DDoS Dayanıklılığı için Mimari Tasarlama

En güçlü DDoS savunması son anda tepki vermek değil, dayanıklı mimaridir. İş yüklerini küresel uç hizmetlerle öne alarak, açığa çıkan yüzeyi en aza indirerek ve esnek biçimde ölçeklendirerek AWS'nin taşkın trafiği kaynağınıza ulaşmadan karşılamasını sağlarsınız. Shield ve WAF daha sonra kalan kısmı ele alır.

CloudFront, içeriği çok büyük toplam kapasiteye sahip yüzlerce uç konumdan sunarak hacimsel taşkınları ağ geneline dağıtır. CloudFront'u uygulamanızın önüne koyduğunuzda saldırı trafiği önce dayanıklı uca ulaşır ve Shield Standard bu ucu otomatik olarak korur.

AWS'nin DNS hizmeti olan Route 53, DNS katmanı saldırılarını karşılayan, küresel olarak dağıtılmış ve son derece dayanıklı bir anycast ağı üzerine kuruludur. Alan adlarınız için bunu kullanmak ve yük devretme amacıyla sağlık kontrolleri eklemek, saldırı altında bile ad çözümlemesini kullanılabilir tutar ve sağlık verilerini Shield Advanced'e iletir.

AWS Global Accelerator, kullanıcıları AWS omurgası üzerinden en yakın sağlıklı uç noktaya yönlendiren statik anycast IP'ler sağlar. Kullanılabilirliği artırır ve CloudFront gibi, HTTP dışı iş yüklerine yönelik saldırıları karşılamaya ve yeniden yönlendirmeye yardımcı olan geniş ve korumalı bir uç yüzü sunar.

Saldırganların ulaşabileceği alanı azaltın. Örnekleri özel alt ağlara yerleştirin, yalnızca yük dengeleyicileri dışa açın ve mümkün olduğunda genel Elastic IP'lerden kaçının. Doğrudan erişilebilen uç noktalarınız ne kadar az olursa DDoS'un hedefleyebileceği hedef sayısı da o kadar azalır ve trafiğin korumalı uç hizmetlerden geçmesi zorunlu olur.

Otomatik ölçeklendirme ve esnek hizmetler, taşkın altında çökmek yerine onu karşılamak için kapasite eklemenizi sağlar. Shield Advanced maliyet korumasıyla birlikte ölçeklendirme, kontrolsüz faturalardan endişe etmeden uygulanabilir bir savunmaya dönüşür. Durum bilgisi tutmayan ve yatay olarak ölçeklenebilen tasarımlar, sabit kapasiteli tasarımlara göre ani artışları çok daha iyi yönetir.

Uygulama katmanı taşkınları için hız tabanlı kurallara sahip WAF'ı CloudFront'a veya ALB'nize bağlayarak kötüye kullanan kaynakların uçta hızının sınırlandırılmasını sağlayın. Bu, hacim tabanlı Shield korumasının ele alamadığı, geçerli görünümlü istek taşkınlarını yöneterek çok katmanlı savunmayı tamamlar.

Saldırganların kaynağınıza doğrudan ulaşarak ucu atlayamayacağından emin olun. Kaynak güvenlik gruplarını CloudFront IP aralıklarıyla sınırlandırın veya bir CloudFront gizli üst bilgisini doğrulayın ve kaynak DNS adlarını yayımlamayın. Kaynağa erişilebiliyorsa tüm uç savunmalarınız atlatılabilir.

Route 53 sağlık kontrollerini ve çoklu-AZ ya da çoklu-Bölge yük devretmesini, yollardan biri kötüleştiğinde trafiğin sağlıklı olana aktarılacağı şekilde yapılandırın. Sağlığa dayalı yönlendirme hem dayanıklılığı artırır hem de Shield Advanced'e bağlandığında saldırı algılamasını ve proaktif SRT etkileşimini iyileştirir.

Saldırıları erken algılamak için istek sayılarına, gecikmeye ve hata oranlarına CloudWatch alarmları kurun ve saldırı telemetrisi için Shield konsolunu inceleyin. Erken algılama, otomatik azaltmaların ve aboneyseniz SRT'nin saldırı tam kesintiye yol açmadan önce harekete geçmesini sağlar.

Dayanıklı bir desen: Route 53'ten CloudFront'a (veya Global Accelerator'a), oradan WAF'a ve bölgesel bir ALB'ye; kaynaklar özel alt ağlarda, otomatik ölçeklendirme etkin, Shield Advanced'e kayıtlı ve kaynak kilitlenmiş. Her katman saldırının bir bölümünü karşılar veya filtreler; bu, kullanılabilirlik için derinlemesine savunmayı somutlaştırır.

Dayanıklı tasarım seçeneğini seçin.

DDoS dayanıklılığı mimariyle oluşturulur: taşkınları uçta karşılamak için iş yüklerini CloudFront, Route 53 ve Global Accelerator ile öne alın, özel alt ağlarla saldırı yüzeyini küçültün ve yükü karşılamak için otomatik ölçeklendirme kullanın. Katman 7 için WAF hız tabanlı kurallarını ekleyin, atlatmayı önlemek için kaynağı koruyun, yük devretme amacıyla sağlık kontrolleri yapılandırın ve erken algılama için trafik anormalliklerinde alarm kurun.