Kako nastaviti Cloudflare za zaščito spletnega mesta pred DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare spletno mesto najbolje zaščiti, ko zahteve tečejo skozenj, aplikacija pa zmore preostali promet.** Vklop ene nastavitve ne zaščiti vseh poti do strežnika.

Predstavljajte si spletno trgovino. Napadalci lahko poplavijo slike izdelkov, ponavljajo drag iskalni endpoint ali neposredno dosežejo strežnik. To porablja različne vire, zato nastavitev potrebuje več plasti.

## 1. Postavite Cloudflare na pot zahtev

Za podprte zapise DNS spletnega mesta vključite stanje proxied. Obiskovalci nato dosežejo Cloudflare pred originom, strežnikom, ki dejansko poganja spletno mesto. Zapis DNS-only razreši ime; prometa HTTP ne pošlje po tej zaščiteni poti.

```text
Browser -> Cloudflare -> Origin -> Database
```

To je temelj: filtriranje v Cloudflaru pomaga le zahtevam, ki ga dosežejo. Preverite vsa javna imena gostiteljev trgovine, tudi API, ne samo glavne domene.

## 2. Zaprite neposredno pot do origina

Če napadalci origin še dosežejo neposredno, lahko obidejo filtriranje. Javni spletni vhod omejite na ustrezne obsege IP Cloudflare in jih posodabljajte. Druga možnost je Cloudflare Tunnel, ki vzpostavlja povezavo navzven in lahko odpravi potrebo po javnih vhodnih spletnih vratih.

Administrativni dostop ohranite na ločeni zaščiteni poti, baze pa zunaj javnega interneta. Testirajte običajni dostop skozi Cloudflare in zavrnitev neposrednega dostopa. Samo skrivanje naslova IP ni dovolj. Glejte [zaščito origina](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtrirajte napade, ne da bi izgubili resnične stranke

Preglejte upravljano zaščito DDoS in kontrole v svojem paketu. Dodajte primerna pravila WAF: WAF pred posredovanjem preveri sumljive vzorce v zahtevah HTTP. Zaščita DDoS in WAF rešujeta prekrivajoče se, a različne težave; nobena ne dokazuje, da je vsaka sprejeta zahteva poceni za aplikacijo.

Začnite s pravili, ki jih znate pojasniti, preglejte prizadeti promet in jih ozko prilagodite, če blokirajo legitimne stranke. Veliko blokiranih zahtev samo po sebi ni merilo uspeha. Cloudflare opisuje [nastavitev in prilagajanje DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Posebej zaščitite drage operacije

Zahteva za predpomnjeno sliko je za origin navadno bistveno cenejša od iskanja po številnih zapisih baze. Drage endpointe omejite glede na običajno uporabo in zmogljivost storitve za njimi.

- Pri prijavi ali pošiljanju OTP združite robne omejitve z omejitvami aplikacije po računu ali prejemniku. En IP lahko predstavlja veliko pravih uporabnikov.
- Pri iskanju ali pripravi poročil omejite delo, ki ga lahko sproži posamezna zahteva; samo omejitev števila zahtev lahko pusti drage zahteve nevarne.
- Pri avtenticiranih API-jih poleg omrežnih znakov upoštevajte stranko ali API-ključ. Porazdeljeni napadalci lahko uporabljajo veliko naslovov IP.

Univerzalnega varnega praga ni. Opazujte legitimne konice, previdno uvajajte omejitve ter merite razbremenitev zaledja in zavrnjene veljavne zahteve.

## 5. Predpomnite, kjer je deljenje varno

Predpomnite javne slike in statične datoteke, da se ponovitve postrežejo brez dostopa do origina. Pri naši trgovini to zmanjša porabo za večkratno pošiljanje iste slike izdelka.

Osebne košarice in strani računov zahtevajo drugačna pravila, ker uporabnik ne sme dobiti tujih podatkov. Pred predpomnjenjem dinamičnih odgovorov preverite ključe in pogoje obhoda predpomnilnika. Predpomnjenje zmanjša ponavljajoče delo; prijave ali zaključka nakupa ne naredi samodejno varnih pod obremenitvijo.

## 6. Nujne preverbe uporabite z načrtom vrnitve

Način Under Attack lahko med incidentom doda preverjanje v brskalniku. Ocenite ga za prizadete brskalniške poti in začasni ukrep pravočasno odstranite. Strojni odjemalci in plačilni webhooki takih preverjanj morda ne opravijo, zato potrebujejo ustrezno avtentikacijo in ciljne kontrole.

Nazadnje preverite, ali prave stranke lahko brskajo in zaključijo nakup, ob spremljanju zakasnitve origina, CPU, pritiska na bazo in napak. Če neposreden omrežni napad zapolni povezavo origina, s ponudnikom gostovanja uskladite zaščito višje v omrežju. Cilj je nadaljevanje uporabne storitve, ne obljuba, da noben napad ne more povzročiti motnje.

1. Postavite Cloudflare na pot zahtev

2. Zaprite neposredno pot do origina

3. Filtrirajte napade, ne da bi izgubili resnične stranke

4. Posebej zaščitite drage operacije

5. Predpomnite, kjer je deljenje varno

6. Nujne preverbe uporabite z načrtom vrnitve

Povezana vprašanja