Cloudflare debiutuje niestandardowymi osłonami DDoS opartymi na C dla Magic Transit

Cloudflare wprowadził Programmable Flow Protection, nową zamkniętą funkcję beta dla klientów Magic Transit, która ma na celu złagodzenie ataków DDoS skierowanych na niestandardowe lub standardowe protokoły oparte na protokole UDP warstwy 7. Cloudflare twierdzi, że funkcja ta jest dostępna jako dodatek do wdrożeń Magic Transit przy użyciu własnego adresu IP lub adresów IP dzierżawionych przez Cloudflare.

Zgodnie z dokumentacją Cloudflare https://developers.cloudflare.com/funkcja jest przeznaczona dla środowisk, które polegają na wyspecjalizowanym ruchu UDP, w tym gier, usług finansowych, VoIP, telekomunikacji i obciążeń strumieniowych. Cloudflare pozycjonuje ją jako część swoich systemów Advanced DDoS Protection dla Magic Transit, obok Advanced TCP Protection i Advanced DNS Protection.

Klienci mogą przesyłać niestandardową logikę pakietów w języku C

Cloudflare twierdzi, że Programmable Flow Protection umożliwia klientom przesyłanie własnych stanowych programów przetwarzania pakietów napisanych w języku C. Programy te są następnie weryfikowane, kompilowane i wdrażane w sieci Cloudflare jako programy eBPF działające w przestrzeni użytkownika. Celem jest umożliwienie operatorom sprawdzania ruchu aplikacji UDP z logiką świadomą protokołu i decydowania, czy pakiety powinny być dozwolone, czy blokowane.

Firma twierdzi, że system jest oparty na Flowtrackdswojej platformie stateful mitigation. Obsługuje zarówno asymetryczne, jak i symetryczne topologie, ale Cloudflare zauważa, że funkcja ta sprawdza tylko ruch przychodzący. Konfiguracja odbywa się za pośrednictwem interfejsu API Cloudflare, który zawiera punkty końcowe do przesyłania programów, tworzenia reguł, wyświetlania konfiguracji i ich usuwania.

Funkcja pojawia się jako dodatek do platformy DDoS warstwy sieciowej Cloudflare

Magic Transit to usługa bezpieczeństwa i wydajności sieci Cloudflare dla sieci lokalnych, hostowanych w chmurze i hybrydowych, oferująca ochronę DDoS i obsługę ruchu w warstwie IP. Dzięki programowalnej ochronie przepływu Cloudflare rozszerza tę platformę o bardziej konfigurowalną opcję dla klientów, których usługi oparte na UDP mogą nie pasować do standardowych profili łagodzenia.

Dokumentacja DDoS Cloudflare opisuje Programmable Flow Protection jako sposób na wdrożenie niestandardowej logiki pakietów eBPF w całej sieci w celu inspekcji i łagodzenia ataków na protokoły warstwy 7 oparte na UDP. Firma nie podała jeszcze ogólnej dostępności, a funkcja pozostaje w zamkniętej wersji beta w momencie pisania w oficjalnej dokumentacji.