O ESA monitora o tráfego em tempo real para identificar padrões de ataque, como inundações SYN, inundações ACK e ataques CC. Ao detectar tráfego anômalo, o ESA bloqueia imediatamente as solicitações maliciosas e permite a passagem do tráfego legítimo, garantindo a continuidade dos negócios.
Como se proteger contra ataques DDoS
Em um ataque de Negação de Serviço Distribuída (DDoS), o invasor inunda um servidor web com um grande volume de solicitações falsas. Isso esgota os recursos do servidor e impede respostas aos usuários legítimos. Para uma defesa eficaz, intercepte e filtre o tráfego antes que ele chegue ao servidor de origem.
O ESA utiliza um sistema de defesa multicamadas que combina Anti-DDoS, WAF rules e uma smart cache policy. Essa abordagem bloqueia solicitações maliciosas, reduz a carga no servidor de origem e garante a entrega eficiente do tráfego legítimo.
Mitigar ataques com Anti-DDoS
O ESA oferece recursos integrados de Anti-DDoS e dois níveis de proteção, conforme o plano de assinatura: Basic DDoS Protection e Best-effort Protection.
Basic DDoS Protection
O ESA ativa automaticamente o Basic DDoS Protection para usuários dos planos Entrance, Pro, Premium e Enterprise, sem necessidade de configuração. Esse recurso defende automaticamente contra ataques DDoS de até 10 Gbps e ataques CC de até 100.000 consultas por segundo (QPS). Nesse contexto, considera-se ataque CC qualquer solicitação ao site bloqueada pelo ESA, seja por regras configuradas por você ou pelas regras de segurança integradas do ESA. Durante um ataque, o ESA fornece defesa de melhor esforço em seus ESA POPs de borda. No entanto, o ataque ainda pode afetar o desempenho da aceleração ou colocar o site em estado de sandbox. O Basic DDoS Protection não garante prazo específico para mitigar o impacto do ataque ou para sair do estado de sandbox.
Se o seu site apresentar alto risco de ataques DDoS ou exigir proteção mais robusta e garantida, entre em contato conosco para fazer upgrade para o plano Enterprise Edition.
Best-effort Protection
Usuários do plano Enterprise Edition podem adquirir o Best-effort Protection como complemento. Com o Best-effort Protection, o ESA ativa por padrão os recursos HTTP DDoS Attack Protection e Deep Learning and Protection. O recurso HTTP DDoS Attack Protection opera em tempo real. Ele utiliza general mitigation rules integradas, derivadas de amplos dados de segurança, para bloquear picos repentinos de ataques HTTP e evitar que solicitações excessivas sobrecarreguem o servidor de origem. Já o recurso Deep Learning and Protection aprende continuamente com os padrões de ataque e gera políticas de proteção dinâmicas para aprimorar a segurança.
Caso encontre falsos positivos ou precise fortalecer a proteção, ajuste os níveis e modos de HTTP DDoS Attack Protection e Deep Learning and Protection com base no desempenho do service.
No console do ESA, escolha Websites e clique em no site desejado na coluna Websites.
No painel de navegação à esquerda, escolha .
-
Na aba Security, na seção DDoS, clique em Protection Settings. Defina o nível de proteção conforme necessário e clique em HTTP DDoS Attack Protection.
Na seção Deep Learning and Protection, clique em Configure. Defina o nível e o modo de proteção conforme necessário e clique em OK.
Proteger aplicações web com regras WAF
Um Web Application Firewall (WAF) atua como escudo entre sua aplicação web e a internet. Ele analisa as solicitações de acesso em tempo real e filtra o tráfego malicioso para prevenir ataques comuns de rede e garantir a estabilidade da aplicação.
O ESA oferece recursos de WAF em seus ESA POPs globais. Por meio de estratégias de proteção como limitação de taxa inteligente, análise de segurança, modelos de regras e regras personalizadas, o ESA encaminha apenas tráfego limpo para o servidor de origem, assegurando a segurança do site e dos dados em todo o mundo.
Reduzir solicitações à origem com uma política de cache
A cache policy do ESA armazena o conteúdo do site em ESA POPs distribuídos globalmente. Quando um usuário solicita um recurso, o conteúdo é entregue a partir do ESA POP mais próximo, em vez de vir diretamente do servidor de origem.
Durante um ataque DDoS, a política de cache atende às solicitações repetidas a partir do ESA POP mais próximo. Isso reduz significativamente o tráfego direcionado ao servidor de origem e mitiga o risco de sobrecarga.
