Cloudflare führt C-basierte benutzerdefinierte DDoS-Abwehr für Magic Transit ein

Cloudflare hat Programmable Flow Protection eingeführt, eine neue Closed-Beta-Funktion für Magic-Transit-Kunden, die zur Abwehr von DDoS-Angriffen auf benutzerdefinierte oder standardisierte UDP-basierte Layer-7-Protokolle entwickelt wurde. Laut Cloudflare ist die Funktion als Zusatzoption für Magic-Transit-Bereitstellungen verfügbar, die entweder Bring Your Own IP oder von Cloudflare bereitgestellte IPs nutzen.

Laut Cloudflare ist die Funktion für Umgebungen gedacht, die auf spezialisierte UDP-Datenströme angewiesen sind, darunter Gaming, Finanzdienstleistungen, VoIP, Telekommunikation und Streaming-Workloads. Cloudflare positioniert sie als Teil seiner Advanced-DDoS-Protection-Systeme für Magic Transit neben Advanced TCP Protection und Advanced DNS Protection.

Kunden können eigene Paketlogik in C hochladen

Cloudflare zufolge ermöglicht Programmable Flow Protection das Hochladen eigener zustandsbehafteter Programme zur Paketverarbeitung, die in C geschrieben sind. Diese Programme werden anschließend validiert, kompiliert und als im User Space laufende eBPF-Programme im gesamten Cloudflare-Netzwerk bereitgestellt. Ziel ist es, Betreibern zu ermöglichen, UDP-Anwendungsverkehr mit protokollbewusster Logik zu untersuchen und zu entscheiden, ob Pakete zugelassen oder blockiert werden sollen.

Nach Angaben des Unternehmens basiert das System auf Flowtrackd, seiner Plattform für zustandsbehaftete Abwehrmaßnahmen. Es unterstützt sowohl asymmetrische als auch symmetrische Topologien, wobei Cloudflare darauf hinweist, dass die Funktion nur eingehenden Datenverkehr untersucht. Die Konfiguration erfolgt über die API von Cloudflare, die Endpunkte zum Hochladen von Programmen, zum Erstellen von Regeln, zum Auflisten von Konfigurationen und zu deren Löschung umfasst.

Feature erscheint als Add-on für Cloudflares DDoS-Plattform auf Netzwerkebene

Magic Transit ist Cloudflares Dienst für Netzwerksicherheit und Performance für lokale, in der Cloud gehostete und hybride Netzwerke und bietet DDoS-Schutz sowie Verkehrsverarbeitung auf der IP-Ebene. Mit Programmable Flow Protection erweitert Cloudflare diese Plattform um eine stärker anpassbare Option für Kunden, deren UDP-basierte Dienste nicht in standardisierte Abwehrprofile passen.

In seiner DDoS-Dokumentation beschreibt Cloudflare Programmable Flow Protection als eine Möglichkeit, benutzerdefinierte eBPF-Paketlogik im gesamten Netzwerk bereitzustellen, um Angriffe auf UDP-basierte Layer-7-Protokolle zu untersuchen und abzuwehren. Einen allgemeinen Verfügbarkeitsstatus hat das Unternehmen bislang nicht genannt; in den offiziellen Dokumenten wird die Funktion zum Zeitpunkt der Erstellung dieses Textes weiterhin als Closed Beta geführt.