DDoS প্রতিরক্ষা: ওয়েবসাইট কীভাবে বাঁচাবেন
DDoS আক্রমণ ভুয়া traffic দিয়ে আপনার সাইট ডুবিয়ে দেয়। একা scale করে জেতা যায় না, কিন্তু স্তরভিত্তিক প্রতিরক্ষায় টিকে থাকা যায়।
DDoS (distributed denial of service) আক্রমণে অনেক মেশিন একটি লক্ষ্যকে ডুবিয়ে দেয়, যাতে আসল user ঢুকতে না পারে। প্রতিরক্ষা হলো শোষণ, ছাঁকা এবং লুকানো।
আক্রমণের ধরন
- Volumetric: তথ্যের বন্যা (UDP, DNS বা NTP amplification) যা আপনার network pipe ভরে দেয়। Gbps-এ মাপা হয়।
- Protocol: SYN flood-এর মতো network protocol অপব্যবহার করে server বা firewall নিঃশেষ করা।
- Application layer (L7): ব্যয়বহুল পেজে (search, login, API) অনেক আসল-সদৃশ HTTP request। পরিমাণে কম কিন্তু খুব কার্যকর, কারণ প্রতিটি request আপনার server-এর অনেক খরচ করায়।
স্তর ১: edge-এ শোষণ
বড় CDN / DDoS সুরক্ষা প্রদানকারী (Cloudflare বা অনুরূপ)-র network ক্ষমতা কোনো একক সাইটের চেয়ে বেশি, এবং anycast ব্যবহার করে, তাই আক্রমণের traffic অনেক জায়গায় ছড়ায়। সাইট এর পেছনে রাখুন, যাতে বন্যা আপনার কাছে পৌঁছানোর আগেই শোষিত হয়। একটি server বা ছোট VPS দিয়ে বড় আক্রমণ হারানো যায় না।
স্তর ২: origin লুকান
আক্রমণকারী আপনার server-এর আসল IP জানলে CDN এড়াতে পারে। তাই:
- Origin-এ সংযোগ শুধু CDN-এর IP পরিসর থেকে অনুমোদন করুন (firewall), অথবা origin থেকে CDN পর্যন্ত tunnel ব্যবহার করুন।
- পুরোনো DNS record, ইমেইল header বা CDN এড়ানো subdomain দিয়ে IP ফাঁস করবেন না।
স্তর ৩: cache ও rate limit
- যতটা সম্ভব cache করুন (static ফাইল, public পেজ)। Cache hit-এর খরচ প্রায় শূন্য।
- IP, session এবং ব্যয়বহুল endpoint (login, search, password reset) ধরে rate limit দিন।
- ব্যয়বহুল কাজ সস্তা করুন, বা login/challenge-এর পেছনে সরান।
স্তর ৪: বুদ্ধিমানের ছাঁকনি
- WAF পরিচিত খারাপ pattern আটকায়।
- সন্দেহজনক client-এর জন্য bot শনাক্তকরণ ও challenge (JavaScript বা CAPTCHA-ধাঁচের যাচাই)।
- দেশ বা ASN ধরে block বা challenge শুধু আপনার user-দের জন্য সুবিধাজনক হলে, এবং সাবধানে।
স্তর ৫: প্রস্তুত থাকুন
- Autoscaling পূর্ণ উত্তর নয়। আক্রমণের সময় এটি আপনার cloud বিল বাড়াতে পারে এবং হয়তো আক্রমণকারীকেই সেবা দিতে scale হবে। খরচ alert ও সীমা দিন।
- একটি runbook রাখুন: কাকে জানাবেন, "under attack" mode কীভাবে চালু করবেন, traffic কীভাবে দেখবেন, status পেজে কীভাবে জানাবেন।
- Traffic, error ও latency-র আকস্মিক বাড়া নজরে রাখুন যাতে আগেই টের পান।
- আপনার DNS-ও এমন provider-এ রাখুন যে আক্রমণ শোষণ করতে পারে।
যা এড়াবেন
অজানা URL-এর পেছনে লুকিয়ে থাকার ওপর ভরসা করবেন না। Admin panel public রাখবেন না। মনে রাখবেন আক্রমণ login বা search-এর মতো দুর্বল জায়গাতেও হতে পারে।
মূল কথা: সাইট বড় edge network-এর পেছনে রাখুন, origin IP সুরক্ষিত রাখুন, cache ও rate limit দিন, এবং একটি তৈরি পরিকল্পনা রাখুন।
System Design সিরিজ, পর্ব ৫ (failure ও security): 4 নম্বর (মোট 6)। আগের লেখা: Blameless postmortem কীভাবে লিখবেন.
