तपाइंले कसरी DDoS घटना प्रतिक्रिया रनबुक निर्माण गर्नुहुन्छ?

Question

Accepted Answer

एक DDoS रनबुकले आतंकलाई चेकलिस्टमा परिणत गर्छ। यसको मूल सिद्धान्त: **आक्रमण हुनु अघि तयारी गर्नुहोस्, आक्रमणको समयमा होइन** — खाताहरू प्रस्तुत गरिएका, संपर्कहरू ज्ञात, र ड्यासबोर्डहरू निर्मित, ताकि प्रतिक्रिया कार्यान्वयन हो, तत्पश्चातको सोच होइन।

## अग्रिम तयारी

- एक **CDN/scrubbing प्रदायक पहिले नै एकीकृत** गरिएको छ (DNS यस मार्फत निर्देशित, "आक्रमण अन्तर्गत" मोड जुन तपाइं फ्लिप गर्न सक्नुहुन्छ)।
- ट्राफिक, त्रुटि दर, र क्यास-हिट अनुपातको लागि **आधारभूत ड्यासबोर्ड र सतर्कताहरू** राख्नुहोस् ताकि विसंगतिहरू द्रुत सतहमा आउन।
- **WAF नियमहरू र दर-सीमित स्तरहरू** पूर्व-लेखन गर्नुहोस् जुन तपाइं तत्काल कसिलो गर्न सक्नुहुन्छ।
- **संपर्क सूची** राख्नुहोस्: कल-अन, CDN/ISP समर्थन, नेतृत्व, र तयार **स्थिति-पृष्ठ** टेम्प्लेट।

## रनबुक चरणहरू

1. **पत्ता लगाउनुहोस् र घोषणा गर्नुहोस्** — एक सतर्कता वा सहसंबंधित विसंगति (DDoS पत्ता लगाउने हेर्नुहोस्) घटना ट्रिगर गर्छ। तत्काल घटना कमान्डर नियुक्त गर्नुहोस्।
2. **आक्रमण प्रकार र लक्ष्य पहचान गर्नुहोस्** — यो परत 3/4 (भोल्यूमेट्रिक) वा परत 7 (HTTP बाढ) हो? कुन एन्डपोइन्ट, IP, वा क्षेत्र? प्रकार निर्देशन गर्छ कि तपाइं कुन नियन्त्रणहरू संलग्न गर्नुहुन्छ।
3. **बचाव संलग्न गर्नुहोस्** — CDN "आक्रमण अन्तर्गत" मोड / scrubbing चालु गर्नुहोस्, **WAF नियमहरू कसिलो गर्नुहोस्**, र **दर सीमाहरू कम गर्नुहोस्**। सबैभन्दा सस्तो, विस्तृत नियन्त्रणहरूसँग सुरु गर्नुहोस्।
4. **स्रोतहरू ब्लक / null-route गर्नुहोस्** — अपराधी IP दायराहरू वा भू-स्थानहरू किनारमा ब्लक गर्नुहोस्; अन्तिम उपाय को रूप मा, ISP लाई **null-route** गरी लक्षित IP बचाउन र बाँकी प्ल्याटफर्मको लागि सोध्नुहोस्।
5. **संचार गर्नुहोस्** — **स्थिति पृष्ठ**मा पोस्ट गर्नुहोस्, हितधारकहरूलाई अपडेट गर्नुहोस्, र समयरेखा राख्नुहोस्। स्पष्ट संचार भ्रमको दोस्रो संकट रोक्छ।
6. **आवश्यक भएमा मापन गर्नुहोस्** — autoscale वा मूल क्षमता overprovision गर्नुहोस् जबकि फिल्टरहरू कसिलो हुँदैछन् यस ट्राफिकको अवशोषण गर्न।
7. **घटना पश्चात् समीक्षा** — एक पटक स्थिर हुएपछि, निर्दोष retro चलाउनुहोस्: के काम गर्‍यो, के ढिलो थियो, कुन नियमहरू स्थायी बनाउने, र कुन अन्तराल बन्द गर्ने।

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## यो किन महत्त्वपूर्ण छ

वास्तविक आक्रमणको अन्तर्गत, विलम्बता र एड्रेनालिनले मानिसहरूलाई चरणहरू छोड्न र चीजहरूलाई बदतर बनाउन बाध्य गर्छ। एक रनबुकले ज्ञात क्रम, पूर्व-निर्मित उपकरण, र स्पष्ट भूमिकाहरू दिन्छ, ताकि टोलीले साइट डाउन हुँदैछ भन्ने बहसको समयमा बजायको मिनेटमा कम गर्छ। कुनै पनि DDoS रनबुकको सबैभन्दा मूल्यवान लाइन भनेको अग्रिम तयारी हो — तपाइं बाढीको समयमा scrubbing प्रदायकलाई एकीकृत गर्न वा ISP को आपतकालीन नम्बर खोज्न सक्नुहुन्न।