Aanvalsverkeer bereikt je server nooit

Waar de filtering gebeurt

Bescherming die op je eigen server draait, is geen bescherming. Tegen de tijd dat een vloed de machine bereikt, is die al over je uplink gegaan – en een verzadigde uplink laat legitiem verkeer net zo hard vallen als een verzadigde CPU.

Virtbase-servers staan achter de filtering van aurologic GmbH, die vóór het netwerk van de machine zit. Aanvalsverkeer wordt weggehaald voordat het aankomt: je uplink draagt het nooit, je server ziet het nooit.

Dat betekent ook dat er niets is dat jij moet draaien, afstellen of bijwerken. Geen agent op de machine, geen regel om te schrijven, geen drempel om te raden.

DDoS-bescherming is geen firewall

Deze twee worden voortdurend door elkaar gehaald, en het verschil telt zodra er iets misgaat.

DDoS-filtering is automatisch, bovenstrooms, en gaat over volume en vorm. Ze heeft geen mening over welke van je poorten open horen te staan – ze verwijdert verkeer dat je aanvalt en laat de rest door.

De firewall is van jou, draait aan de rand van je server en gaat over beleid. Die sluit de SSH-poort voor iedereen behalve je kantoor, of laat 25565 alleen open voor wie je gameserver mag bereiken.

Een aanval die een lijn verzadigt is werk voor de eerste. Een poort die nooit open had mogen staan is werk voor de tweede. De één vervangt de ander niet, en daarom zitten ze er allebei bij in plaats van als niveau verkocht te worden.

Wat je alsnog moet doen

Filtering is geen excuus om de machine open te laten staan. Sluit poorten die je niet gebruikt met firewallregels, houd diensten bijgewerkt, en maak een back-up voordat je iets verandert dat ertoe doet.

Aanvallen die tegen een beschermde server slagen, slagen bijna nooit op volume. Ze slagen omdat er iets luisterde dat dat niet had moeten doen.