O Cloudflare DDoS Protection é a mitigação de ataques sempre ativa integrada na rede da Cloudflare. A Cloudflare oferece proteção DDoS ilimitada e sem medição de consumo nas camadas 3, 4 e 7 a todos os clientes, em todos os planos e serviços, e a faturação exclui o tráfego de ataques DDoS da sua utilização.
A proteção aplica-se até à camada em que o seu serviço funciona. Os websites e APIs em proxy ficam protegidos na camada 7 e nas inferiores; as outras aplicações TCP e UDP são integradas através do Spectrum, e as redes IP através do Magic Transit. Abrange protocolos web e de rede, mas não protocolos de e-mail como SMTP, IMAP ou POP3.
Só protege o tráfego que chega à Cloudflare. Um registo DNS deixado sem proxy, ou uma origem que aceita ligações de qualquer lado, dá ao atacante uma forma de a contornar. É por isso que a configuração precisa de um responsável após a entrada em produção.
Cada servidor recolhe amostras do tráfego fora do caminho dos pedidos, pelo que a deteção não acrescenta latência. A Cloudflare indica até três segundos, em média, para detetar e mitigar um ataque no edge, e as suas regras de mitigação expiram pouco depois de o ataque terminar.
O conjunto de regras HTTP DDoS Attack Protection abrange inundações na camada 7. O conjunto de regras Network-layer DDoS Attack Protection abrange ataques como inundações UDP, SYN e DNS. Ambos estão sempre ativos. É possível ajustar o conjunto de regras HTTP; os clientes Enterprise de Magic Transit e Spectrum também podem personalizar o da camada de rede.
As regras DDoS geridas funcionam com a sensibilidade predefinida High. Uma substituição (override) altera a sensibilidade ou a ação de uma regra para a sua zona, por exemplo quando um padrão de tráfego legítimo se assemelha a um ataque.
As regras adaptativas traçam o perfil do seu tráfego ao longo dos últimos sete dias e detetam o tráfego que se desvia desse perfil. Todos os planos incluem as regras adaptativas baseadas em erros da origem; o conjunto completo exige o complemento Enterprise Advanced DDoS Protection.
A Cloudflare envia alertas de ataques DDoS em cerca de um minuto. Todos os planos incluem um alerta de DDoS HTTP; os alertas avançados com filtragem e os alertas da camada de rede dependem de complementos Enterprise, do Magic Transit ou de BYOIP.
A Cloudflare recomenda colocar em proxy os registos DNS que servem tráfego web, permitir apenas os endereços IP da Cloudflare na origem, alterar os IPs de origem que eram públicos antes da integração e não colocar outra CDN à frente da Cloudflare.
| Plano | O que inclui |
|---|---|
| Free | Proteção DDoS das camadas 3 a 7 sem medição de consumo, os conjuntos de regras geridos HTTP e da camada de rede, uma substituição de conjunto de regras, regras adaptativas baseadas nas taxas de erro da origem e alertas DDoS. |
| Pro | Tudo o que o Free inclui. O Spectrum está disponível como complemento pago para SSH e Minecraft, com uma aplicação de cada. |
| Business | Tudo o que o Pro inclui, com perfis adaptativos que também usam tendências históricas de tráfego. O complemento Spectrum também pode abranger uma aplicação RDP. |
| Enterprise | Tudo o que o Business inclui. Os complementos incluem o Spectrum para qualquer aplicação TCP ou UDP, o Magic Transit para redes IP com Advanced TCP Protection e Advanced DNS Protection (beta) e o Advanced DDoS Protection: até 10 substituições de conjuntos de regras, todas as regras adaptativas e alertas avançados. |
Os preços e as condições dos complementos da Cloudflare mudam, pelo que esta tabela indica apenas capacidades. A Vigilbase vende licenças Cloudflare Enterprise e define o âmbito de complementos como o Spectrum ou o Magic Transit juntamente com a operação. O Vigilbase Shield é um plano mensal pré-Enterprise com WAF gerido, proteção DDoS e Super Bot Fight Mode.
Preços dos planos Cloudflare, do Free ao Enterprise →Para cada hostname de produção, registamos o que serve, se está em proxy e se a origem pode ser alcançada diretamente. Os registos DNS sem proxy e as origens expostas entram num registo de alteração com um responsável e uma próxima ação.
O DNS muda quando uma origem é movida, e alguém tem de ser responsável pelo registo e pela transição. Registamos o que mudou, porquê, quem aprovou e como o resultado foi verificado.
Campanhas, lançamentos e novas integrações alteram o aspeto do tráfego normal. Verificamos o impacto nos clientes juntamente com o evento de segurança antes de ajustar uma regra gerida, e mantemos cada alteração suficientemente restrita para poder ser avaliada.
Uma inundação na camada de rede e uma rajada de pedidos maliciosos no checkout exigem investigações diferentes. Analisamos em paralelo os eventos da Cloudflare, o estado da origem, o DNS e um percurso de cliente afetado, e depois alteramos um controlo de cada vez.
O Critical acrescenta a ativação de uma sala de crise, a defesa proativa da rede edge e a responsabilidade pelo BGP e pelo encaminhamento, para ambientes onde esperar numa fila não é aceitável.
O Core oferece governação e gestão de alterações em horário de expediente, com resposta em regime de melhores esforços. O Priority acrescenta operações 24/7, mitigação ativa de ameaças dentro do SLA e um gestor técnico de conta designado. O Critical acrescenta escalamento imediato e liderança sénior de incidentes.
Um registo apenas DNS expõe o IP de origem a qualquer pessoa que o consulte, e uma origem aberta pode ser atacada diretamente. Colocamos em proxy os registos que servem tráfego web, restringimos a origem à Cloudflare e verificamos que a alteração se mantém.
Um lançamento ou uma campanha pode assemelhar-se a um ataque, e uma mitigação demasiado abrangente bloqueia clientes reais. Confirmamos o percurso afetado antes de substituir uma regra e depois registamos a alteração e a forma de a reverter.
Um alerta não é um operador. Com Priority e Critical, a Vigilbase lidera o incidente Cloudflare fora do horário de expediente, com tempos de resposta definidos pelo SLA.
Cobertura e compromissos de resposta a incidentes →A integração de emergência coloca o tráfego web exposto por trás da Cloudflare e depois estabiliza problemas de DDoS, bots, TLS, WAF e pressão sobre a origem. É trabalho de incidentes Cloudflare, não resposta a incidentes genérica.
Quando pedir ajuda de emergência para Cloudflare →Vigilbase OS
O Vigilbase OS, o sistema operativo da cibersegurança, liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar. A integração nativa com a Cloudflare coloca os seus eventos Cloudflare ao lado dessas ferramentas, e o agente Vigil investiga incidentes de gravidade elevada enquanto os analistas da Vigilbase tratam das exceções.
A Cloudflare é o fornecedor onde as ações de resposta em direto são executadas atualmente. Escolhe o nível de autonomia: manter as ações desativadas, propô-las para aprovação ou permitir a execução de ações de baixo risco e reversíveis. O registo mostra a investigação, as ações executadas e a verificação. Para fornecedores sem ações em direto, a investigação devolve os passos que a sua equipa deve concluir.
Comece a utilizar o Vigilbase OSSim, em todos os planos. A Cloudflare oferece proteção DDoS ilimitada e sem medição de consumo nas camadas 3, 4 e 7 a todos os clientes, e a faturação exclui o tráfego de ataques DDoS da sua utilização.Os planos e os complementos alteram até onde é possível afinar a proteção e o que ela abrange. O Spectrum protege outras aplicações TCP e UDP, o Magic Transit protege redes IP e o complemento Enterprise Advanced DDoS Protection acrescenta substituições, regras adaptativas e alertas avançados.Compreender os ataques DDoS
A Cloudflare indica até três segundos, em média, para detetar e mitigar ataques DDoS HTTP e da camada de rede no edge. A deteção é executada em todos os servidores sem esperar por uma decisão central, e as regras de mitigação expiram pouco depois de o ataque terminar.Compreender os ataques DDoSResponder a um ataque DDoS
Normalmente porque parte do tráfego não passa pela Cloudflare. Um registo apenas DNS expõe o IP de origem, e uma origem que aceita ligações de qualquer lado pode ser atacada diretamente.A Cloudflare recomenda colocar em proxy os registos que servem tráfego web, permitir apenas os endereços IP da Cloudflare na origem e alterar os IPs de origem que eram públicos antes da integração. Verifique cada hostname de produção, não apenas o website principal.Responder a um ataque DDoSGuia prático de proteção de sites
A proteção aplica-se até à camada em que o seu serviço funciona. Os websites e APIs em proxy ficam protegidos na camada 7 e nas inferiores; as outras aplicações TCP e UDP são integradas através do Spectrum, e as redes IP através do Magic Transit. Os protocolos de e-mail como SMTP, IMAP e POP3 não estão abrangidos.Compreender os ataques DDoSO licenciamento Cloudflare Enterprise explicado
Com Priority e Critical, a Vigilbase monitoriza 24/7 e lidera a mitigação dentro do SLA; o Critical acrescenta escalamento imediato e uma sala de crise. O Core oferece governação em horário de expediente, pelo que a sua equipa mantém a prevenção.Se o serviço afetado ainda não estiver na Cloudflare, a integração de emergência coloca primeiro o tráfego web exposto por trás da Cloudflare e depois estabiliza a situação de ataque.Cobertura e compromissos de resposta a incidentesQuando pedir ajuda de emergência para Cloudflare
A mitigação DDoS da Cloudflare não é medida por consumo em nenhum plano. Os valores de operação do Managed Cloudflare começam em 3.500 USD por mês para Core, 7.500 USD para Priority e 15.000 USD para Critical; a licença Cloudflare e eventuais complementos são definidos na mesma proposta.Compare Core, Priority e CriticalO que verificar antes de comprar Cloudflare
Os detalhes sobre a proteção DDoS da Cloudflare nesta página resumem a documentação da Cloudflare. Os planos, os complementos e os limites mudam, pelo que deve confirmar as condições atuais com a Cloudflare ou connosco antes de comprar.
Fontes dos fornecedores consultadas
Diga-nos que aplicações e domínios são importantes e quem está de prevenção atualmente. Definimos em conjunto o âmbito da licença Cloudflare, dos eventuais complementos e da cobertura operacional.
