Si do të ndërtonit një libër proceduresh përgjigje ndaj incidenteve DDoS?

Question

Accepted Answer

Një libër proceduresh DDoS shndërron panikën në një listë kontrolli. Parimi i tij bazë: **përgatituni para sulmit, jo gjatë tij** — kontat të furnizuar, kontaktet të njohura, dhe tabloat e kontrollit të ndërtuar, kështu që përgjigjja është ekzekutim, jo improvizim.

## Përgatituni më përpara

- Të keni **CDN/ofrues pastrimi tashmë të integruar** (DNS-i i treguar përmes tij, një mënyrë "nën sulm" që mund ta aktivizoni).
- Mbani **tabloat bazë të kontrollit dhe sinjalet e paralajmërimit** për trafikun, shkallën e gabimeve, dhe raportin e cache-hit-it në mënyrë që anomalitë të shfaqen shpejt.
- Para-shkruani **rregullat e WAF dhe shtresat e limitit të shpejtësisë** që mund t'i ngusht menjeherë.
- Mbani një **listë kontaktesh**: on-call, mbështetje CDN/ISP, lidershipi, dhe një shablon **faqe statusi** gati.

## Hapat e librit të procedurave

1. **Zbuloni dhe shpallni** — një sinjal paralajmërimi ose një anomali e korreluar (shihni zbulimin e DDoS) aktivizon një incident. Caktoni menjëherë një komandant incidenti.
2. **Identifikoni llojin e sulmit dhe objektivin** — a është Layer 3/4 (volumetrik) apo Layer 7 (HTTP flood)? Cili endpoint, IP, apo rajon? Lloji dikton cilat kontrolle ju përdorni.
3. **Aktivizoni mbrojtjet** — aktivizoni mënyrën e CDN "nën sulm" / pastrimin, **ngusht rregullat e WAF**, dhe **ulni limitet e shpejtësisë**. Filloni me kontrollet më të lira, më të gjerë.
4. **Bllokoni / null-rutoni burimet** — bllokoni përgatitjet e IP-ve ose gjeografisë e të këqijave në skaj; si masë e fundit, kërkojini ISP-t të **null-rutojë** IP-në e targetuar për të ruajtur pjesën tjetër të platformës.
5. **Komunikoni** — postoni në **faqen e statusit**, përditësoni interesuarit, dhe mbani një kronologji. Komunikimi i qartë parandalon një krizë të dytë të ngatërrimit.
6. **Shkallëzoni nëse nevojitet** — autoshkallëzoni ose ofroni me tepricë kapacitetin e origjinës për të thithur trafikun që kalon përmes filtreve ndërsa ato ngustet.
7. **Rishikim pas incidentit** — pasi të jetë stabil, zhvilluani një retro pa faj: çfarë punoi, çfarë ishte e ngadaltë, cilat rregulla të bëhen të përhershme, dhe cilat boshllëqe të mbyllen.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## Pse ka rëndësi

So nën një sulm real, latenca dhe adrenalinën e bëjnë njerëzit të anashkalojnë hapat dhe të bëjnë gjëra më të këqija. Një libër proceduresh jep një sekuencë të njohur, mjete të ndërtuar më parë, dhe role të qarta, kështu që ekipi zbuton në minuta në vend se të debatojë opsionet ndërsa faqja është e ç'aktivizuar. Linja më e vlefshme në ndonjë libër proceduresh DDoS është përgatitja e bërë më parë — nuk mund të integroni një ofrues pastrimi ose të gjeni numrin e emergjencës të ISP-t ndërsa po përmbyteni.