フィルタリングはすでに適用済み
攻撃が始まったときに押すボタンはない。なぜなら、フィルタリングは攻撃が始まる前から経路上にあったからだ。最大12 Tbit/sのスクラビング容量、ボリューム攻撃のクラスでは秒単位で測定される緩和、そして以下のセクションでは、これらが救済しないものを列挙する。
常時稼働とは、常に経路上にあるということ
「保護を有効化」トグルはない。トグルは、誰かがそれを見つけるまでのダウンタイムが数分あることを意味する。
インスタンス宛てのすべてのパケットは、攻撃の有無にかかわらずフィルタリングレイヤーを通過する。通常時は、1ミリ秒未満の遅延が加わり、それ以外のことは何もしない。何かが始まると、変化するのはトラフィックの経路ではなく、ドロップされるものだ。
代替モデル（アラームが作動するとトラフィックがスクラビングセンターに迂回される）は同等に聞こえるが、そうではない。迂回には収束に時間がかかり、攻撃の最初の90秒はまさにフィルタリングしたかった部分である。
全プランに含まれる
最小のRyzenインスタンスからデュアルソケットのベアメタルマシンまで。フィルタリング容量はサイトのプロパティであり、あなたが支払った金額には依存しない。
サイトごとの容量
アムステルダム、フランクフルト、ニューヨークで12 Tbit/s、中規模サイトで8 Tbit/s、小規模サイトで4 Tbit/s。各サイトの数値はロケーションページに記載されており、切り上げはされない。
遅延コスト、測定済み
定常状態ではエッジで0.4ミリ秒未満の遅延が加わる。アクティブな緩和中は、ドロップにサイクルがかかるため、通常1〜2ミリ秒に上昇する。
何が検出され、どのくらい速いか
検出は2つのシステムが異なる仕事をする。一つはハードウェアで既知の悪意のあるトラフィックをマッチングし、思考を必要としない。もう一つはレートと分布を監視し、何かが変わったと判断する。
- 01
ラインレートのシグネチャマッチ
増幅プロトコル、不正なヘッダー、フラグメント悪用はマッチ時にエッジでドロップされる。最初にしきい値を超える必要がないため、実効的な緩和時間はゼロである。
- 02
フロー集約、2秒ウィンドウ
各エッジルーターからのサンプルフローテレメトリがローリングウィンドウに供給される。パケットレート、接続レート、送信元エントロピー、プロトコルミックスがサイトごとではなく宛先アドレスごとに監視される。
- 03
しきい値トリップ
学習されたベースラインを超える宛先には、自動的に緩和プロファイルが適用される。最初の攻撃パケットからプロファイル適用までの中央値は、ボリューム攻撃クラスでは2秒未満である。
- 04
より大きな攻撃には人間が対応
100 Gbit/sを超えるものは、時間を問わずネットワークチームのページャーが鳴る。自動化が監視を必要とするからではなく、その規模の攻撃には通常、背後にもう一つの静かな攻撃が伴うからだ。
- 05
ログを記録し、あなたが読む
すべての緩和は、パネルで確認できるレコードを書き込む：開始、終了、ピークビット/秒とパケット/秒、上位プロトコル、プロファイルがドロップしたもの。
レイヤー3と4、これは実際に解決されている部分
ボリューム攻撃とプロトコル攻撃は既知の答えがある工学的問題であり、その答えは容量と、あなたの前に置かれたステートフルなハードウェアである。レイヤー7はまったく別の問題であり、それ専用のセクションがある。
| 攻撃クラス | 処理される場所 | 典型的な緩和時間 |
|---|---|---|
| UDP増幅（DNS、NTP、memcached、SSDP、CLDAP） | シグネチャマッチでエッジにてドロップ | 即時、常時有効 |
| フラグメント化および不正なIP | 再組み立てが試行される前にドロップ | 即時、常時有効 |
| SYN/ACKフラッド | スクラビングレイヤー、Cookie、送信元ごとのレートプロファイル | 2秒未満 |
| TCP状態の枯渇 | スクラビングレイヤー、送信元ごとの接続上限 | 5〜20秒 |
| トンネルフラッド（GRE、IPIP、ESP） | プロトコルを要求しない限りドロップ | 即時、常時有効 |
| 自前のリゾルバーへのDNSクエリフラッド | レートプロファイルとレスポンスレート制限 | 10〜60秒 |
| HTTPおよびHTTPSリクエストフラッド | インスタンスパス上のDDoS Proルール | 30秒から数分 |
| スローリード、スローポスト、接続の占有 | DDoS Proのタイムアウトおよびボディレートルール | 数分、チューニングが必要 |
| アプリケーションロジックの悪用 | あなたのコード。レート制限はできますが、理解はできません | 当社のレイヤーではない |
当社が顧客に見えるダウンなしで吸収した最大の攻撃は、同じ12分間のウィンドウ内に4つのサイトにわたって反射型UDPが2.1 Tbit/sをわずかに超えたものでした。2020年10月、この層の費用を初めて賄った攻撃は340 Gbit/sで、AMS-01が11分間ダウンしました。
DDoS Proが追加するもの、29ユーロ
含まれるフィルタリングは、パケットから識別できるすべてを処理します。DDoS Proは、顧客とまったく同じに見える攻撃、つまり顧客と同じ形をしている攻撃のためのものです。
必要になる前に購入してください。攻撃中にレイヤー7ルールを書くのは可能ですが、非常に不快です。
レイヤー7のルール
パスごとのレート制限、メソッドとヘッダーの条件、JA風のクライアントフィンガープリントマッチング、そしてサイト全体ではなく単一のエンドポイントにスコープできるチャレンジレスポンス。ルールは数秒で適用され、同じくらい速くロールバックされます。
あなたのために書かれたシグネチャ
攻撃が一般的なルールで見逃される形状を持つ場合、ネットワークチームはインシデント中にシグネチャを書き、後に残します。それはあなたのものであり、許可なくグローバルリストに共有されることはありません。
向こう側にいる人
期間中のチケットに名前の付いたエンジニアが対応します。キューでの順番待ちではありません。それが顧客が実際に更新する理由であり、価格が29ユーロで無料ではない理由です。
DDoS Proは、証明書を提供した場合にのみTLSを終端しますが、多くの顧客は合理的にそれを拒否します。証明書がない場合、レイヤー7ルールはリクエストの内容ではなく接続の動作とメタデータに基づいて機能し、それでもほとんどのフラッドには十分です。
私たちがあなたを守れないもの
このセクションは、すべての競合他社の同等のページがその前に止まるために存在します。フィルタリングは鋭いエッジを持つネットワーク機能であり、それらがどこにあるかを知ることは、容量に関するもう一つの段落よりも価値があります。
毎秒400リクエストでダウンするアプリケーション
スタックが適度なトラフィックスパイクに耐えられない場合、攻撃者はボットネットを必要とせず、忍耐だけが必要です。フィルタリングは問題を修正する時間を稼ぎますが、問題を修正するわけではありません。
当社が実行していないインフラへの攻撃
他社でホストされている権威DNS、レジストラ、決済プロバイダー、上流API。当社のネットワークに到達しないトラフィックは、当社のネットワークでフィルタリングできません。
サイトのスクラビング容量を超えるもの
4 Tbit/sのサイトは4 Tbit/sを吸収します。それを超えると、他のフロアを保護するためにアドレスがヌルルートされ、そうでないふりをすることは、うまく読めて大音量で失敗する種類の約束になるでしょう。
正当なセッション内で運ばれる攻撃
人間の速度でのクレデンシャルスタッフィング、住宅用プロキシからのスクレイピング、高価なクエリをゆっくり繰り返すこと。これらは、ネットワークの衣をまとった認証とアプリケーションの問題です。
許可を求めたトラフィック
UDPサービスを世界に公開し、それがアンプリファイアであることが判明した場合、私たちは悪用をフィルタリングし、その後サービスを修正するよう伝えます。その文の両方の部分が重要です。
インスタンスからの送信攻撃
フィルタリングは、インターネットからあなたを保護します。トラフィックが逆方向に流れる場合、それは不正利用となり、その道のりはスクラビングではなくインスタンスの停止で終わります。
正直な限界、書き留められたもの
他の場所では最悪の瞬間に知られる2つのポリシー。ここでは事前に、あなたに起こる順序で紹介します。
- 01
ヌルルートとそのトリガー条件
1つのアドレスは、攻撃がサイトのスクラビング能力を超えた場合、または巻き添えで他の顧客に影響を与え始めた場合にヌルルートになります。決してアカウント全体や他のインスタンスに対しては適用されず、軽微な攻撃への最初の対応としても使用されません。
- 02
持続時間
最初は15分間で、トラフィックがまだ到着している間は15分単位で延長されます。ほとんどは最初のチェックで解除されます。パネルにはカウントダウンが表示され、問い合わせる必要はありません。
- 03
その間にできること
同じインスタンスに2つ目のアドレスを起動してDNSを移行します。これには数分かかります。そのため、追加のIPv4アドレスは30ユーロではなく3ユーロです。IPv6アドレスは通常まだ到達可能です。なぜなら攻撃は依然として圧倒的にIPv4だからです。
- 04
移行をお願いするとき
4 Tbit/sのサイトで持続的なマルチテラビットのトラフィックを引き付ける顧客には、無償でアンカーサイトへの移行が提供されます。その会話は一度だけ行われ、解約の前触れではありません。
- 05
私たちがしないこと
標的にされただけで解約することはありません。攻撃されることは利用規約違反ではなく、日常茶飯事です。被害者を不便だからとキャンセルするホストが、人々がここに来る理由です。
“4年間で、攻撃が2回、NVMeが1回故障しましたが、気づかないうちに交換されていました。それがすべての出来事です。”
フィルタリングに関する質問
いいえ。レイヤー3と4のフィルタリングは、インスタンスが起動した瞬間からすべてのプラン、すべてのサイトでパスに組み込まれています。購入できるのはレイヤー7の階層だけで、オフにできるのは特定のルール（あなたが同意しないもの）だけです。
デフォルトでは壊しませんが、何を実行しているか教えてください。標準以外のポートでのカスタムUDPサービスは、一般的なプロファイルが間違っている可能性がある唯一のケースであり、2行のチケットで数分のうちにポートの許可が得られます。
軽減レコードはパネルに開始時刻と終了時刻、ピークレート、関連する主要プロトコルとともに表示されます。5分以上続くものはメールも生成されます。これは、あなた自身のログとの相関を取りたい場合があるからです。
いいえ。スクラビングされたトラフィックはフェアユースの数値にはカウントされず、インシデントごとの料金もありません。攻撃されたことに対して課金することは、私たちが検討して辞退したビジネスモデルです。
プライベートVLAN内のトラフィックはエッジを通過しないため、フィルタリングされず、その必要もありません。インスタンスの1つが別のインスタンスを攻撃している場合、それは侵害されたインスタンスであり、別の話です。
少し2.1 Tbit/sを超える反射UDPで、12分以内に4つのサイトに広がり、顧客から見えるパケットロスはありませんでした。ステータスページにはインシデントノートがあり、完璧ではなかった部分も含まれています。
午後必要になる前にDDoS Proを追加しましょう
月額29ユーロで、レイヤー7ルール、カスタムシグネチャ、そしてチケットに対応するエンジニアが含まれます。再起動なしで稼働中のインスタンスに追加でき、同じ方法でキャンセルもできます。