Что такое DDoS-атака и как от неё защититься?

Большинство угроз безопасности связаны с тихой кражей или подменой данных. У DDoS-атаки совсем другая цель: вывести ваш сервис из строя — громко и сразу, — завалив его трафиком так, что настоящие пользователи просто не могут до него достучаться.

Что означает DDoS на самом деле

DDoS расшифровывается как distributed denial of service — «распределённый отказ в обслуживании». Отказ в обслуживании означает лишь то, что сервис становится недоступен для реальных пользователей. Ключевое слово здесь — «распределённый»: настоящая DDoS-атака идёт не с одной машины, а одновременно с тысяч или даже миллионов устройств. Обычно это ботнет — сеть взломанных компьютеров, роутеров или IoT-устройств, которыми злоумышленник управляет без ведома их владельцев. Из-за такого распределения остановить атаку несравнимо сложнее: нельзя просто заблокировать один источник, ведь трафик идёт отовсюду.

Основные виды атак

Объёмные атаки. Сетевой канал просто забивают огромным количеством мусорного трафика, пока для настоящих запросов не остаётся пропускной способности.
Атаки на протоколы. Используются слабые места в том, как сетевые протоколы обрабатывают соединения: например, открывается огромное количество соединений, которые так и не завершаются как положено, и ресурсы сервера, ожидающего ответа, истощаются.
Атаки на уровне приложений. Самая изощрённая категория: запросы выглядят как совершенно обычный пользовательский трафик, но их объём рассчитан на то, чтобы исчерпать вычислительные возможности самого приложения, а не пропускную способность сети. Такие атаки труднее всего отличить от настоящего, неожиданного всплеска реального пользовательского трафика.

Зачем устраивают такие атаки

Мотивы бывают самые разные: вымогательство («платите, иначе атака продолжится»), саботаж со стороны конкурентов, активизм в ответ на публичные действия компании, а иногда и вовсе никакого ясного мотива, кроме желания навредить. Последствия для бизнеса при этом одинаковы: реальная потеря выручки за каждую минуту недоступности сервиса, ущерб репутации, а в некоторых отраслях — ещё и договорные или регуляторные последствия, связанные с обязательствами по доступности.

Защита, которая действительно работает

CDN с защитой от DDoS

Сервисы вроде Cloudflare стоят перед вашими серверами и поглощают трафик ещё до того, как он доберётся до вашей инфраструктуры. Их масштаб позволяет выдерживать потоки, которые мгновенно положили бы обычный сервер, а отличать атакующий трафик от настоящего на таких объёмах они умеют гораздо лучше, чем большинство компаний смогло бы самостоятельно.

Ограничение частоты запросов и фильтрация трафика

Разумные лимиты на количество запросов с одного источника за определённый промежуток времени не позволят ни одному клиенту — автоматизированному или нет — в одиночку перегрузить уровень приложения, будь то злонамеренный трафик или просто неожиданный всплеск.

Масштабируемая инфраструктура

Инфраструктура, которая автоматически масштабируется под нагрузкой, даёт реальный запас времени и ресурсов во время атаки и помогает отличить настоящий всплеск трафика от реальных пользователей от скоординированной лавины запросов. Впрочем, одно лишь масштабирование не станет полноценной защитой от крупной и настойчивой атаки.

Продуманный план реагирования на инциденты

Когда заранее известно, кто получает оповещение, какие шаги предпринимаются и у кого есть полномочия менять инфраструктуру в стрессовой ситуации, идущая DDoS-атака превращается из хаоса в отрепетированный и управляемый процесс. Разница между пятиминутным сбоем и многочасовым простоем зачастую определяется исключительно тем, насколько вы были готовы к реагированию, а не тем, насколько мощной была атака.

С чего начать на практике

Большинству компаний не нужна специализированная защита от DDoS корпоративного уровня с первого дня. CDN со встроенной защитой от DDoS, разумное ограничение частоты запросов на уровне приложения и инфраструктура, способная масштабироваться под нагрузкой, закрывают подавляющее большинство реалистичных сценариев. Главный пробел у большинства компаний — не в инструментах, а в отсутствии плана действий на случай атаки, продуманного заранее, а не придуманного на ходу.

Настройка такой защиты — правильная конфигурация CDN, разумные лимиты запросов, инфраструктура, которая без проблем масштабируется под нагрузкой, — основа работы Burncode по усилению защиты инфраструктуры, наряду с аудитами безопасности приложений и подготовкой к проверкам на соответствие требованиям.