החנות האינטרנטית שלך קורסת ב-11 בלילה בבלאק פריידיי. ההזמנות נעצרות. הלקוחות רואים דף שגיאה. כל דקה עולה לך כסף אמיתי. עבור רוב החנויות האינטרנטיות, זהו התרחיש הכי מפחיד - ועבור מספר גדל והולך מהן, מתקפת DDoS היא בדיוק מה שגורם לזה.
מתקפות DDoS נגד חנויות אינטרנט גדלו בחדות בשנים האחרונות. התוקפים יודעים מתי ההכנסות שלך מגיעות לשיא. הם מתזמנים את המתקפות כדי למקסם את הנזק, והם יודעים שלרוב החנויות הקטנות והבינוניות יש מעט מאוד הגנה.
הפוסט הזה מסביר איך מתקפות DDoS על חנויות אינטרנט נראות בפועל, למה אחסון רגיל לרוב נכשל תחת הלחץ הזה, ומה לחפש בהגנה מ-DDoS באחסון אם אתה מנהל חנות אינטרנט.
למה חנויות אינטרנט הן יעד מועדף
מתקפות DDoS אינן אקראיות. רבות מהן הן מכוונות, אסטרטגיות, ומתוזמנות לפגוע כמה שיותר. חנויות אינטרנט הן יעד אטרקטיבי מכמה סיבות.
- ההכנסות תלויות בזמן. הפסקה של שעתיים במהלך אירוע מכירה יכולה למחוק חלק משמעותי מהרווח היומי. זה יוצר לחץ אמיתי לשלם אם תוקף דורש כופר כדי להפסיק.
- מתחרים יכולים לנצל מתקפות. בתחומים תחרותיים, יש גורמים שמשתמשים ב-DDoS כדי להפיל מתחרים בזמן עומסי תנועה גבוהים.
- דפים דינמיים דורשים משאבים רבים. דפי מוצרים, עגלות קנייה ותהליכי תשלום דורשים משאבי שרת בכל בקשה. אפילו כמות בינונית של בקשות יכולה להעמיס על שרת שמתמודד בלי בעיה עם תוכן סטטי.
זו אחת הסיבות שמתקפות DDoS על חנויות אינטרנט נראות שונה מהצפות נפחיות שמכוונות לרשתות גדולות. לא תמיד צריך בוטנט ענקי. כמה אלפי בקשות מתוזמנות לדף התשלום שלך יכולות להספיק כדי להפיל חנות בינונית.
הסברנו איך מתקפות נפחיות נראות ברמה הטכנית בפוסט מה מתקפות DDoS נפחיות נראות ברמת הרשת, אבל בקצרה: הגודל אינו המשתנה היחיד. המיקוד של הבקשות חשוב לא פחות.
איך הגנה מ-DDoS באחסון מגנה על חנויות אינטרנט
הדבר החשוב ביותר להבין לגבי הגנה מ-DDoS הוא שהיא חייבת לקרות לפני שהתנועה מגיעה לשרת שלך. ברגע שגל בקשות פוגע בשרת המקור שלך, הנזק כבר נגרם. ה-CPU קופץ, לקוחות אמיתיים נדחים לתור, והחנות שלך יוצאת מהאוויר גם אם מבחינה טכנית השרת עדיין פועל.
הגנה מ-DDoS באחסון טוב מיירטת ומסננת את תנועת המתקפה בשלב מוקדם - בקצה הרשת, לפני שהיא מגיעה לתשתית שלך. כך זה נראה בפועל.
סינון ברמת הרשת
כשמגיעות מתקפות נפחיות, הן בדרך כלל מכוונות לכתובת ה-IP של השרת שלך עם כמויות עצומות של תנועה לא רצויה - הצפות UDP, הצפות SYN, חבילות ICMP. שכבת הגנה מתאימה סופגת את זה ברמת הספק או מרכז הנתונים, מזהה את דפוסי התנועה, ומפילה את החבילות הזדוניות מבלי לפגוע בחיבורים הלגיטימיים.
המדד המרכזי כאן הוא קיבולת. ספק אחסון שיכול לספוג 10 Gbps של תנועת מתקפה נמצא במצב שונה לגמרי מספק שיכול לספוג 1 Tbps. כשאתה בוחן הגנה מ-DDoS באחסון, שאל ספציפית על קיבולת ההגנה, לא רק אם קיימת הגנה בכלל.
סינון ברמת היישום
כאן ההגנה על חנויות אינטרנט נעשית מורכבת יותר. מתקפות ברמת היישום (הנקראות גם מתקפות Layer 7) נראות כמו תנועה אמיתית מדפדפן. הן פוגעות בדף הכניסה שלך, בחיפוש המוצרים, בנקודת הקצה של התשלום. הן נועדו לתשש את שרת היישום ולא את צינור הרשת.
עצירתן דורשת WAF שיכול להבחין בין משתמשים אמיתיים לבוטים - ניתוח כותרות, דפוסי בקשות, התנהגות סשן ושיעורי בקשות. הרחבנו על זה בפוסט מתקפות DDoS ברמת היישום: למה קשה יותר לעצור אותן. בקצרה: חומת אש ברמת הרשת לא מספיקה. צריך גם סינון ברמת היישום.
הגבלת קצב וזיהוי בוטים
גם בלי מתקפה מלאה, חנויות אינטרנט סובלות מסורקים, בוטי מלאי וכלים לגניבת פרטי כניסה. שכבת אחסון טובה מטפלת בהגבלת קצב באופן אוטומטי - מגבילה כמה בקשות IP בודד או סשן יכולים לשלוח בפרק זמן נתון. זה לא רק עניין של אבטחה. תנועת בוטים לא מבוקרת יכולה להעלות את עלויות השרת שלך ולהאט לקוחות אמיתיים בו זמנית.
מה אחסון רגיל עושה לא נכון
רוב תוכניות האחסון השיתופי לא מציעות הגנת DDoS אמיתית. אולי מוזכר בשיווק שלהן, אבל לסביבות שיתופיות יש בעיה מבנית: אם דייר אחר באותו שרת מותקף, החנות שלך סובלת מהתוצאות גם כן. וגם בתוכנית ייעודית, ההגנה לרוב מוגבלת לסינון רשת בסיסי עם סף קיבולת נמוך.
בדקנו את זה לעומק בפוסט למה הגנת DDoS באחסון שיתופי נכשלת כשהכי צריך אותה. הבעיה המרכזית היא שאחסון שיתופי מותאם לחיסכון בעלויות, לא לחוסן. כשאתה מנהל חנות אינטרנט, הסדרי העדיפויות האלה הפוכים.
אחסון מנוהל עם משאבים ייעודיים והגנה מ-DDoS תמידית הוא הגדרה שונה באופן משמעותי. ההגנה פועלת ברציפות, לא רק כשמתקפה מדווחת. ההבחנה הזו חשובה כי רוב המתקפות נגמרות תוך דקות - הרבה לפני שתגובת הגנה ידנית הייתה מגיעה.
צעדים מעשיים להגן על החנות שלך לפני שמתקפה מגיעה
גם עם הגנה מ-DDoS באחסון חזקה, יש דברים שאפשר לעשות ברמת היישום כדי לחזק את החוסן של החנות שלך.
אחסן את דפי המוצרים שלך במטמון באופן אגרסיבי
דפים שמורים במטמון כמעט ולא דורשים משאבי שרת. אם הדף הראשי ורשימות המוצרים שמורים במטמון, הם יישארו פעילים גם אם שרת היישום שלך תחת לחץ. התמקד בעיבוד דינמי בעגלת הקנייה ובתהליך התשלום - וודא שאלה מוגבלים בקצב.
השתמש ב-CDN מול השרת המקורי שלך
רשת CDN מפזרת את הנכסים הסטטיים שלך על שרתים ברחבי העולם. לכך יש יתרון נוסף בתרחישי DDoS: ה-CDN סופג חלק מנפח הבקשות לפני שהוא מגיע לשרת המקורי שלך. זה לא תחליף להגנת DDoS ברמת האחסון, אבל זה מצמצם את שטח החשיפה שלך בצורה משמעותית.
הכר את התנועה הרגילה שלך
לא תוכל לזהות מתקפה אם אינך יודע מה נראה תקין. הגדר ניטור שעוקב אחר בקשות בשנייה, CPU של השרת וזמני תגובה. כשהמספרים האלה קופצים בצורה חריגה, אתה רוצה התראה - לא תלונה מלקוח. רוב סביבות האחסון המודרניות כוללות ניטור זמינות וביצועים - וודא שהניטור שלך פעיל ומוגדר עם סף התראות הגיוני.
הכן תוכנית התאוששות מראש
אפילו ההגנה הטובה ביותר יכולה להיות מוצפת במתקפה גדולה ומתמשכת. דע מראש למי אתה פונה, מה תהליך התגובה של הספק שלך, ואם אתה יכול לנתב תנועה אחרת באופן זמני. אם לספק האחסון שלך אין תהליך מתועד להגנה מ-DDoS, זה סימן שכדאי לשים לב אליו.
בחירת הגנה מ-DDoS באחסון לחנות שלך
כשאתה בוחן ספקי אחסון, אלו השאלות שבאמת חשובות לחוסן חנות אינטרנט:
- האם ההגנה מ-DDoS פעילה תמיד, או שהיא מופעלת רק לאחר זיהוי מתקפה?
- מה קיבולת ההגנה ב-Gbps או Tbps?
- האם ההגנה מכסה Layer 3/4 (רשת) וגם Layer 7 (יישום)?
- האם כלול WAF, והאם ניתן להגדיר אותו?
- מה קורה לשירות שלך במהלך מתקפה גדולה?
- האם יש מדיניות של null-routing שמוציאה את ה-IP שלך מהאוויר ברגע שתנועת המתקפה עוברת סף מסוים?
הנקודה האחרונה היא קריטית. ספקים מסוימים מגיבים למתקפות גדולות על ידי null-routing לכתובת ה-IP המותקפת - כלומר הם בעצם מורידים את האתר שלך כדי להגן על הרשת שלהם. זה בדיוק ההפך ממה שאתה צריך. וודא שאתה יודע מה מדיניות הספק שלך לפני שאתה זקוק לה.
למידע נוסף על מה לחפש בהגנה ברמת האחסון, ראה את סקירת ההגנה מ-DDoS שלנו ואת סקירת ה-WAF לפרטים על סינון ברמת היישום.
סיכום
מתקפות DDoS נגד חנויות אינטרנט הן ממוקדות, מתוזמנות, ונפוצות יותר ויותר. הגנה על החנות שלך אינה רק עניין טכני - זוהי החלטה עסקית לשמירה על רציפות הפעילות. כל שעה שהחנות שלך לא זמינה בתקופת שיא היא הכנסה שלא תוכל לשחזר.
הגנה מ-DDoS באחסון הנכון עושה את רוב העבודה הזו בשבילך. סינון ברמת הרשת, סינון ברמת היישום, והגנה תמידית אומרים שרוב המתקפות לעולם לא מגיעות לשרת שלך. מה שאתה צריך לעשות הוא לוודא שאתה אכן על פלטפורמה שמספקת את ההגנות האלה - לא כזו שרק מפרטת אותן בדף התכונות.
