DDoS சம்பவ பதிலளிப்பு runbook ஐ எவ்வாறு உருவாக்குவீர்கள்?

Question

Accepted Answer

DDoS runbook பயத்தை ஒரு சரிபார்ப்புப் பட்டியலாக மாற்றுகிறது. இதன் முக்கிய கொள்கை: **தாக்குதலுக்கு முன்பு தயாரிப்பு, தாக்குதலின் போது அல்ல** — கணக்குகள் வழங்கப்பட்டுள்ளன, தொடர்புகள் தெரியும், மற்றும் dashboards கட்டமைக்கப்பட்டுள்ளன, இதனால் பதிலளிப்பு செயல்பாடு, உடனடி கண்டுபிடிப்பு அல்ல.

## முன்னறிவுக்கு தயாரிப்பு செய்யுங்கள்

- **CDN/scrubbing வழங்குநர் ஏற்கனவே ஒருங்கிணைக்கப்பட்டுள்ளது** வை வைத்திருங்கள் (DNS அதன் மூலம் சுட்டிக்காட்டப்பட்ட, நீங்கள் புரட்ட முடியும் ஒரு "தாக்குதலின் கீழ்" பயன்முறை).
- **அடிப்படை dashboards மற்றும் எச்சரிக்கைகள்** போக்குவரத்து, त्रुटி விகிதம், மற்றும் cache-hit விகிதத்திற்கு வைத்திருங்கள் இதனால் anomalies வேகமாக மேற்பரப்பு.
- **WAF விதிகள் மற்றும் rate-limit tiers** முன்னறிவிப்பாக எழுதுங்கள் நீங்கள் உடனடியாக இறுக்க முடியும்.
- **தொடர்பு பட்டியல்** பராமரிக்கவும்: on-call, CDN/ISP ஆதரவு, தலைமை, மற்றும் ஒரு தயாரமான **status-page** template.

## runbook படிகள்

1. **সনাক্ত மற்றும் ঘোषணை** — ஒரு எச்சரிக்கை அல்லது தொடர்புடைய anomaly (DDoS detection பார்க்கவும்) ஒரு சம்பவத்தை தூண்டுகிறது. உடனடியாக ஒரு சம்பவ commander நியமித்தல்.
2. **தாக்குதல் வகை மற்றும் இலக்கை அடையாளப்படுத்தவும்** — இது Layer 3/4 (volumetric) அல்லது Layer 7 (HTTP flood) இல்லை? எந்த endpoint, IP, அல்லது region? வகை எந்த கட்டுப்பாடுகள் நீங்கள் engage செய்ய வேண்டும் என்பதை நிர்ணயிக்கிறது.
3. **Engage பாதுகாப்பு** — CDN "தாக்குதலின் கீழ்" பயன்முறை / scrubbing திருப்பவும், **WAF விதிகளை இறுக்கவும்**, மற்றும் **rate limits குறைக்கவும்**. மலிவான, பரந்த கட்டுப்பாடுகளுடன் தொடங்கவும்.
4. **Block / null-route sources** — மாற்றுச் சொல்லும் IP ranges அல்லது geos block edge இல், கடைசி வழி, **null-route** என்ற targetained IP வேண்ட ISP கேட்கவும் தளத்தின் மீதியை சேமிக்க.
5. **Communicate** — **status page** வரை பதிவு செய்யவும், stakeholders மேம்படுத்தவும், மற்றும் ஒரு timeline வைத்திருங்கள். Clear comms ஒரு இரண்டாவது மாறுபாட்டின் நெருக்கடி தடுக்கிறது.
6. **தேவைப்பட்டால் Scale** — autoscale அல்லது origin capacity overprovision செய்யவும் போக்குவரத்தை உறிஞ்சுவதற்கு filters இறுக்கப்படும் போது மூலம் வெட்டிக்கொள்.
7. **Post-incident review** — ஒரு முறை நிலையான, ஒரு blameless retro இயக்கவும்: என்ன வேலை செய்தது, என்ன மெதுவாக இருந்தது, எந்த விதிகளை நிரந்தரமாக செய்ய வேண்டும், மற்றும் எந்த இடைவெளிகளை மூடுவது.

```text
DETECT -> IDENTIFY -> ENGAGE (CDN/WAF/rate-limit) -> BLOCK/null-route
       -> COMMUNICATE -> SCALE -> POST-INCIDENT REVIEW
```

## ஏன் இது முக்கியமாகும்

ஒரு உண்மையான தாக்குதலின் கீழ், latency மற்றும் adrenaline மக்கள் படிகளை தவிர்க்கவும் மற்றும் விஷயங்களை மோசமாக செய்யவும் செய்கின்றனர். ஒரு runbook ஒரு அறியப்பட்ட வரிசை, முன்னைய கட்டமைக்கப்பட்ட tooling, மற்றும் clear roles கொடுக்கிறது, இதனால் குழு நிமிடங்களில் mitigates பதிலாக விকல்ப விதிகள் முடிவாக்கப்பட்ட போது தளம் கீழே உள்ளது. எந்த DDoS runbook இல் மிக மূல்யமான வரி முன்பே செய்யப்பட்ட தயாரிப்பு ஆகும் — நீங்கள் ஒரு scrubbing வழங்குநர் ஒருங்கிணைக்க அல்லது ISP கால் அவசர எண் கண்டுபிடிக்க முடியாது வேறுபாடு நீங்கள் வெள்ள செய்யப்படுகிறது.