DDoS védelem és WAF szolgáltatás

Mit állítunk be konkrétan

A hálózati szintű DDoS védelem (L3/L4) minden szerveren alapból megvan: az elárasztó forgalmat a hálózat szélén szűrjük ki, mielőtt elérné a gépedet. Erre épül a WAF, amelyet az alkalmazásod tényleges kéréseihez hangolunk: OWASP CRS alapú szabályokkal indulunk, majd finomítjuk a hamis pozitívokat, sebességkorlátozást állítunk be az érzékeny végpontokra, és bot-szűrést kapcsolunk a nem emberi forgalomra. A bevezetés megfigyelő módban kezdődik, hogy lássuk, mely szabályok blokkolnának jogos forgalmat, és csak ezután élesítjük a védelmet teljes szigorral.

• L3/L4 hálózati DDoS védelem minden szerveren
• OWASP CRS alapú WAF-szabályok, az alkalmazásra hangolva
• Sebességkorlátozás a bejelentkezési és fizetési végpontokon
• Bot-szűrés és geo/ASN-szabályok, ahol indokolt

Az AI-kor: gépi tanulásos bot-felismerés

A botok ma már emberi böngészőt szimulálnak, TLS-ujjlenyomatot hamisítanak (JA3/JA4) és véletlenszerű késleltetéssel próbálnak elkerülni egy szabályalapú szűrést. A védekező oldalon ez azt jelenti, hogy a statikus szabályok mellett viselkedésalapú és gépi tanulásos jelzéseket is figyelünk: kérésminta, forgalmi arány, ujjlenyomat-anomália. Frissen publikált sebezhetőségekre virtuális patch-et teszünk a WAF-ba, amíg a valódi javítás bekerül a kódba, mert az automatizált szkennerek órákon belül próbálkoznak egy új CVE-vel.

Mikor elég a hálózati védelem, mikor kell WAF is

Ha a szolgáltatásod statikus tartalmat szolgál ki vagy API-forgalma kicsi, a hálózati DDoS védelem önmagában is erős alapot ad. Ahogy nő a bejelentkezéssel, fizetéssel vagy felhasználói adatokkal dolgozó felület, a WAF válik indokolttá, mert az ilyen célzott kéréseket a hálózati réteg nem tudja megkülönböztetni a jogos forgalomtól. A döntést nem egyszer hozzuk meg: ahogy az alkalmazásod bővül új funkciókkal, rendszeresen újranézzük, hogy a meglévő védelmi réteg még mindig arányos-e a tényleges kockázattal.

• Csak statikus tartalom: hálózati DDoS védelem elég
• Bejelentkezés, fizetés, API: WAF is indokolt
• Nagy forgalmú webshop: WAF plusz sebességkorlátozás

Hogyan dolgozunk

1. Forgalom feltérképezése

   Megnézzük, milyen végpontok érzékenyek: bejelentkezés, fizetés, API, feltöltés, és ezekhez hangoljuk a szabályokat, hogy ne blokkoljunk jogos forgalmat.

2. WAF-szabályok bevezetése

   OWASP CRS alapú szabálykészlettel indulunk, megfigyelő módban teszteljük, majd élesítjük, miután a hamis pozitívokat kiszűrtük.

3. Sebességkorlátozás és bot-szűrés

   Beállítjuk a sebességkorlátozást az érzékeny végpontokra, és bekapcsoljuk a bot-szűrést a gyanús vagy nem emberi forgalomra.

4. Folyamatos hangolás

   A DevOps órák terhére figyeljük a blokkolási naplót, és finomítjuk a szabályokat, ahogy az alkalmazásod vagy a támadási minták változnak.

Felhasználási esetek

Technológiák

• OWASP CRS
• ModSecurity
• nftables
• Fail2ban
• CrowdSec
• JA3/JA4 ujjlenyomat
• Sebességkorlátozás
• Geo/ASN szűrés

Gyakori kérdések

• Mi az a DDoS-támadás?

  A DDoS (elosztott szolgáltatásmegtagadási) támadás célja, hogy nagy mennyiségű forgalommal vagy kéréssel túlterhelje a szervert vagy a hálózatot, amíg az elérhetetlenné válik a valódi felhasználók számára. Lehet tisztán hálózati elárasztás, vagy célzottan az alkalmazás egy végpontja ellen indított túlterhelés.

• Mennyibe kerül a DDoS védelem?

  A hálózati L3/L4 DDoS védelem minden 4hosting szerveren alapból benne van, külön díj nélkül. A WAF hangolása és a folyamatos finomhangolás a havi DevOps órák terhére megy; a pontos igényt a forgalmad alapján mérjük fel.

• Mi az a WAF, és kell-e a weboldalamnak?

  A WAF (webalkalmazás-tűzfal) a HTTP-kéréseket vizsgálja, és blokkolja az ismert támadási mintákat, mint az SQL-injektálás vagy a cross-site scripting. Ha felhasználói adatokat, bejelentkezést vagy fizetést kezelsz, érdemes bekapcsolni; egy statikus prospektusoldalnak kevésbé sürgős.

• Elég-e egy ingyenes DDoS-védelem?

  Egy alapszintű, ingyenes szűrés a legdurvább elárasztásokat megállítja, de nem hangolható az alkalmazásod valós forgalmához, és nem ad sebességkorlátozást vagy bot-szűrést a célzott próbálkozásokra. Nagyobb kockázatú felületeknél a hangolt WAF ezt a rést zárja le.

• Blokkolhatja a WAF a saját felhasználóimat?

  Rosszul hangolt szabályok igen, ezért megfigyelő módban vezetjük be és teszteljük, mielőtt élesítjük. A hamis pozitívokat a bevezetés utáni napokban figyeljük, és folyamatosan finomítjuk a szabályokat a valós forgalom alapján.

• Milyen szervereken elérhető a WAF?

  VPS, dedikált és GPU csomagokon állítjuk be egyedileg az alkalmazásodra hangolva. cPanel csomagokon a hálózati DDoS védelem érvényes; alkalmazásszintű WAF-hangolás VPS-től felfelé indokolt, ahol root hozzáférésed van a konfigurációhoz, és a havi DevOps órák terhére tudjuk finomítani a szabályokat, ahogy az alkalmazásod fejlődik.