Care sunt straturile apărării împotriva atacurilor DDoS și ce gestionează fiecare?

Question

Accepted Answer

Apărarea împotriva DDoS este **apărare în profunzime**: niciun singur control nu oprește fiecare atac, deci suprapui straturi care fiecare absorb, filtrează sau blochează o clasă diferită de trafic. Ordinea contează — împinge cât mai mult lucru posibil la margine, departe de originea ta.

## Straturile, de la margine spre interior

- **CDN / centre de curățare** (Cloudflare, Akamai, AWS Shield) — stratul cel mai exterior. Cu **anycast**, aceeași adresă IP este anunțată din mai multe puncte de prezență, deci o inundație volumetrică este **dispersată pe capacitate globală** în loc să afecteze un singur data center. Centrele de curățare absorb inundația și transmit doar traficul curat.
- **WAF (Web Application Firewall)** — inspectează cererile HTTP și blochează tipare malițioase: semnături rele, agenți utilizator suspecți, adrese IP cunoscute ca rele, și inundații **Layer 7** care imită cererile reale.
- **Rate limiting** — limitează cererile per IP, cheie API sau utilizator într-o fereastră de timp, returnând `429 Too Many Requests`. Oprește clienții abuzivi fără a dăuna celor normali.
- **Upstream / ISP blackhole (null-route)** — ultimul resort pentru volum brut. Furnizorul elimină tot traficul către IP-ul țintit (**remotely-triggered blackhole, RTBH**), sacrificând acel IP pentru a proteja totul altceva.
- **Autoscaling + overprovisioning** — capacitate suplimentară de origine pentru **absorbi** ceea ce trece prin alte straturi, câștigând timp în timp ce alte straturi intră în acțiune.

## Cum lucrează împreună

Modelul mental este **absorbi -> filtrează -> blochează**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Atacurile volumetrice mor la stratul CDN/curățare; atacurile la nivel aplicație care arată ca trafic real sunt filtrate de WAF și rate limiter.

## De ce contează

A te baza pe un singur strat eșuează în mod previzibil: un WAF nu poate opri o inundație de 1 Tbps (conducta se saturează mai întâi), iar un CDN singur va transmite cu plăcere o inundație HTTP inteligentă spre originea ta. Stratificarea înseamnă că fiecare clasă de atac întâlnește un control proiectat pentru aceasta, iar originea vede doar traficul pe care straturile externe nu au putut să-l gestioneze pe cont propriu.