تصفية مُفعّلة بالفعل
لا يوجد زر للضغط عندما يبدأ الهجوم، لأن التصفية كانت في المسار قبل أن يبدأ. حتى 12 تليت في الثانية من قدرة التنقية، تخفيف يُقاس بالثواني للفئات الحجمية، وقسم في الأسفل يورد ما لن يحميك منه أي من ذلك.
التشغيل الدائم يعني البقاء في المسار دائمًا
لا يوجد مفتاح "تفعيل الحماية". المفتاح يعني دقائق من التوقف بينما يبحث أحدهم عنه.
كل حزمة موجهة إلى مثيلك تعبر طبقة التصفية سواء كان هجوم يحدث أم لا. في الظروف العادية يضيف ذلك أقل من مللي ثانية ولا يفعل أي شيء آخر. عندما يبدأ شيء ما، يكون التغيير فيما يتم إسقاطه وليس في مسار حركة المرور.
النموذج البديل، حيث يتم تحويل حركة المرور إلى مركز تنقية بمجرد إطلاق إنذار، يبدو مكافئًا لكنه ليس كذلك. يستغرق التحويل وقتًا ليتقارب، وأول تسعين ثانية من الهجوم هي بالضبط الجزء الذي أردت تصفيته.
مشمول في كل خطة
من أصغر مثيل Ryzen إلى جهاز خادم مخصص بمقبسين. قدرة التصفية هي خاصية للموقع، وليست خاصة بما أنفقته.
السعة حسب الموقع
12 تليت/ثانية في أمستردام وفرانكفورت ونيويورك؛ 8 تليت/ثانية في المواقع المتوسطة؛ 4 تليت/ثانية في المواقع الأصغر. الرقم لكل موقع موجود في صفحة الموقع وهو غير مقرّب إلى الأعلى.
تكلفة الكمون، مقاسة
أقل من 0.4 مللي ثانية مضافة عند الحافة في حالة الاستقرار. أثناء التخفيف النشط يرتفع، عادةً إلى ما بين 1 و2 مللي ثانية، لأن إسقاط الحزم يستهلك دورات معالجة.
ما يتم اكتشافه، وبأي سرعة
الكشف هو نظامان يقومان بمهام مختلفة. أحدهما يطابق حركة المرور المعروفة بأنها ضارة في العتاد ولا يحتاج إلى تفكير. والآخر يراقب المعدلات والتوزيعات ويقرر أن شيئًا ما قد تغير.
- 01
تطابق التوقيع بسرعة الخط
بروتوكولات التضخيم، والترويسات التالفة، وإساءة استخدام الشظايا تُسقط عند الحافة عند التطابق. لا تحتاج إلى عبور عتبة أولاً، لذا فإن وقت التخفيف الفعلي يساوي صفرًا.
- 02
تجميع التدفقات، نافذة ثانيتين
القياس عن بعد لتدفقات العينات من كل موجه حافة يغذي نافذة متجددة. معدل الحزم، ومعدل الاتصالات، وإنتروبيا المصدر، ومزيج البروتوكولات تُراقب لكل عنوان وجهة وليس لكل موقع.
- 03
تجاوز العتبة
الوجهة التي تتجاوز خط الأساس المُتعلَّم تحصل تلقائيًا على ملف تعريف تخفيف. متوسط الوقت من أول حزمة هجوم حتى تطبيق الملف التعريفي أقل من ثانيتين على الفئات الحجمية.
- 04
إنسان، على الأكبر حجمًا
أي شيء يزيد عن 100 غيغا بت/ثانية يستدعي فريق الشبكة في أي ساعة. ليس لأن الأتمتة تحتاج إلى إشراف، بل لأن الهجمات بهذا الحجم عادةً ما تأتي مع هجوم ثانٍ أكثر هدوءًا خلفها.
- 05
يُسجَّل، وتقرأه
كل تخفيف يكتب سجلًا يمكنك رؤيته في اللوحة: البداية، والنهاية، وذروة البتات والحزم في الثانية، والبروتوكولات الرئيسية، وما أسقطه ملف التعريف.
الطبقتان 3 و4، وهذا هو الجزء الذي تم حلّه فعلاً
الهجمات الحجمية وهجمات البروتوكول هي مشكلة هندسية لها حل معروف، والحل هو السعة بالإضافة إلى العتاد ذو الحالة الثابتة الموجود أمامك. الطبقة 7 هي مشكلة مختلفة تمامًا ولها قسم خاص بها.
| فئة الهجوم | أين تتم معالجته | الوقت النموذجي للتخفيف |
|---|---|---|
| تضخيم UDP (DNS، NTP، memcached، SSDP، CLDAP) | يُسقط عند الحافة عند المطابقة | فوري، ويعمل دائمًا |
| حزم IP مجزأة أو تالفة | يُسقط قبل محاولة إعادة التجميع | فوري، ويعمل دائمًا |
| فيضانات SYN وACK | طبقة التنقية، وملفات تعريف الارتباط، وملفات تعريف المعدل لكل مصدر | أقل من ثانيتين |
| استنفاد حالة TCP | طبقة التنقية، وحدود الاتصال لكل مصدر | من 5 إلى 20 ثانية |
| فيضانات الأنفاق (GRE، IPIP، ESP) | يتم إسقاطها ما لم تطلب البروتوكول | فوري، ويعمل دائمًا |
| فيضانات استعلامات DNS ضد محلل أسماء النطاقات الخاص بك | ملف تعريف المعدل بالإضافة إلى تحديد معدل الاستجابة | من 10 إلى 60 ثانية |
| فيضانات طلبات HTTP وHTTPS | قواعد DDoS Pro على مسار المثيل | من 30 ثانية إلى بضع دقائق |
| بطء القراءة، وبطء الإرسال، واحتكار الاتصالات | قواعد DDoS Pro للمهلة ومعدل الجسم | دقائق، تتطلب ضبطًا |
| إساءة استخدام منطق تطبيقك الخاص | الكود الخاص بك. يمكننا تحديد معدله، لكن لا يمكننا فهمه | ليست طبقتنا |
أكبر هجوم امتصصناه دون انقطاع مرئي للعميل كان ما يزيد قليلاً عن 2.1 تيرابت/ثانية من UDP المنعكس عبر أربعة مواقع داخل نفس النافذة الزمنية البالغة اثنتي عشرة دقيقة. في أكتوبر 2020، كان الهجوم الذي مول هذه الطبقة لأول مرة بقوة 340 جيجابت/ثانية وأوقف AMS-01 لمدة إحدى عشرة دقيقة.
ما يضيفه DDoS Pro، مقابل تسعة وعشرين يورو
يتعامل الفلترة المضمنة مع كل ما يمكن تحديده من الحزمة. DDoS Pro مخصص للهجمات التي تبدو تمامًا مثل العملاء، لأنها تأخذ شكل العملاء.
اشترك فيه قبل أن تحتاجه. كتابة قواعد الطبقة 7 أثناء الهجوم ممكنة ولكنها مزعجة للغاية.
القواعد في الطبقة 7
حدود معدل لكل مسار، وشروط للطرق والترويسات، ومطابقة بصمة العميل بنمط JA، واستجابات التحدي التي يمكنك نطاقها إلى نقطة نهاية واحدة بدلاً من موقعك بالكامل. تُطبق القواعد في ثوانٍ وتُتراجع بنفس السرعة.
توقيعات تُكتب لك
عندما يكون للهجوم شكل لا تلتقطه القواعد العامة، يكتب فريق الشبكة التوقيع أثناء الحادث ويتركه في مكانه بعد ذلك. يبقى ملكك؛ ولا تتم مشاركته في قائمة عالمية دون إذن.
شخص على الطرف الآخر
مهندس محدد على التذكرة طوال المدة، وليس موقعًا في قائمة الانتظار. هذا هو الجزء الذي يجدد العملاء اشتراكهم من أجله، وهو سبب أن السعر هو تسعة وعشرون يورو وليس مجانيًا.
يقوم DDoS Pro بإنهاء TLS فقط إذا سلمتنا شهادة، وهو ما يرفضه العديد من العملاء بشكل معقول. بدون شهادة، تعمل قواعد الطبقة 7 على سلوك الاتصال والبيانات الوصفية بدلاً من محتويات الطلب، وهذا لا يزال كافيًا لمعظم الفيضانات.
ما لا يمكننا حمايتك منه
هذا القسم موجود لأن صفحة كل منافس مكافئة تتوقف قبله. الفلترة هي قدرة شبكة ذات حواف حادة، ومعرفة مكانها يساوي أكثر من فقرة أخرى حول السعة.
تطبيق ينهار عند 400 طلب في الثانية
إذا لم تتحمل مجموعتك التقنية زيادة حركة مرور متواضعة، لا يحتاج المهاجم إلى شبكة بوتنت، بل يحتاج فقط إلى الصبر. الفلترة تشتري لك الوقت لإصلاح المشكلة؛ إنها لا تصلح المشكلة.
هجمات على بنية تحتية لا نديرها
نظام أسماء النطاقات الموثوق لديك المستضاف في مكان آخر، أو مسجل النطاق الخاص بك، أو مزود الدفع، أو واجهة برمجة التطبيقات العلوية لديك. حركة المرور التي لا تلمس شبكتنا لا يمكن فلترتها بها.
أي شيء يتجاوز سعة تنقية الموقع
موقع بسعة 4 تيرابت/ثانية يمتص 4 تيرابت/ثانية. وما بعد ذلك يتم منع توجيه العنوان لحماية الجميع في الطابق، والتظاهر بخلاف ذلك سيكون نوع الوعد الذي يقرأ جيدًا ويفشل بصخب.
هجمات مُنفذة داخل جلسات مشروعة
تخمين الاعتمادات بسرعة بشرية، وسحب البيانات من بروكسيات سكنية، واستعلام واحد مكلف يتكرر ببطء. هذه مشاكل تفويض وتطبيقات ترتدي زيًا شبكيًا.
حركة مرور طلبت منا السماح بها
إذا فتحت خدمة UDP للعالم واتضح أنها مضخمة، فسنقوم بتصفية الإساءة ثم نخبرك بإصلاح الخدمة. كلا الجزأين من الجملة مهمان.
هجمات صادرة من مثيلك الخاص
التصفية تحميك من الإنترنت. عندما تذهب الحركة في الاتجاه الآخر، تصبح حالة إساءة، وينتهي هذا المسار بتعليق المثيل بدلاً من تنظيفه.
الحدود الصادقة، مكتوبة
سياسات يكتشفها الناس في أسوأ لحظة ممكنة في مكان آخر. ها هي مسبقًا، بالترتيب الذي ستحدث لك به.
- 01
المسار الصفري، وما يسببه
عنوان واحد، عندما يتجاوز هجوم ضده ما يمكن للموقع تنظيفه أو عندما يبدأ التأثير الجانبي بالتأثير على عملاء آخرين. أبدًا الحساب بأكمله، وأبدًا مثيلات أخرى، وأبدًا كرد أول على هجوم متواضع.
- 02
كم من الوقت يستمر
خمس عشرة دقيقة في البداية، ممتدة بخطوات خمس عشرة دقيقة بينما لا تزال الحركة تصل. معظمها يُرفع عند الفحص الأول. تعرض اللوحة العد التنازلي بدلاً من حملك على طلبه.
- 03
ما يمكنك فعله في هذه الأثناء
شغّل عنوانًا ثانيًا على نفس المثيل وانقل DNS، الأمر الذي يستغرق بضع دقائق وهو سبب كون عناوين IPv4 الإضافية تكلف ثلاثة يورو بدلاً من ثلاثين. عنوان IPv6 الخاص بك عادة ما يظل قابلًا للوصول، لأن الهجمات لا تزال بأغلبية ساحقة عبر IPv4.
- 04
عندما نطلب منك النقل
يُعرض على عميل يجذب حركة مرور متعددة التيرابت مستمرة في موقع بسعة 4 تيرابت/ثانية نقل إلى موقع ارتكاز بدون رسوم. تجري تلك المحادثة مرة واحدة وليست مقدمة لإنهاء الخدمة.
- 05
ما لن نفعله
إنهاء خدمتك لكونك هدفًا. كونك مستهدفًا ليس انتهاكًا لسياسة الاستخدام المقبول، بل هو أمر عادي الثلاثاء، والمضيفون الذين يلغيون الضحايا بسبب إزعاجهم هم سبب وجود الناس هنا.
“أربع سنوات، هجومان، وقرص NVMe تالف استُبدل دون أن أنتبه. هذه هي قائمة الأحداث بأكملها.”
أسئلة حول التصفية
لا. تصفية الطبقات 3 و4 في المسار منذ لحظة تشغيل المثيل، على كل خطة، في كل موقع. الشيء الوحيد الذي يمكنك شراؤه هو طبقة المستوى 7، والشيء الوحيد الذي يمكنك إيقافه هو قاعدة محددة لا توافق عليها.
ليس افتراضيًا، لكن أخبرنا بما تشغّله. خدمات UDP المخصصة على منافذ غير قياسية هي الحالة الوحيدة حيث يمكن أن يكون ملف تعريف عام خاطئًا، وتذكرة من سطرين تنتج تصريحًا لمنافذك في بضع دقائق.
تظهر سجلات التخفيف في اللوحة مع أوقات البداية والنهاية، ومعدلات الذروة، والبروتوكولات الأبرز المعنية. أي شيء يستمر أكثر من خمس دقائق يولد أيضًا بريدًا إلكترونيًا، لأنك قد ترغب في ربطه بما رأته سجلاتك الخاصة.
لا. الحركة المنظفة لا تُحتسب أبدًا ضمن رقم الاستخدام العادل، ولا توجد رسوم لكل حادث. تحميلك مقابل كونك مستهدفًا هو نموذج عمل نظرنا فيه ورفضناه.
حركة المرور داخل شبكة VLAN خاصة لا تعبر الحافة أبدًا، لذا فهي غير مفلترة ولا تحتاج إلى ذلك. إذا كان أحد مثيلاتك يهاجم آخر، فهذا مثيل مخترق ومحادثة مختلفة.
أكثر بقليل من 2.1 تيرابت/ثانية من UDP المنعكس، موزعة عبر أربعة مواقع في غضون اثنتي عشرة دقيقة، دون فقدان حزم مرئي للعميل. تحتوي صفحة الحالة على ملاحظة الحادث، بما في ذلك الأجزاء التي لم تسر بشكل مثالي.
أضف DDoS Pro قبل بعد الظهر الذي تحتاجه فيه
تسعة وعشرون يورو شهريًا لقواعد الطبقة السابعة والتوقيعات المخصصة ومهندس على التذكرة. يمكن إضافته إلى مثيل قيد التشغيل دون إعادة تشغيل وإلغاؤه بنفس الطريقة.