Выделенный сервер с защитой от DDoS атак

Что такое DDoS-защищённые выделенные серверы и кому они нужны

DDoS-защищённый выделенный сервер от AvaHost — это bare-metal сервер, развёрнутый в Кишинёве, Молдова, с активной очисткой трафика на уровне сети, которая поглощает и фильтрует потоки вредоносных запросов до того, как они достигнут вашего приложения. Планы начинаются с €85.00/мес и масштабируются через конфигурации с двумя сокетами Intel Xeon до €149.00/мес; полные спецификации видны в селекторе плана выше. Уровень защиты работает непрерывно — не как переключаемая по требованию функция — поэтому смягчение активно как при нормальном трафике, так и при условиях атаки.

Этот сервис разработан для системных администраторов и DevOps-инженеров, запускающих production-нагрузки, которые не могут допустить перерывов в доступности: API backends, сервисы аутентификации, уровни баз данных, трансакционные платформы электронной коммерции и очереди обработчиков, обрабатывающие задачи, чувствительные ко времени. Когда uptime напрямую связан с доходом или контрактными SLA, поглощение объёмной атаки на уровне инфраструктуры — а не на уровне приложения или ОС — это операционно правильная архитектура.

AvaHost работает как хостинг-провайдер с 2002 года. Выделенные серверы по умолчанию неуправляемые, что даёт вашей команде полный root access и полный контроль над ОС, параметрами ядра, правилами firewall и программным стеком. Опциональная управляемая поддержка доступна за €20/час. Настройка завершается в течение 24 часов после подтверждения заказа, часто быстрее.

Покрытие векторов атак и логика фильтрации на сетевом уровне

DDoS-атаки добиваются успеха, истощая один из трёх конечных ресурсов: пропускную способность, таблицы состояния соединений или ёмкость обработки на уровне приложения. Уровень защиты AvaHost решает все три задачи посредством непрерывного анализа трафика, применяемого выше по потоку от сетевого интерфейса сервера.

Уровень защиты обнаруживает и смягчает следующие классы атак:

• TCP SYN/ACK floodingпроверяет TCP-рукопожатие выше по потоку, отбрасывая деформированные или незавершённые сеансы до того, как они потребляют состояние ядра.
• UDP floodingправила ограничения скорости и проверки источника на краю сети отбрасывают трафик, не соответствующий ожидаемым профилям приложений.
• ICMP echo request floodsограничение скорости ICMP на уровне выше по потоку предотвращает насыщение пропускной способности и CPU без полной блокировки легитимного диагностического трафика.
• DNS amplificationотражённые и усиленные DNS-ответы идентифицируются по их асимметричной сигнатуре размера пакета и отбрасываются на входе.
• TCP/IP fragmentation attacksаномальные паттерны смещения фрагментов обнаруживаются и отбрасываются до достижения буферов переассемблирования.

Поскольку фильтрация работает до того, как трафик достигает NIC вашего сервера, процессы приложений, соединения баз данных и сетевой стек ОС никогда не подвергаются воздействию необработанного объёма атаки. Циклы CPU и пропускная способность памяти остаются доступными для обработки легитимной нагрузки, а не для проверки пакетов на уровне ядра.

Бизнес-результат: немитигированная объёмная атака, длящаяся минуты, может исчерпать пулы соединений, вызвать каскадные таймауты в зависимых сервисах и создать уровни ошибок, которые одновременно наносят ущерб доверию пользователей и бюджетам краулинга поисковых систем. Смягчение на сетевом уровне устраняет этот режим отказа на уровне инфраструктуры, поддерживая уровни ошибок и задержку отклика в пределах нормальных рабочих границ независимо от интенсивности атаки.

Почему происходят целевые атаки и почему упреждающее снижение рисков — правильная архитектура

Ожидание атаки перед развёртыванием защиты операционно эквивалентно развёртыванию RAID после отказа диска. Ландшафт угроз включает несколько отчётливых мотиваций злоумышленников, каждая с разными профилями по времени и интенсивности:

• Конкурентное нарушениеУстойчивые атаки низкого и среднего объёма, рассчитанные на совпадение с пиковыми периодами трафика — запуски, распродажи или публичные объявления — деградируют доступность именно когда время безотказной работы имеет наибольшую коммерческую ценность.
• ВымогательствоАтаки, мотивированные выкупом, обычно начинаются с демонстрационного всплеска, за которым следует требование. Без предварительно развёрнутого снижения рисков окно между началом атаки и восстановлением сервиса измеряется часами, а не секундами.
• Случайное сканированиеАвтоматизированные ботнеты непрерывно зондируют диапазоны публичных IP в поисках незащищённых целей. Сервер без активного снижения рисков статистически вероятно будет протестирован в течение дней после развёртывания.
• Побочное нацеливаниеАтаки на инфраструктуру могут повлиять на ваш диапазон IP даже когда ваш сервис не является основной целью. Выделённое распределение bare-metal с снижением рисков на уровне каждого сервера исключает риск соседства, присутствующий в виртуализированных окружениях.

Развёртывание защиты от DDoS как базового требования инфраструктуры устраняет операционные издержки реагирования на инциденты, экстренной эскалации и восстановления репутации после атаки из рабочей нагрузки вашей команды.

Выделение ресурсов Bare-Metal и изоляция рабочих нагрузок в условиях атак

Выделенный сервер обеспечивает физическое выделение ресурсов: ядра CPU, RAM и хранилище не используются совместно с другими клиентами. Это особенно важно при смягчении DDoS-атак, поскольку сам процесс очистки трафика потребляет вычислительные мощности. На общей или виртуализированной инфраструктуре эти затраты конкурируют с рабочими нагрузками соседних клиентов. На выделенном сервере ваше приложение сохраняет полный объём выделенных ресурсов на протяжении всего события смягчения.

Линейка выделенных серверов AvaHost включает конфигурации с двумя сокетами Intel Xeon E5, подходящие для CPU-интенсивных рабочих нагрузок — многопоточная обработка запросов к базам данных, фоновые рабочие процессы и обработка API с высокой конкурентностью — а также конфигурацию AMD Ryzen 5 4650G стоимостью €85,00/мес для рабочих нагрузок, которые выигрывают от более высоких тактовых частот одного ядра. Проверьте конкретный тип хранилища для каждого плана в селекторе, так как конфигурации различаются.

Для команд, запускающих рабочие нагрузки, требующие root-доступа, пользовательских модулей ядра или программного обеспечения, недоступного в общих окружениях, выделенный сервер — это правильный уровень. Команды, в настоящее время использующие VPS-хостинг и испытывающие насыщение CPU, нехватку памяти или проблемы с I/O хранилища при нормальной производственной нагрузке, должны рассмотреть выделённую конфигурацию как следующий этап в иерархии инфраструктуры.

Бизнес-результат: полная физическая изоляция означает, что ваша базовая производительность детерминирована. Планирование ёмкости, нагрузочное тестирование и обязательства по SLA перед вашими собственными клиентами могут основываться на измеренной производительности оборудования, а не на средних значениях общего пула, подверженных влиянию соседних клиентов.

Оплата, развёртывание и операционная непрерывность

Выделенные серверы выставляются счётом ежемесячно по умолчанию; период выставления счёта выбирается при оформлении заказа. Принимаемые способы оплаты включают Visa, Mastercard, PayPal, банковский перевод, WebMoney и более 20 криптовалют, включая BTC, ETH и USDT. Цены указаны в EUR.

Защита от DDoS активна на всех тарифах этой категории — это не отдельно приобретаемое дополнение, требующее конфигурации после развёртывания. При доставке вашего сервера уровень защиты уже работает. Для команд, требующих дополнительного усиления на уровне ОС, управления правилами брандмауэра или конфигурации безопасности на уровне приложений, доступна управляемая поддержка по цене €20/час.

Команды, запускающие веб-приложения, которым требуется уровень SSL наряду с защитой от DDoS, должны ознакомиться с SSL-сертификатами, чтобы убедиться, что шифрование транспортного уровня развёрнуто наряду с смягчением атак на уровне сети. Оба уровня охватывают различные поверхности угроз и работают независимо друг от друга.