Grunderna i DDoS-skydd för små anläggningar och butiker

Det första tecknet är nästan aldrig en säkerhetsvarning. Det är webbplatsen som är långsam, då är webbplatsen väldigt långsam, då är värdpanelen som visar CPU fast på 100% och en supportbiljett som säger "har du kört en kampanj?"

När någon använder ordet DDoS har det vanligtvis gått i tjugo minuter. Så det är värt att förstå formen på saken innan du möter en - särskilt det faktum att det finns två helt olika attacker som gömmer sig under samma akronym, och de behöver olika svar.

Varför "distribuerad" är hela problemet

DDoS står för Distributed Denial of Service. Denial-of-service delen är enkel: överväldiga en webbplats så verkliga besökare inte kan komma in. Den distribuerade delen är det som gör det svårt att hantera.

Trafiken kommer inte från ett ställe som du kan blockera. Det kommer från tusentals komprometterade enheter spridda över hela världen - hemroutrar, säkerhetskameror, servrar med svaga lösenord, som ofta ägs av människor utan aning om att de deltar. Var och en skickar en trickle. Tillsammans är de en brandslang, och det finns ingen enda IP-adress att släppa.

Två attacker, två problem

Volumetriska översvämningar

Brute-force-versionen: skicka mer rå trafik än din anslutning kan bära. Dessa mäts i gigabit per sekund, de använder ofta förstärkning - skickar en liten förfalskad begäran till en tjänst som svarar med ett mycket större svar riktat mot dig - och de bryr sig inte om vad din webbplats är Eller gör. Din pipa fylls upp och legitima paket har ingenstans att gå.

Det viktiga att förstå är att du inte kan lösa detta på din server. Om någon skickar 50 Gbps vid en 1 Gbps-anslutning är ingenting som körs på den bortre änden av den anslutningen viktigt. Trafiken måste absorberas uppströms, i ett nätverk med mer kapacitet än attacken.

Översvämningar i applikationslagret

Den sneakier versionen, och allt vanligare mot små webbplatser. Snarare än rå volym, dessa skicka förfrågningar som se legitima men är dyra för dig att svara på: sökfrågor med ovanliga termer, slutpunkter som utlöser en tung databasanslutning, ett inloggningsformulär, allt som inte går att cachea.

Trafikvolymen kan vara blygsam - några tusen förfrågningar per minut, inget som skulle besvära din bandbredd - medan din databas smälter. En butik med en långsam sökslutpunkt kan tas ner av en attack liten nog att ingen övervakar varningar på bandbredden alls.

Varför små webbplatser drabbas alls

Den sista punkten i den vänstra kolumnen är värd att bo på. På delad hosting kan en attack som syftar till en helt orelaterad webbplats på din server också ta din offline. Du behöver inte vara ett mål för att vara en olycka.

Försvaret är den kapacitet du inte äger.

Du kan inte vinna en kapacitetskamp från en enda server, och att köpa en större server ändrar inte aritmetiken - angriparen kan lägga till robotar snabbare och billigare än du kan lägga till hårdvara.

Vad som fungerar är att sätta ett stort distribuerat nätverk framför dig. Ett edge-nätverk har närvaropunkter i många städer, var och en med betydande kapacitet, och trafik absorberas och filtreras över dem alla i stället för att konvergera på din ena ruta. En översvämning som skulle platta ett enda ursprung anländer till femtio platser på en gång, blir filtrerad vid varje, och vad som når dig är vad som var legitimt.

Caching gör en överraskande mängd arbete här också. Om 95% av förfrågningar besvaras från kanten absorberas en applikationsöversvämning som syftar till cachebara webbadresser helt - angriparen är DDoSing en cache, vilket är vad cacher är för.

Vad ska man göra medan det händer

Den obekväma sanningen om DDoS är att förberedelsen måste ske före attacken, eftersom det inte finns mycket du med fördel kan göra från insidan. Den goda nyheten är att förberedelsen är kort: sitta bakom ett nätverk med kapacitet, dölja ditt ursprung och cache tillräckligt för att det mesta av din trafik aldrig rör en server alls.