Melindungi website dari serangan DDoS

Berikut cara melindungi website dari serangan DDoS menggunakan Cloudflare.

Cloudflare

Metode yang akan dipakai

1. Rate Limit

2. Captcha (Bot Protection)

3. Block Geo Country / Continent

---

Penjelasan

Sebuah website beroperasi pada protokol Layer-7, yang membuat perlindungan terhadap serangan DDoS menjadi lebih kompleks. Serangan DDoS pada Layer-7 menargetkan aplikasi web secara langsung dengan membanjiri server menggunakan permintaan HTTP yang tampak sah, sehingga lebih sulit dibedakan dari traffic normal. Oleh karena itu, mitigasi yang efektif diperlukan untuk melindungi server tanpa mengganggu pengguna yang sah.

---

⌛ Rate Limit

1️⃣ Penjelasan:

Rate limit adalah teknik yang membatasi jumlah permintaan (requests) yang dapat dikirim oleh satu IP dalam periode waktu tertentu.

Tujuannya adalah untuk mencegah penyalahgunaan sumber daya server akibat permintaan yang berlebihan, baik dari bot maupun serangan DDoS.

2️⃣ Cara Aktivasi:

1. Buka Cloudflare Dashboard dan pilih situs atau domain Anda.

2. Navigasi ke Security → WAF → Rate limiting rules.

1. Buat aturan (create rule)

1. Atur aturan dengan parameter berikut:

   • Nama aturan: rate-limit

   • Kondisi pertama (Abaikan traffic dari bot yang diverifikasi):

     • Pilih Verified Bot

     • Matikan nilainya hingga menjadi abu-abu (off)

   • Batasan permintaan:

     • Maksimum 300 request dalam 10 detik (atau setara dengan 30 request per detik)

2. Tentukan tindakan:

   • Pilih Block atau Managed Challenge sebagai tindakan jika batas terlampaui.

3. Klik Deploy untuk mengaktifkan aturan.

---

🤖 Captcha

1️⃣ Penjelasan:

Managed Challenge adalah sistem tantangan otomatis dari Cloudflare yang meminta pengguna untuk menyelesaikan CAPTCHA sebelum dapat mengakses situs. Ini bertujuan untuk memverifikasi apakah permintaan berasal dari pengguna manusia atau bot.

2️⃣ Cara Aktivasi:

1. Buka Cloudflare Dashboard dan pilih situs atau domain Anda.

2. Navigasi ke Security → WAF → Custom rules

3. Buat aturan (create rule)

1. Atur aturan dengan parameter berikut:

   • Nama aturan: Managed-Challenge

   • Kondisi pertama (Hanya menargetkan bot yang tidak dikenal):

     • Pilih Known Bots

     • Setel operator ke is not (artinya aturan hanya berlaku untuk bot yang tidak dikenali Cloudflare)

     • Klik And untuk menambahkan kondisi berikutnya.

   • Kondisi kedua (Mengecualikan API dari captcha challenge):

     • Pilih URI Path

     • Setel operator ke does not start with

     • Masukkan /api (Atau sesuaikan dengan route API Anda)

     • Klik Or untuk menambahkan kondisi berikutnya.

   • Kondisi ketiga (Mengecualikan subdomain API dari challenge):

     • Pilih Hostname

     • Setel operator ke does not contain

     • Masukkan api (Atau sesuaikan dengan hostname API Anda, misalnya api)

2. Tentukan tindakan:

   • Pilih Managed Challenge sebagai tindakan untuk meminta CAPTCHA pada lalu lintas mencurigakan.

3. Klik Deploy untuk mengaktifkan aturan.

---

📍 Block Geo Country / Continent

1️⃣ Penjelasan:

Fitur Block Geo Country / Continent di Cloudflare memungkinkan Anda memblokir akses ke situs web berdasarkan lokasi geografis pengguna.

Ini berguna untuk: ✔️ Mencegah serangan DDoS dari negara atau benua tertentu. ✔️ Membatasi akses hanya untuk pengguna dari negara tertentu.

2️⃣ Cara Aktivasi:

1. Buka Cloudflare Dashboard dan pilih situs atau domain Anda.

2. Navigasi ke Security → WAF → Custom rules

3. Buat aturan (create rule)

4. Atur aturan dengan parameter berikut:

• Nama aturan: block-geo

• Kondisi pertama (Blokir berdasarkan benua):

  • Pilih Continent

  • Pilih operator ke is in

  • Masukkan benua yang ingin diblokir, misalnya Africa

  • Klik Or untuk menambahkan kondisi berikutnya.

• Kondisi kedua (Blokir berdasarkan negara):

  • Pilih Country

  • Pilih operator ke is in

  • Masukkan negara yang ingin diblokir, misalnya Russian Federation, Vietnam, South Africa

5. Tentukan tindakan:

• Pilih Block untuk sepenuhnya menolak akses dari wilayah tersebut.

6. Klik Deploy untuk mengaktifkan aturan.