DDoS-प्रतिरोधी आर्किटेक्चर बनाना

सबसे मजबूत DDoS सुरक्षा अंतिम क्षण की प्रतिक्रिया नहीं, बल्कि लचीली वास्तुकला है। कार्यभारों के सामने वैश्विक एज सेवाएँ रखकर, खुले हुए हिस्से को न्यूनतम रखकर और लोचपूर्ण स्केलिंग अपनाकर, आप AWS को अपने मूल सर्वर तक पहुँचने से पहले ही बाढ़ जैसे ट्रैफ़िक को संभालने देते हैं। इसके बाद Shield और WAF शेष ट्रैफ़िक संभालते हैं।

CloudFront विशाल संयुक्त क्षमता वाले सैकड़ों एज स्थानों से सामग्री उपलब्ध कराता है और नेटवर्क में अत्यधिक मात्रा वाले हमलों को बाँट देता है। अपने अनुप्रयोग के सामने CloudFront रखने से हमले का ट्रैफ़िक पहले लचीले एज तक पहुँचता है और Shield Standard उसे स्वचालित रूप से सुरक्षित करता है।

AWS की DNS सेवा Route 53 विश्वभर में वितरित और अत्यधिक लचीले anycast नेटवर्क पर बनी है, जो DNS स्तर के हमलों को संभालता है। स्वास्थ्य जाँचों के साथ अपने डोमेन के लिए इसका उपयोग करने पर, हमले के दौरान भी नाम समाधान उपलब्ध रहता है और स्वास्थ्य संबंधी डेटा Shield Advanced तक पहुँचता है।

AWS Global Accelerator स्थिर anycast IP उपलब्ध कराता है, जो उपयोगकर्ताओं को AWS बैकबोन के माध्यम से निकटतम स्वस्थ एंडपॉइंट तक पहुँचाता है। यह उपलब्धता सुधारता है और CloudFront की तरह एक बड़ा, सुरक्षित एज क्षेत्र प्रदान करता है, जो गैर-HTTP कार्यभारों पर होने वाले हमलों को सोखने और उनसे बचने के लिए ट्रैफ़िक को दूसरी दिशा में भेजने में सहायता करता है।

हमलावरों की पहुँच वाली चीज़ें कम करें। इंस्टेंस को निजी सबनेट में रखें, केवल लोड बैलेंसर को सार्वजनिक करें और जहाँ संभव हो, सार्वजनिक Elastic IP से बचें। सीधे पहुँच योग्य एंडपॉइंट जितने कम होंगे, DDoS के लिए लक्ष्य उतने ही कम होंगे और उतना ही अधिक ट्रैफ़िक सुरक्षित एज सेवाओं से होकर गुज़रेगा।

स्वतः स्केलिंग और लोचपूर्ण सेवाएँ आपको बाढ़ जैसे ट्रैफ़िक को सहने के लिए क्षमता बढ़ाने देती हैं, बजाय इसके कि आपका सिस्टम उसके नीचे ढह जाए। Shield Advanced की लागत सुरक्षा के साथ, अनियंत्रित बिलों की चिंता के बिना स्केलिंग एक व्यवहार्य सुरक्षा उपाय बन जाती है। स्थिर क्षमता वाली डिज़ाइन की तुलना में स्थिति-रहित और क्षैतिज रूप से स्केल होने वाली डिज़ाइन ट्रैफ़िक वृद्धि को कहीं बेहतर संभालती हैं।

अनुप्रयोग-स्तर के बाढ़ जैसे हमलों के लिए CloudFront या अपने ALB से दर-आधारित नियमों वाला WAF जोड़ें, ताकि दुरुपयोग करने वाले स्रोतों की गति एज पर सीमित की जा सके। यह ऐसे अनुरोधों की बाढ़ संभालता है जो देखने में वैध लगते हैं, लेकिन जिन्हें मात्रा-आधारित Shield सुरक्षा नहीं रोक सकती; इस तरह बहु-स्तरीय सुरक्षा पूरी होती है।

सुनिश्चित करें कि हमलावर आपके मूल सर्वर तक सीधे पहुँचकर एज को पार न कर सकें। मूल सर्वर के सुरक्षा समूहों को केवल CloudFront IP श्रेणियों तक सीमित करें या CloudFront का गुप्त हेडर सत्यापित करें, और मूल सर्वर के DNS नाम प्रकाशित न करें। यदि मूल सर्वर तक पहुँचा जा सकता है, तो आपकी सभी एज सुरक्षा व्यवस्थाओं को दरकिनार किया जा सकता है।

Route 53 स्वास्थ्य जाँच और बहु-AZ या बहु-क्षेत्र विफलता-स्थानांतरण कॉन्फ़िगर करें, ताकि कोई मार्ग कमजोर होने पर ट्रैफ़िक स्वस्थ मार्ग पर चला जाए। स्वास्थ्य-आधारित रूटिंग लचीलापन सुधारती है और Shield Advanced से जुड़ी होने पर हमले की पहचान तथा सक्रिय SRT सहायता को अधिक सटीक बनाती है।

हमलों का जल्दी पता लगाने के लिए अनुरोधों की संख्या, विलंबता और त्रुटि दरों पर CloudWatch चेतावनियाँ सेट करें तथा हमले से संबंधित टेलीमेट्री के लिए Shield कंसोल की समीक्षा करें। शुरुआती पहचान से स्वचालित शमन उपाय और, यदि आपने सदस्यता ली हो, SRT पूर्ण सेवा-विघटन से पहले कार्रवाई कर सकते हैं।

एक लचीली डिज़ाइन: Route 53 से CloudFront (या Global Accelerator), फिर WAF से क्षेत्रीय ALB तक, जिसमें मूल सर्वर निजी सबनेट में हों, स्वतः स्केलिंग हो, Shield Advanced में जोड़े गए हों और मूल सर्वर पर कड़ी पहुँच-सीमा हो। प्रत्येक स्तर हमले के एक हिस्से को सोखता या फ़िल्टर करता है और उपलब्धता के लिए गहराई में सुरक्षा का उदाहरण प्रस्तुत करता है।

DDoS लचीलापन वास्तुकला में बनाया जाता है: बाढ़ जैसे ट्रैफ़िक को एज पर सोखने के लिए कार्यभारों के सामने CloudFront, Route 53 और Global Accelerator रखें, निजी सबनेट के माध्यम से हमले का क्षेत्र छोटा करें और भार सोखने के लिए स्वतः स्केलिंग का उपयोग करें। Layer 7 के लिए WAF दर-आधारित नियम जोड़ें, मूल सर्वर को सीधे पहुँच से सुरक्षित करें, विफलता-स्थानांतरण के लिए स्वास्थ्य जाँचें कॉन्फ़िगर करें और शुरुआती पहचान के लिए ट्रैफ़िक की असामान्यताओं पर चेतावनी दें।