In che modo i CDN proteggono i siti di failover dagli attacchi DDoS?

Sono in fase di progettazione per un'app Web Java che probabilmente finirò per distribuire a Google App Engine (GAE). La cosa bella di GAE è che davvero non devo preoccuparmi di fortificare la mia app dall'attacco DDoS temuto - ho appena specificato un "limite di fatturazione" e se il mio traffico raggiunge questo limite (DDoS o altro), GAE chiuderà semplicemente la mia app. In altre parole, GAE si ridurrà essenzialmente a qualsiasi importo fino a quando semplicemente non puoi permetterti di mantenere l'app in esecuzione più a lungo.

Quindi sto cercando di pianificare una contingenza in base alla quale, se raggiungo questo limite di fatturazione e GAE arresta la mia app, le impostazioni DNS del dominio della mia app Web "eseguono il failover" su un altro indirizzo IP non GAE. Alcune ricerche iniziali hanno dimostrato che alcuni CDN come CloudFlare offrono servizi per questa situazione esatta. Fondamentalmente, mantengo solo le mie impostazioni DNS con loro e forniscono un'API che posso colpire per automatizzare una procedura di failover. Pertanto, se rilevo che sono al 99% del mio limite di fatturazione per la mia app GAE, posso toccare questa API CloudFlare e CloudFlare cambierà dinamicamente le mie impostazioni DNS per puntare lontano dai server GAE a qualche altro indirizzo IP.

La mia contingenza iniziale sarebbe quella di eseguire il failover su una versione "sola lettura" (solo contenuto statico) della mia app Web ospitata da qualche altra parte, magari da GoDaddy o Rackspace.

Ma poi all'improvviso mi sono reso conto: se gli attacchi DDoS prendono di mira il nome di dominio, che differenza fa se passo al passaggio dal mio indirizzo IP GAE al mio indirizzo IP (ad esempio) GoDaddy? In sostanza, il failover non farebbe altro che consentire agli aggressori DDoS di far cadere il mio sito di backup / GoDaddy!

In altre parole, gli aggressori DDoS coordinano un attacco sulla mia app Web, ospitata da GAE, su www.blah-whatever.com, che in realtà è un indirizzo IP di 100.2.3.4 . Causano il mio traffico al 98% del mio limite di fatturazione e il mio monitor personalizzato avvia un failover CloudFlare da 100.2.3.4 a 105.2.3.4 . Agli attaccanti DDoS non importa! Stanno ancora lanciando un attacco contro www.blah-whatever.com! L'attacco DDoS continua!

Quindi chiedo: quale protezione offrono CDN come CloudFlare in modo che - quando è necessario eseguire il failover su un altro DNS - non si sia a rischio per lo stesso, attacco DDoS continuo? Se esiste una protezione di questo tipo, esistono restrizioni tecniche (ad esempio di sola lettura, ecc.) Che vengono collocate sul sito di failover? In caso contrario, a che cosa servono ?! Grazie in anticipo!

Non proteggono dagli attacchi DDoS in questa configurazione. Un CDN non "protegge" da un attacco DDoS, ma ne mitiga gli effetti avendo un sacco di hardware e larghezza di banda da risolvere. Quando la CDN modifica le impostazioni DNS per puntare direttamente al tuo server, la CDN non gestisce più le richieste per il tuo sito Web: i client non vedono mai l'IP della CDN, quindi la CDN non può più offrirti protezione.

Per quanto riguarda "a che cosa servono" - gli attacchi DDoS non sono il punto di usare una CDN. Il punto di usare una CDN è ridurre la latenza tra quando qualcuno richiede una grande mole di dati da uno dei tuoi server web e quella persona che ottiene i dati, accorciando la distanza geografica tra il server e il client. È un'ottimizzazione perf che puoi fare; ma in realtà non è progettato per fornire sicurezza da DDoS.

Lavoro per Incapsula , una società di Cloud Security che fornisce anche servizi di accelerazione basati su CDN (come CF).

Voglio dire che mentre (come correttamente affermato da @Billy ONeal) CDN di per sé non fornisce protezione DDoS, una rete proxy basata su cloud è uno strumento di mitigazione DDoS MOLTO efficace.

E così, nel caso di DDoS su Cloud CDN, non è il "CDN" ma "Cloud" che ti protegge assorbendo tutto il traffico aggiuntivo generato da DDoS, pur consentendo l'accesso al tuo sito da diversi POP in tutto il mondo.

Inoltre, poiché si tratta di una soluzione proxy front-gate, questa tecnologia può essere utilizzata per mitigare gli attacchi DDoS di rete di livello 3-4 (ovvero alluvioni SYN) che utilizzano IP falsificati per inviare numerose richieste SYN ai server.

In questo caso un proxy non stabilirà una connessione fino a quando non viene ricevuta una risposta ACK, evitando così che si verifichi il diluvio SYN.

Esistono anche altri modi in cui è possibile utilizzare Cloud per la sicurezza dei siti Web (ad es. Bad Bot Blocking, WAF basato su cloud) e alcuni di questi possono essere utilizzati anche per la mitigazione o la prevenzione DDoS (l'arresto dei robot scanner è un buon esempio per i successivi) ma il la cosa principale da capire qui è che tutto questo non si basa sulla CDN ma sulla tecnologia Cloud.