Cum ai construi un runbook de răspuns la incidente DDoS?

Question

Accepted Answer

Un runbook DDoS transformă panica într-o listă de verificare. Principiul său fundamental: **prepară înainte de atac, nu în timpul lui** — conturi aprovizionate, contacte cunoscute și dashboard-uri construite, astfel încât răspunsul să fie execuție, nu improvizație.

## Pregătire în avans

- Ai deja integrată o **rețea CDN/furnizor de scrubbing** (DNS direcționat prin ea, un mod "sub atac" pe care îl poți activa).
- Păstrează **dashboard-uri și alerte de bază** pentru trafic, rata de eroare și raport de cache-hit pentru a detecta rapid anomaliile.
- Pre-scriu **reguli WAF și niveluri de rate-limit** pe care să le întărești instant.
- Menține o **listă de contacte**: on-call, suport CDN/ISP, conducere și un șablon **status-page** gata.

## Pașii runbook-ului

1. **Detectează și declară** — o alertă sau o anomalie corelată (vezi detecția DDoS) declanșează un incident. Asignează imediat un commander de incident.
2. **Identifică tipul de atac și țintă** — este Layer 3/4 (volumetric) sau Layer 7 (HTTP flood)? Care endpoint, IP sau regiune? Tipul dictează care controale angajezi.
3. **Angajează apărări** — activează modul CDN "sub atac" / scrubbing, **întărește regulile WAF** și **reduce limitele de rate**. Începe cu controalele cele mai ieftine și mai largi.
4. **Blochează / null-route sursele** — blochează intervalele IP sau geografiile ofensante la margine; ca ultim resort, cere furnizorului de servicii Internet să **null-routeze** IP-ul țintit pentru a salva restul platformei.
5. **Comunică** — postează pe **status page**, actualizează stakeholderii și ține o cronologie. Comunicarea clară previne o a doua criză de confuzie.
6. **Scalează dacă este necesar** — autoscalează sau overprovizionează capacitatea originii pentru a absorbi traficul care trece prin filtre în timp ce acestea se întăresc.
7. **Evaluare post-incident** — odată ce situația este stabilă, execută o retro fără vină: ce a funcționat, ce a fost lent, care reguli să devină permanente și care lacune să se închidă.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## De ce contează

Sub un atac real, latența și adrenalina fac ca oamenii să omită pași și să înrăutățească situația. Un runbook oferă o secvență cunoscută, instrumente pre-construite și roluri clare, así că echipa atenuează în minute în loc să dezbată opțiuni în timp ce site-ul este down. Linia cea mai valoroasă din orice runbook DDoS este pregătirea făcută dinainte — nu poți integra un furnizor de scrubbing sau găsi numărul de urgență al furnizorului de servicii Internet în timp ce ești inundat.