Ma na celu odróżnianie lub ograniczanie szkodliwego ruchu, absorpcję popytu, zachowanie krytycznej pojemności i przywrócenie normalnego działania. Ponieważ ataki DDoS mogą celować w przepustowość, protokoły sieciowe lub zasoby aplikacji, żadne pojedyncze urządzenie filtrujące nie obsługuje każdego przypadku.
Skuteczne łagodzenie jest przygotowywane przed atakiem. Organizacje potrzebują linii bazowych usług, kontaktów do dostawców wyższego rzędu, chronionego DNS i routingu, testowanych procedur przełączania ruchu, pojemności odpowiedniej do zagrożenia i jasnej ścieżki decyzyjnej aktywacji wsparcia zewnętrznego.
Najważniejsze punkty
Dystrybucja i absorpcjaAnycast, dostarczanie treści, buforowanie, redundantne regiony i odpowiednio zaprojektowana pojemność mogą redukować koncentrację na jednej ścieżce usługi.
Umiejscowienie filtrówDostawcy wyższego rzędu i usługi scrubbingu mogą odrzucać ruch ataku, zanim nasyci połączenie internetowe ofiary; kontrole lokalne mogą obsługiwać ataki docierające do aplikacji lub brzegu sieci.
Ochrona zasobówKontrole tempa, zabezpieczenia połączeń, walidacja żądań, kolejki i reguły specyficzne dla aplikacji mogą zapobiegać wyczerpywaniu kosztownych operacji.
Testowanie planuTestuj wykrywanie, eskalację, przełączanie ruchu, odpowiedź dostawcy, usługi zapasowe, komunikację i bezpieczny powrót do normalnego routingu.
Istotne ograniczenie„Nieograniczona" lub automatyczna ochrona nie jest gwarancją. Pojemność dostawcy, zasięg regionalny, czas aktywacji, fałszywe trafienia, zaszyfrowany ruch, zależności aplikacji i kontrole kosztów — wszystko to wpływa na wyniki.