Wie man den "Under Attack"-Modus von Cloudflare bei DDoS-Angriffen nutzt

Der "Under Attack"-Modus von Cloudflare ist eine Notfall-Sicherheitseinstellung, die bei einer Website unter DDoS-Angriffen den Besuchern eine kurze Sicherheitsüberprüfung anzeigt, um Bot-Traffic zu filtern. Indem Sie Ihre Website im Cloudflare-Dashboard auswählen und die Funktion "Under Attack"-Modus im Sicherheitsbereich aktivieren, können Sie innerhalb weniger Minuten die hohen Anfragen auf HTTP/HTTPS-Ebene verlangsamen, den Zugang echter Benutzer zur Website schützen und die Serverlast reduzieren. Dieser Modus ist jedoch keine dauerhafte Lösung; er sollte zusammen mit den richtigen DNS-Proxy-Einstellungen, WAF-Regeln, Ratenbegrenzung, Cache-Konfiguration und der Sicherheit des Ursprungsservers verwendet werden.

In diesem Leitfaden werden wir Schritt für Schritt die Fragen beantworten, wie der Cloudflare "Under Attack"-Modus aktiviert wird, wann er verwendet werden sollte, welche Einstellungen ihn unterstützen sollten und wie man sicher zu normalen Bedingungen zurückkehrt, nachdem der Angriff beendet ist. Ziel ist es, eine umsetzbare Checkliste für den Notfall bereitzustellen und die Erreichbarkeit Ihrer Website so schnell wie möglich wiederherzustellen.

Was ist der Cloudflare "Under Attack"-Modus?

Der "Under Attack"-Modus ist eine Notfallsicherheitsstufe, die von Cloudflare bereitgestellt wird. Wenn er aktiviert ist, lässt Cloudflare die Browser der Besucher der Website eine kurze Überprüfung durchlaufen. Diese Überprüfung dauert normalerweise nur wenige Sekunden und erschwert es automatisierten Bots, einfachen HTTP-Flood-Tools oder böswilligen Browser-Clients, direkt Last auf die Website zu erzeugen.

Das Hauptziel dieses Modus ist es, Angriffe auf Anwendungsebene, also auf Layer 7, abzumildern. Wenn beispielsweise Tausende von GET-Anfragen pro Sekunde an die Homepage gesendet werden, es zahlreiche POST-Versuche für die WordPress-Login-Seite gibt, kostspielige Anfragen an die Suchseite gesendet werden oder gefälschter Traffic auf die Warenkorbseite gelangt, bietet der "Under Attack"-Modus eine schnelle Erstreaktion.

Hier ist die wichtige Unterscheidung: Der "Under Attack"-Modus filtert Webanfragen; jedoch, wenn die IP-Adresse Ihres Servers direkt angegriffen wird, Ihre Dienste außerhalb des Cloudflare-Proxys exponiert sind oder der Angriff auf Layer 3/4 erfolgt, sind zusätzliche Maßnahmen erforderlich. Daher ist es entscheidend, dass die DNS-Einträge über Cloudflare proxied sind, die IP-Adresse des Ursprungs verborgen bleibt und die richtigen Sicherheitsvorkehrungen auf der Hosting-Seite getroffen werden. Weitere Informationen zur Auswahl einer sicheren Infrastruktur finden Sie in den Inhalten zu Sichere Webhosting-Dienstleistungen und Installation des SSL-Zertifikats.

Symptome eines DDoS-Angriffs: Was sollte vor der Aktivierung des "Under Attack"-Modus überprüft werden?

Nicht jede Verlangsamung ist ein DDoS-Angriff. Manchmal kann auch ein fehlerhaftes Plugin, eine Datenbankblockade, ein hochbelasteter cron-Job oder eine falsche Cache-Einstellung ähnliche Ergebnisse hervorrufen. Daher ist es ratsam, schnell eine Diagnose durchzuführen, bevor der "Under Attack"-Modus aktiviert wird. Wenn der Server jedoch Schwierigkeiten hat, zu antworten, Benutzer 502, 503, 504-Fehler erhalten und die Protokolle ein ungewöhnliches Anstieg an Anfragen zeigen, sollte der Notfallmodus ohne Verzögerung aktiviert werden.

Typische DDoS-Indikatoren

• Ein plötzlicher Anstieg des Traffics, der 5, 10 oder 50-mal höher ist als normal.
• Hundert Anfragen pro Sekunde an eine einzige Seite oder einen Endpunkt.
• Traffic von verschiedenen Ländern mit ähnlichen User-Agent-Werten.
• Zielgerichtete Anfragen an kostenintensive URLs wie Admin, Login, Suche, Warenkorb in WordPress, WooCommerce, OpenCart oder benutzerdefinierter Software.
• Die CPU-, RAM-, PHP-FPM-Worker- oder MySQL-Verbindungslimits des Servers sind erschöpft.
• Ein plötzlicher Anstieg von 4xx- und 5xx-Fehlern auf dem Cloudflare-Analytics-Bildschirm.
• Echte Benutzer haben intermittierenden Zugang zur Website, während der Bot-Traffic kontinuierlich Anfragen sendet.

Wenn eine E-Commerce-Website normalerweise 2.000 Anfragen pro Minute erhält, aber innerhalb von 10 Minuten auf 80.000 Anfragen pro Minute ansteigt und 70 % der Anfragen zum Warenkorb oder zur Suchseite gesendet werden, ist dies ein deutliches Zeichen für einen Layer-7-Angriff. In diesem Szenario sollte der "Under Attack"-Modus in den ersten 5 Minuten aktiviert werden, gefolgt von speziellen WAF- und Ratenbegrenzungsregeln für die Ziel-URLs.

Wann sollte der "Under Attack"-Modus von Cloudflare verwendet werden?

Der "Under Attack"-Modus von Cloudflare ist keine Standard-Sicherheitseinstellung, die ständig aktiviert sein sollte. Denn auch echte Besucher sehen eine kurze Wartebildschirm. Dies kann insbesondere die Benutzererfahrung auf umsatzorientierten Seiten, in Zahlungsabläufen oder in API-nutzenden Strukturen beeinträchtigen. Der beste Einsatz besteht darin, ihn während eines Angriffs vorübergehend zu aktivieren und die Sicherheitsstufe neu einzustellen, wenn der Traffic wieder normal ist.

Geeignete Situationen für die Nutzung

• Wenn die Website eine hohe und anormale Anzahl von HTTP/HTTPS-Anfragen erhält.
• Wenn die Serverressourcen schnell erschöpft sind und die Anzahl der 502/503-Fehler zunimmt.
• Wenn die Cloudflare WAF noch nicht mit speziellen Regeln konfiguriert ist und ein schneller Schutz erforderlich ist.
• Wenn der Bot-Traffic deutlich höher ist als der echte Benutzer-Traffic.
• Wenn die Ziel-Webseiten, Formulare, Login-Seiten oder Such-Endpunkte sind.

Vorsichtige Nutzungssituationen

• Wenn mobile Anwendungen, Zahlungsanbieter, Webhooks oder API-Traffic stark genutzt werden.
• Wenn Sie sich in einer Phase befinden, in der Suchmaschinenbots kritisches Crawling durchführen.
• Wenn Ihre Unternehmensbenutzer über alte Browser oder eingeschränkte Netzwerkumgebungen auf die Website zugreifen.
• Wenn es Subdomains gibt, die nicht hinter dem Cloudflare-Proxy stehen.

Wenn der "Under Attack"-Modus auf Websites mit API-Traffic auf die gesamte Domain angewendet wird, können einige Integrationen fehlschlagen. Daher sollten, wenn möglich, spezielle WAF-Regeln, eine Allowlist oder unterschiedliche Sicherheitsstufen für API-Subdomains geplant werden. Für einen detaillierten Leitfaden zur API-Sicherheit kann auf Leitfaden zur API-Sicherheit und Rate Limiting verwiesen werden.

Wie wird der "Under Attack"-Modus von Cloudflare aktiviert? Schritt-für-Schritt-Anleitung

Die folgenden Schritte stellen eine praktische Checkliste dar, die für ein schnelles Handeln im Falle eines Angriffs vorbereitet wurde. Die Cloudflare-Oberfläche kann im Laufe der Zeit geringfügige Änderungen aufweisen; das Prinzip bleibt jedoch gleich: Wählen Sie Ihre Domain aus, erhöhen Sie die Sicherheitsstufe und validieren Sie den eingehenden Traffic über Cloudflare.

1. Melden Sie sich bei Ihrem Cloudflare-Konto an

Zunächst melden Sie sich bei Ihrem Cloudflare-Konto an und wählen die Domain aus, die unter Angriff steht. Wenn Sie mehrere Domains verwalten, stellen Sie sicher, dass Sie die richtige Zone bearbeiten. Den "Under Attack"-Modus auf der falschen Domain zu aktivieren, kostet Zeit und der tatsächliche Angriff geht weiter.

2. Überprüfen Sie, ob die DNS-Einträge proxied sind

Damit der "Under Attack"-Modus effektiv ist, muss der Web-Traffic über Cloudflare geleitet werden. Stellen Sie im DNS-Bereich sicher, dass die A-, AAAA- und CNAME-Einträge im orangefarbenen Wolkenstil, also proxied, sind. DNS-Only-Einträge im grauen Wolkenstil durchlaufen nicht die Sicherheitsstufe von Cloudflare. Insbesondere die www, die Root-Domain und die verwendeten Subdomains sollten überprüft werden.

Wenn Ihre Ursprungs-IP-Adresse im Internet sichtbar ist, können Angreifer Cloudflare umgehen und direkt den Server angreifen. Daher ist es eine starke zusätzliche Maßnahme, im Serverfirewall nur HTTP/HTTPS-Traffic von den IP-Bereichen von Cloudflare zuzulassen. Sie können Unterstützung von Ihrem Hosting-Anbieter zu diesem Thema erhalten oder auf den Leitfaden Wie man Cloudflare DNS-Einstellungen vornimmt verweisen.

3. Aktivieren Sie die Funktion "Under Attack"-Modus im Sicherheitsbereich

Nachdem Sie die entsprechende Domain im Cloudflare-Dashboard geöffnet haben, suchen Sie im Sicherheits- oder Übersichtsbereich die Option "Under Attack"-Modus. Wenn Sie diese Option aktivieren, beginnt Cloudflare, den Besuchern der Website eine kurze Überprüfungsseite anzuzeigen. In einigen Dashboards kann diese Einstellung als "I am Under Attack" unter der Sicherheitsstufe angezeigt werden.

Nach der Aktivierung tritt die Änderung normalerweise schnell in Kraft. In den ersten Minuten sollten Cloudflare Analytics, Sicherheitsevents und die Serverressourcennutzung gemeinsam überwacht werden. Wenn die CPU- und Verbindungszahlen zu sinken beginnen, bedeutet das, dass der Modus funktioniert. Wenn die Fehlerquote jedoch weiterhin hoch ist, sollten zusätzliche Regeln geschrieben werden.

4. Testen Sie die Erfahrung echter Benutzer

Nach der Aktivierung des Modus sollten Sie die Website aus verschiedenen Netzwerken testen. Die Homepage, die Produktseite, die Login-Seite und der Zahlungsablauf sollten idealerweise über mobile Internet, Bürounternehmen und, wenn möglich, aus verschiedenen Standorten getestet werden. Wenn die Benutzer nach der Überprüfungsseite auf die Website zugreifen können, ist dies das erwartete Verhalten. Wenn die Benutzer jedoch in eine Endlosschleife der Überprüfung geraten, sollten cookie-blockierende Einstellungen, Browserkompatibilität oder Konflikte von Cloudflare-Sicherheitsregeln überprüft werden.

5. Bestimmen Sie die URLs, die Ziel des Angriffs sind

Der "Under Attack"-Modus bietet einen allgemeinen Schutz; jedoch wird der tatsächliche Nutzen durch spezifische Regeln für Ziele erzielt. Finden Sie aus den Cloudflare-Sicherheitsevents, Web-Analysen, Hosting-Zugriffsprotokollen und Anwendungsprotokollen die am meisten angefragten Pfade heraus. Zum Beispiel könnten URLs wie /wp-login.php, /xmlrpc.php, /search, /cart, /api/login oder /checkout unter Angriff stehen.

Sobald die Ziel-URL bestimmt ist, können mit benutzerdefinierten WAF-Regeln Maßnahmen basierend auf Kriterien wie Land, User-Agent, Anfragemethode, URI-Pfad oder Bot-Score ergriffen werden. Beispielsweise kann für einen bestimmten Login-Endpunkt ein Managed Challenge für IPs, die mehr als eine angemessene Anzahl von Anfragen pro Minute senden, implementiert werden. Für WordPress-Websites bietet sich der Link WordPress Sicherheitsmaßnahmen als natürliche interne Verlinkungsmöglichkeit an.

Unterschiede zwischen dem "Under Attack"-Modus und anderen Cloudflare-Sicherheitsoptionen

Die Sicherheitswerkzeuge von Cloudflare dienen unterschiedlichen Zwecken. Der "Under Attack"-Modus ist ein schneller und allgemeiner Notfallfilter; WAF und Ratenbegrenzung bieten gezieltere, nachhaltigere und benutzerfreundlichere Lösungen.

In der Praxis verfolgt ein guter Verteidigungsansatz folgendes: Zuerst wird der Druck mit dem "Under Attack"-Modus verringert, dann wird das Angriffsmuster analysiert, WAF und Ratenbegrenzungsregeln werden hinzugefügt und schließlich wird die dauerhafte Struktur durch Cache- und Ursprungsfirewall-Einstellungen gestärkt.

Empfohlene zusätzliche Cloudflare-Einstellungen während eines Angriffs

Obwohl der "Under Attack"-Modus mit einem Klick aktiviert werden kann, hängt der Erfolg der DDoS-Abwehr von unterstützenden Einstellungen ab. Die folgenden Empfehlungen sind die am häufigsten wirksamen Anwendungen in realen Operationen.

Erstellen Sie gezielten Schutz mit WAF-Regeln

Cloudflare WAF ermöglicht es Ihnen, basierend auf bestimmten Bedingungen Maßnahmen zu ergreifen. Beispielsweise können Sie auf POST-Anfragen, die nur an die Seite /wp-login.php gesendet werden und aus bestimmten Ländern stammen, eine Herausforderung anwenden. So isolieren Sie das Ziel der Angriffe, ohne die gesamte Website zu belasten.

• Öffnen Sie die Admin- und Login-Seiten nur für bestimmte Länder oder IP-Bereiche.
• Blockieren Sie ungenutzte Endpunkte wie XML-RPC.
• Wenden Sie für verdächtige User-Agent-Werte eine verwaltete Herausforderung an.
• Begrenzen Sie Clients, die auf einem bestimmten URI-Pfad sehr häufig Anfragen stellen, mit Ratenbegrenzung.

Stellen Sie die Cache-Ebene korrekt ein

Wenn der Ursprungsserver auf jede Anfrage während eines DDoS-Angriffs antworten muss, werden die Ressourcen schnell erschöpft. Statische Dateien, Bilder, CSS, JavaScript und cachebare Seiten sollten über Cloudflare Edge bereitgestellt werden. In dynamischen Strukturen wie WordPress kann ein Page-Cache-Plugin, Cloudflare-Caching-Regeln und geeignete Cache-Control-Header zusammen verwendet werden.

Beispielsweise können auf einer Nachrichten- oder Blog-lastigen Website die Seiten, die anonymen Besuchern angezeigt werden, 5 bis 30 Minuten lang zwischengespeichert werden. Diese einfache Einstellung senkt auch während der non-Angriff-Perioden die TTFB-Werte und entlastet die Hosting-Ressourcen. Für die Leistung kann der Link Website-Beschleunigungs-Guide in Betracht gezogen werden.

Setzen Sie realistische Schwellenwerte für die Ratenbegrenzung

Ratenbegrenzung ist insbesondere bei kostenintensiven Endpunkten sehr effektiv. Wenn die Schwellenwerte jedoch zufällig festgelegt werden, können echte Benutzer blockiert werden. Beispielsweise kann ein normaler Benutzer auf einer Produkt-Suchseite 5-15 Suchen pro Minute durchführen; 100 Suchen pro Minute sind abnormal. Auf der Login-Seite sind 10 fehlgeschlagene Versuche in 5 Minuten in den meisten Szenarien verdächtig.

Ein Beispielansatz: Für /wp-login.php kann eine verwaltete Herausforderung für IPs, die mehr als 10 Anfragen pro Minute senden, und eine temporäre Blockierung für IPs, die mehr als 50 Anfragen in 5 Minuten senden, angewendet werden. Bei API-Endpunkten sollten genauere Limits basierend auf Benutzersitzungen, IPs, Tokens und Methoden bevorzugt werden.

Verstecken Sie die Ursprungs-IP-Adresse und beschränken Sie den Firewall-Zugang

Einer der kritischsten Fehler bei der Verwendung von Cloudflare ist es, die Ursprungs-IP-Adresse offen zu lassen. Alte DNS-Einträge, Subdomains, die direkt mit IPs arbeiten, Webdienste, die mit Mail-Einträgen vermischt sind, oder kompromittierte Konfigurationen können dazu führen, dass ein Angreifer den Server außerhalb von Cloudflare erreicht.

Auf der Serverseite bietet es starken Schutz, die Ports 80 und 443 nur für die IP-Bereiche von Cloudflare zu öffnen. Außerdem sollten SSH, das Dashboard, Datenbank- und Verwaltungsports nicht öffentlich zugänglich sein; IP-Einschränkungen, starke Passwörter, 2FA und, wenn möglich, VPN sollten verwendet werden. Für die Hosting-Sicherheit können Verbindungen zu cPanel Sicherheitseinstellungen und VPS-Firewall-Konfiguration hergestellt werden.

Besondere Aufmerksamkeit für WordPress, WooCommerce und Unternehmenswebsites

Nicht jede Website hat die gleiche Traffic-Struktur. Ein Blog, ein WooCommerce-Shop und ein SaaS-Panel können unterschiedliche Ergebnisse beim Einsatz des Cloudflare "Under Attack"-Modus haben. Daher sollten kritische Pfade je nach Website-Typ festgelegt werden.

WordPress-Websites

Die am häufigsten angegriffenen Dateien in WordPress sind die Pfade /wp-login.php und /xmlrpc.php. Wenn Sie XML-RPC nicht verwenden, ist es in der Regel sicher, es zu blockieren. Für das Admin-Panel können Ländereinschränkungen oder IP-Restriktionen angewendet werden. Außerdem sollten Sicherheits-Plugins nicht mit Cloudflare-Regeln in Konflikt stehen; zu viele gleichzeitig aktivierte Challenge-Mechanismen können die Benutzer in eine Verifizierungsschleife verwickeln.

WooCommerce-Shops

In WooCommerce erfordern Warenkorb-, Zahlungs- und Kontoseiten besondere Aufmerksamkeit. Da diese Seiten dynamisch sind, sollte keine aggressive Cache-Anwendung stattfinden. Stellen Sie sicher, dass während des aktiven "Under Attack"-Modus die Callback- oder Webhook-URLs des Zahlungsanbieters funktionieren. Gegebenenfalls sollten die IP-Bereiche des Zahlungsanbieters in die Allowlist aufgenommen oder spezielle Regeln für die betreffenden Endpunkte geschrieben werden.

Unternehmens- und API-Nutzungsseiten

Unternehmensportale, CRM-Integrationen und mobile Anwendungs-APIs können das JavaScript-Challenge-Bild nicht verarbeiten. In solchen Strukturen kann es besser sein, den "Under Attack"-Modus nicht auf die gesamte Domain anzuwenden, sondern die API-Subdomain separat zu verwalten. Beispielsweise kann der "Under Attack"-Modus für www.example.com aktiviert werden, während für api.example.com tokenbasierte Sicherheit, Ratenbegrenzung und Allowlist angewendet werden.

Welche Metriken sollten nach Aktivierung des "Under Attack"-Modus verfolgt werden?

Um festzustellen, ob eine Sicherheitsmaßnahme wirksam ist, ist eine numerische Überwachung erforderlich. Es reicht nicht aus, dass die Website geöffnet ist; auch Fehlerraten, Serverlast und das Verhalten echter Benutzer sollten gemeinsam bewertet werden.

• Cloudflare Security Events: Zeigt, welche Regeln wie viele Anfragen blockiert oder herausgefordert haben.
• HTTP-Statuscodes: Veränderungen bei 403-, 429-, 502-, 503- und 504-Fehlern sollten überwacht werden.
• Server-CPU- und RAM-Nutzung: Ein Rückgang nach dem "Under Attack"-Modus wird erwartet.
• PHP-FPM- und MySQL-Verbindungen: Zeigt die Entlastung auf Anwendungsebene an.
• Bandbreite und Anzahl der Anfragen: Der Traffic-Volumen sollte mit dem Anteil der gefilterten Anfragen verglichen werden.
• Echte Benutzerkonversionen: Formularübermittlungen, Bestellungen, Logins und Zahlungsschritte sollten getestet werden.

Wenn nach Aktivierung des "Under Attack"-Modus die Gesamtanzahl der Anfragen gleich bleibt, aber die Anfragen, die den Ursprung erreichen, um 60 % zurückgehen, bedeutet das, dass die Cloudflare-Ebene eine erhebliche Last absorbiert. Wenn die CPU-Nutzung von MySQL jedoch hoch bleibt, könnte der Angriff eine spezifische dynamische Abfrage auslösen; in diesem Fall sollten die Anwendungsprotokolle überprüft werden.

Wie sollte der "Under Attack"-Modus nach einem Angriff deaktiviert werden?

Wenn der Angriffsverkehr auf normale Werte zurückkehrt, wird nicht empfohlen, den "Under Attack"-Modus dauerhaft aktiviert zu lassen. Denn die zusätzliche Überprüfung, die jedem Besucher angezeigt wird, kann die Konversionsrate, die Crawling-Effizienz und die Benutzerzufriedenheit beeinträchtigen. Der Deaktivierungsprozess sollte ebenso kontrolliert durchgeführt werden wie die Aktivierung.

Schritte zur sicheren Rückkehr zur Normalität

• Warten Sie mindestens 30-60 Minuten, bis sich das Traffic-Level normalisiert hat.
• Bestätigen Sie im Cloudflare Security Events-Bildschirm, dass die Anzahl der Herausforderungen und Blockierungen sinkt.
• Stellen Sie sicher, dass gezielte WAF- und Ratenbegrenzungsregeln aktiv sind, bevor Sie den "Under Attack"-Modus deaktivieren.
• Setzen Sie die Sicherheitsstufe auf ein ausgewogenes Niveau wie Hoch oder Mittel zurück.
• Testen Sie die Website von verschiedenen Geräten aus und überwachen Sie die 5xx-Fehlerquote.
• Überwachen Sie die Protokolle 24 Stunden lang, um zu überprüfen, ob der Angriff erneut beginnt.

Als gute Praxis sollte ein Ereignisbericht nach dem Angriff erstellt werden. Dieser Bericht sollte die Startzeit des Angriffs, die Ziel-URLs, die Anzahl der häufigsten Anfragen, die ergriffenen Maßnahmen, erfolgreiche Regeln und dauerhafte Verbesserungen umfassen. Dieses Dokument wird die Reaktionszeit beim nächsten Vorfall erheblich verkürzen.

Häufige Fehler und was zu vermeiden ist

In einer DDoS-Situation sind schnelle Entscheidungen erforderlich; jedoch können falsche Einstellungen auch echte Benutzer blockieren. Die folgenden Fehler treten insbesondere unter hohem Stress häufig auf.

• Zu glauben, dass der "Under Attack"-Modus Schutz bietet, ohne die DNS-Einträge proxied zu machen.
• Die Ursprungs-IP-Adresse offen zu lassen und den Firewall-Zugang für Adressen außerhalb von Cloudflare nicht zu blockieren.
• Die API, Webhooks und Zahlungs-Callback-Adressen zu testen, ohne den "Under Attack"-Modus auf die gesamte Domain anzuwenden.
• Zu breite WAF-Blockierungsregeln zu schreiben und echte Kunden zu blockieren.
• Seiten, die nicht cachefähig sein sollten, aggressiv zu cachen, wie Warenkorb, Zahlung oder Benutzerpanel.
• Den Modus Wochen nach dem Ende des Angriffs aktiviert zu lassen.
• Entscheidungen nur auf der Grundlage des Cloudflare-Bildschirms zu treffen, ohne die Serverprotokolle zu überprüfen.

Insbesondere bei E-Commerce-Websites kann das Blockieren von Zahlungs-Callbacks erhebliche Einnahmeverluste verursachen. Daher ist es sicherer, beim Schreiben von Sicherheitsregeln zunächst eine Log- oder verwaltete Challenge-Aktion zu testen, anstatt sofort zu blockieren. Nachdem die Regel Wirkung gezeigt hat, können stärkere Maßnahmen ergriffen werden.

Wie plant man eine widerstandsfähigere Verteidigung auf der Hostragons-Infrastruktur?

Cloudflare bietet eine starke Frontschicht; jedoch endet eine erfolgreiche DDoS-Abwehr nicht nur bei der CDN-Seite. Die Hosting-Infrastruktur, Software-Optimierung, SSL-Konfiguration, DNS-Management und Backup-Strategie sollten zusammen betrachtet werden. Für eine auf Hostragons gehostete Website sollte der grundlegende Ansatz folgendermaßen aussehen: Cloudflare filtert den Traffic, die Hosting-Ebene empfängt nur den sauberen Traffic und die Anwendung wird so optimiert, dass sie keine unnötige Datenbanklast erzeugt.

Bevor ein neues Projekt live geht, ist es wichtig, die Domain mit den richtigen DNS-Einträgen zu verwalten, das SSL-Zertifikat reibungslos zu installieren und die Ressourcen des Webservers entsprechend Ihrem Traffic-Profil auszuwählen. An diesem Punkt können die Links zu Domain-Abfrage und Domain-Registrierung, Web Hosting-Pakete, geschäftliche Hosting-Lösungen und Kostenloses SSL-Zertifikat dem Benutzer helfen.

Für Projekte mit hohem Traffic oder hohem Angriffsrisk sollten kontrollierte VPS- oder verwaltete Serveroptionen anstelle von Standard-Shared-Hosting in Betracht gezogen werden. So können Firewall, Webserver, PHP-FPM, Redis, Object Cache und Datenbankeinstellungen flexibler konfiguriert werden. Unabhängig davon, welche Infrastruktur gewählt wird, sollte der "Under Attack"-Modus von Cloudflare nur als Notfallwerkzeug positioniert werden; die dauerhafte Sicherheitsarchitektur sollte durch WAF, Protokollanalyse und regelmäßige Aktualisierungen unterstützt werden.

Schnellcheckliste: Die ersten 15 Minuten während eines DDoS-Angriffs

Die Zeit ist während eines Angriffs entscheidend. Die folgende Liste fasst zusammen, was das technische Team oder der Website-Besitzer in den ersten 15 Minuten tun kann.

• Loggen Sie sich in das Cloudflare-Dashboard ein und wählen Sie die richtige Domain aus.
• Überprüfen Sie, ob die DNS-Einträge im orangefarbenen Wolkenstil, also proxied, sind.
• Aktivieren Sie den "Under Attack"-Modus.
• Testen Sie die Homepage, das Login, den Warenkorb, die Zahlung und die API-Endpunkte.
• Bestimmen Sie die Ziel-URLs über das Cloudflare-Security-Events-Bildschirm.
• Fügen Sie spezielle WAF- oder Ratenbegrenzungsregeln für die am meisten angegriffenen Pfade hinzu.
• Überprüfen Sie den Status von Server-CPU, RAM, PHP-FPM und MySQL.
• Testen Sie den direkten Zugriff auf die Ursprungs-IP.
• Überprüfen Sie, ob für Zahlungsanbieter, Webhooks und kritische Integrationen eine Allowlist erforderlich ist.
• Dokumentieren Sie alle Maßnahmen mit Zeitstempeln.

Wenn diese Liste regelmäßig geübt wird, wird die Panik bei einem echten Angriff verringert und die Qualität der Intervention erhöht. In großen Websites wird empfohlen, diesen Prozess als Incident-Response-Plan zu dokumentieren.

Häufig gestellte Fragen

Schützt der "Under Attack"-Modus von Cloudflare die Website vollständig?

Nein. Der "Under Attack"-Modus von Cloudflare ist besonders effektiv zur Reduzierung von Bot- und Flood-Traffic auf HTTP/HTTPS-Ebene; allein bietet er jedoch keinen vollständigen Schutz. Die DNS-Einträge müssen proxied sein, die Ursprungs-IP verborgen werden, WAF-Regeln, Ratenbegrenzung, Cache- und Serverfirewall-Einstellungen müssen zusammen verwendet werden.

Schadet der "Under Attack"-Modus der SEO?

Eine kurzzeitige Nutzung verursacht in der Regel keinen erheblichen SEO-Schaden. Wenn der Modus jedoch über längere Zeit aktiv bleibt, kann die Effizienz des Crawling durch Suchmaschinen und die Benutzererfahrung beeinträchtigt werden. Daher ist es besser, den Modus nach einem Angriff zu schließen und mit gezielten Sicherheitsregeln fortzufahren.

Wie lange sollte der "Under Attack"-Modus aktiviert bleiben?

Er kann so lange aktiv bleiben, bis die Angriffsdichte sinkt; in der Praxis wird empfohlen, nach Normalisierung des Traffics mindestens 30-60 Minuten zu überwachen und dann schrittweise zu deaktivieren. Vor der Deaktivierung sollten permanente Regeln wie WAF und Ratenbegrenzung bereit sein.

Beeinflusst der "Under Attack"-Modus APIs oder Zahlungssysteme?

Ja, das kann er. Denn einige API-Clients, Webhook-Dienste und Zahlungssysteme können die browserbasierte Sicherheitsüberprüfung nicht abschließen. Daher sollten kritische Endpunkte getestet und, wenn nötig, Allowlists oder spezielle Cloudflare-Regeln definiert werden.

Ist es notwendig, zusätzlich zur Nutzung von Cloudflare auf der Hosting-Seite Vorkehrungen zu treffen?

Ja. Cloudflare bietet starken Schutz auf der Frontseite; jedoch muss die IP-Adresse des Ursprungsservers verborgen werden, die Firewall darf nur den notwendigen Traffic zulassen, die Software muss aktuell gehalten werden und die Cache-Konfiguration muss korrekt sein. Eine sichere Hosting-Infrastruktur ist ein wichtiger Bestandteil der DDoS-Resilienz.

Fazit

Der "Under Attack"-Modus von Cloudflare ist ein effektives Notfallwerkzeug, das einer Website unter DDoS-Angriffen schnell Atem verschafft. Wenn er mit den richtigen DNS-Proxy-Einstellungen aktiviert wird, reduziert er den Bot-Traffic, senkt die Serverlast und erhöht die Wahrscheinlichkeit, dass echte Benutzer die Website erreichen. Um die besten Ergebnisse zu erzielen, sollte dieser Modus durch WAF-Regeln, Ratenbegrenzung, Cache-Optimierung und die Sicherheit der Ursprungsfirewall unterstützt werden.

Wenn Sie möchten, dass Ihre Website widerstandsfähiger gegen Angriffe ist, überprüfen Sie regelmäßig Ihre Infrastruktur, Ihr DNS-Management und Ihre SSL-Konfiguration. Durch die Überprüfung der Hosting-, Domain- und SSL-Lösungen von Hostragons können Sie eine sicherere und nachhaltigere Grundlage für Ihre Website schaffen.