Implementando Mitigação de DDoS com Cloudflare

Visão Geral

A Cloudflare oferece proteção DDoS em várias camadas em sua rede global de mais de 300 data centers com mais de 477 Tbps de capacidade. A plataforma protege contra ataques volumétricos L3/4 (inundações SYN, amplificação UDP, reflexão DNS), ataques de protocolo (Ping of Death, Smurf) e ataques na camada de aplicação L7 (inundações HTTP, Slowloris, cache-busting). Os sistemas de detecção autônoma da Cloudflare identificam e mitigam ataques em aproximadamente 3 segundos usando perfil de tráfego, aprendizado de máquina e conjuntos de regras adaptáveis. Esta habilidade abrange a configuração da pilha de proteção DDoS da Cloudflare, incluindo conjuntos de regras gerenciados, regras de WAF, limitação de taxa, gerenciamento de bots e fortalecimento do servidor de origem.

Quando Usar

• Ao implantar ou configurar a implementação de capacidades de mitigação de DDoS com Cloudflare em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Conta Cloudflare (plano Pro no mínimo para WAF, Enterprise para DDoS Avançado)
• Domínio com DNS delegado para os nameservers da Cloudflare
• Endereço(s) IP do servidor de origem
• Compreensão dos padrões de tráfego normais e volumes de pico
• Token de API da Cloudflare para automação

Conceitos Principais

Categorias de Ataque DDoS

Pilha de Proteção Cloudflare

Internet Traffic
     │
     ▼
┌─────────────────────────┐
│  Cloudflare Edge (PoP)  │
│  ┌───────────────────┐  │
│  │ L3/4 DDoS Mgd Rules│  │  ← Volumetric/Protocol mitigation
│  └───────────────────┘  │
│  ┌───────────────────┐  │
│  │ IP Access Rules    │  │  ← Country/ASN/IP blocks
│  └───────────────────┘  │
│  ┌───────────────────┐  │
│  │ Bot Management     │  │  ← Bot score, JS challenge
│  └───────────────────┘  │
│  ┌───────────────────┐  │
│  │ WAF Managed Rules  │  │  ← OWASP, Cloudflare, Custom
│  └───────────────────┘  │
│  ┌───────────────────┐  │
│  │ Rate Limiting      │  │  ← Request rate enforcement
│  └───────────────────┘  │
│  ┌───────────────────┐  │
│  │ HTTP DDoS Mgd Rules│  │  ← L7 flood detection
│  └───────────────────┘  │
└─────────────────────────┘
     │
     ▼
  Origin Server

Fluxo de Trabalho

Etapa 1: Integrar Domínio à Cloudflare

# Add domain via API
curl -X POST "https://api.cloudflare.com/client/v4/zones" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "name": "example.com",
    "type": "full",
    "plan": {"id": "enterprise"}
  }'

# Update DNS records (proxy enabled for DDoS protection)
curl -X POST "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "type": "A",
    "name": "example.com",
    "content": "203.0.113.50",
    "proxied": true,
    "ttl": 1
  }'

Etapa 2: Configurar Conjuntos de Regras Gerenciados de DDoS

Substituição da Proteção contra Ataques DDoS HTTP:

# List HTTP DDoS managed ruleset
curl -X GET "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  -H "Authorization: Bearer $CF_API_TOKEN"

# Override HTTP DDoS sensitivity and action
curl -X PUT "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "rules": [{
      "action": "execute",
      "action_parameters": {
        "id": "4d21379b4f9f4bb088e0729962c8b3cf",
        "overrides": {
          "rules": [{
            "id": "fdfdac75430c4c47a422bdc024aab531",
            "sensitivity_level": "medium",
            "action": "block"
          }],
          "sensitivity_level": "high"
        }
      },
      "expression": "true"
    }]
  }'

Substituição da Proteção contra DDoS na Camada de Rede:

…