Hva er lagene i DDoS-forsvar, og hva håndterer hver enkelt?

Question

Accepted Answer

DDoS-forsvar er **forsvar i dybden**: ingen enkelt kontroll stopper alle angrep, så du stacker lag som hver absorberer, filtrerer eller blokkerer en annen klasse trafikk. Rekkefølgen betyr noe — push så mye arbeid som mulig til kanten, bort fra opprinnelsen din.

## Lagene, fra kanten innover

- **CDN / scrubbing-sentre** (Cloudflare, Akamai, AWS Shield) — det ytterste laget. Med **anycast** annonseres den samme IP-adressen fra mange tilstedeværelsespunkter, så en volumetrisk flom blir **spredt over global kapasitet** i stedet for ett datasenter. Scrubbing-sentre absorberer flodbølgen og videresender kun ren trafikk.
- **WAF (Web Application Firewall)** — inspiserer HTTP-forespørsler og blokkerer ondsinnet mønstre: dårlige signaturer, mistenkelige user agents, kjente dårlige IP-adresser, og **Layer 7** flommer som etterligner virkelige forespørsler.
- **Rate limiting** — begrenser forespørsler per IP, API-nøkkel eller bruker over et tidsvindu, og returnerer `429 Too Many Requests`. Stopper misbrukende klienter uten å skade normale.
- **Upstream / ISP-blackhole (null-route)** — siste utvei for råt volum. Leverandøren slipper all trafikk til den målrettede IP-adressen (**remotely-triggered blackhole, RTBH**), og ofrer den ene IP-adressen for å beskytte alt annet.
- **Autoscaling + overprovisjonering** — ekstra opprinnelseskapasitet for å **absorbere** det som slipper gjennom, og kjøpe tid mens andre lag engasjerer seg.

## Hvordan de fungerer sammen

Mentalmodellen er **absorbere -> filtrere -> blokkere**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetriske angrep dør på CDN/scrubbing-laget; application-layer-angrep som ser ut som virkelig trafikk blir filtrert av WAF og rate limiter.

## Hvorfor det betyr noe

Avhengighet av ett lag mislykkes forutsigbar: en WAF kan ikke stoppe en 1 Tbps-flom (røret blir mettet først), og en CDN alene vil gledeligt passere en smart HTTP-flom gjennom til opprinnelsen din. Lagdeling betyr at hver angrepklasse møter en kontroll designet for den, og opprinnelsen ser bare trafikk som de ytre lagene ikke kunne håndtere på egenhånd.