Jakie są warstwy ochrony przed DDoS i co każda z nich obsługuje?

Question

Accepted Answer

Ochrona przed DDoS to **obrona w głąb**: żadna pojedyncza kontrola nie zatrzyma każdego ataku, dlatego nakładasz warstwy, które każda pochłania, filtruje lub blokuje inną klasę ruchu. Kolejność ma znaczenie — przesuń jak najwięcej pracy na krawędź, z dala od twojego pochodzenia.

## Warstwy, od krawędzi do wewnątrz

- **CDN / centra czyszczenia** (Cloudflare, Akamai, AWS Shield) — warstwa najzewnętrzniejsza. Dzięki **anycast**, ten sam adres IP jest ogłaszany z wielu punktów obecności, dlatego zalew objętościowy jest **rozłożony na globalną pojemność** zamiast na jeden data center. Centra czyszczenia pochłaniają zalew i przekazują dalej tylko czysty ruch.
- **WAF (Web Application Firewall)** — sprawdza żądania HTTP i blokuje złośliwe wzorce: złe sygnatury, podejrzane user-agenty, znane złe adresy IP oraz zalew **Layer 7**, które naśladują rzeczywiste żądania.
- **Rate limiting** — ogranicza żądania na adres IP, klucz API lub użytkownika w oknie czasowym, zwracając `429 Too Many Requests`. Zatrzymuje nadużywających klientów bez szkody dla normalnych.
- **Upstream / ISP blackhole (null-route)** — ostateczność dla surowej objętości. Dostawca odrzuca cały ruch na docelowy adres IP (**remotely-triggered blackhole, RTBH**), poświęcając ten jeden adres IP, aby chronić wszystko inne.
- **Autoscaling + overprovisioning** — dodatkowa pojemność pochodzenia, aby **pochłonąć** to, co się przebije, kupując czas, podczas gdy inne warstwy się angażują.

## Jak pracują razem

Model myślowy to **pochłoń -> filtruj -> blokuj**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Atak objętościowy ginie w warstwie CDN/czyszczenia; ataki na warstwie aplikacji, które wyglądają jak rzeczywisty ruch, są filtrowane przez WAF i rate limiter.

## Dlaczego to ważne

Poleganie na jednej warstwie zawodzi przewidywalnie: WAF nie może zatrzymać powodzi 1 Tbps (rurociąg się nasycał najpierw), a sama CDN chętnie przepuści sprytny zalew HTTP do twojego pochodzenia. Nakładanie warstw oznacza, że każda klasa ataku spotyka kontrolę zaprojektowaną dla niej, i pochodzenie widzi tylko ruch, którego warstwy zewnętrzne nie mogły obsługiwać samodzielnie.