni skont il-kont jew id-destinazzjoni. IP wieħed jista’ jirrappreżenta ħafna utenti reali.
- Għal tiftix jew ġenerazzjoni ta’ rapporti, illimita x-xogħol li kull talba tista’ tqabbad; limitu fuq l-għadd biss jista’ jħalli talbiet għaljin perikolużi.
- Għal APIs awtentikati, ikkunsidra l-klijent jew iċ-ċavetta API kif ukoll sinjali tan-netwerk. Attakkanti distribwiti jistgħu jużaw ħafna indirizzi IP.

M’hemmx limitu sigur universali. Osserva l-qċaċet leġittimi, introduċi limiti bir-reqqa u kejjel kemm it-tnaqqis fit-tagħbija tal-backend kif ukoll it-talbiet validi rifjutati.

## 5. Uża caching fejn il-kondiviżjoni hija sigura

Żomm immaġnijiet pubbliċi u fajls statiċi fil-cache sabiex talbiet ripetuti jinqdew mingħajr ma jilħqu l-origin. Għall-ħanut tagħna, dan inaqqas ir-riżorsi użati biex tintbagħat ripetutament l-istess immaġni ta’ prodott.

Karrettuni personali u paġni tal-kont jeħtieġu regoli differenti għax l-utenti m’għandhomx jirċievu d-data ta’ ħaddieħor. Irrevedi ċ-ċwievet tal-cache u l-kundizzjonijiet biex tinqabeż qabel tagħmel cache ta’ risponsi dinamiċi. Caching inaqqas xogħol ripetut; ma jagħmilx il-login jew il-checkout awtomatikament siguri taħt tagħbija.

## 6. Uża sfidi ta’ emerġenza bi pjan ta’ rkupru

Under Attack mode jista’ jintroduċi sfida fil-browser waqt insident. Evalwah għar-rotot tal-browser affettwati u neħħi l-miżura temporanja meta jkun xieraq. Klijenti awtomatizzati u webhooks tal-pagamenti jistgħu ma jlestux sfidi tal-browser, għalhekk ir-rotot tagħhom jeħtieġu awtentikazzjoni xierqa u kontrolli mmirati.

Fl-aħħar, ivverifika li klijenti reali jistgħu jibbrawżjaw u jlestu l-checkout waqt li timmonitorja l-latenza tal-origin, is-CPU, il-pressjoni fuq id-database u l-iżbalji. Jekk attakk dirett fuq in-netwerk jimla l-konnessjoni tal-origin, ikkoordina mal-fornitur tal-hosting għal protezzjoni aktar ’il fuq fin-netwerk. L-għan huwa li jibqa’ jingħata servizz utli, mhux wegħda li ebda attakk ma jista’ jikkawża tfixkil.

1. Poġġi Cloudflare fil-mogħdija tat-talbiet

2. Agħlaq ir-rotta diretta lejn l-origin

3. Iffiltra l-attakki filwaqt li tipproteġi l-klijenti reali

4. Ipproteġi separatament l-operazzjonijiet għaljin

5. Uża caching fejn il-kondiviżjoni hija sigura

6. Uża sfidi ta’ emerġenza bi pjan ta’ rkupru

Mistoqsijiet relatati