Estou fornecendo uma solução parcial de hospedagem na web, na qual meus clientes podem fazer upload e executar seus próprios scripts php.
Além da rotina de segurança que terei que verificar (fora do tópico aqui), gostaria de saber se é possível impedir que meus clientes configurem um "porão de ataque" lá dentro?
Eu acredito que não posso fazer muito além de fazê-los assinar alguma aceitação de política ...
Além disso, como há apenas alguns IP compartilhados por todos os hosts, haveria o risco de todos serem banidos?
O isolamento adequado entre os clientes, juntamente com algumas limitações de recursos restritos, seria a resposta.
Tráfego IN / OUTBOUND (como sugerido por voretaq7), CPU, memória, uso de disco e disco IO são as chaves para isso. Como fazer isso pode variar de acordo com a solução de hospedagem que você está usando ..
Se você permitir que as pessoas executem código arbitrário em um ambiente irrestrito, há muito pouco que você possa fazer para torná-lo "seguro" - quando trabalhei para um ISP que forneceu hospedagem compartilhada com PHP, minimizamos isso vendendo apenas para empresas / indivíduos que nós tínhamos testado até certo ponto para garantir que eles não fossem J. Random. A Haxor procura uma plataforma para lançar ataques e, honestamente, essa é a melhor solução para esse problema.
Além disso, você pode restringir o acesso à rede de saída (com configurações do PHP ou através de um firewall - sendo a última preferível). Isso pode frustrar usuários legítimos, mas também impede que usuários mal-intencionados ataquem seu servidor.
Observe que isso só ataca os ataques de saída - Como você observou, há outras coisas que você precisa considerar para proteger adequadamente o seu próprio servidor. Essa seria uma questão interessante de acompanhamento.
Tags ddos