DDoS-атака

Что такое DDoS-атака и зачем её устраивают

DDoS-атака (от англ. Distributed Denial of Service — «распределённый отказ в обслуживании») — это массовая отправка запросов на сайт или сервер с множества устройств одновременно, чтобы ресурс перестал отвечать настоящим посетителям. Данные при этом обычно не крадут и сайт не взламывают: он просто не открывается, потому что занят бессмысленной работой. В русскоязычной среде пишут и «ДДоС», и «ддос», смысл тот же.

Простая DoS-атака идёт с одного источника, и её отсекают блокировкой адреса. В DDoS запросы приходят с тысяч адресов: обычно это ботнет, то есть сеть заражённых компьютеров, камер и роутеров под управлением злоумышленника. Мотивы бывают разные: вымогательство («заплатите, и сайт заработает»), давление на конкурента в сезон распродаж, месть. Иногда атака служит ширмой: пока команда борется с ней, злоумышленник готовит другую попытку проникнуть в систему.

Какие ресурсы сайта исчерпывает атака

У любого сайта есть пределы: пропускная способность канала, число одновременных соединений, мощность процессора и память. DDoS бьёт по самому узкому из них.

Если мощности для заполнения канала не хватает, мишенью становятся «тяжёлые» страницы: запрос к поиску по каталогу нагружает процессор сильнее, чем запрос картинки.

Три класса атак: объёмные, протокольные и прикладные

Атаки делят по уровню сетевой модели, на котором они работают. От него зависит, какая защита справится.

Прикладные атаки труднее всего распознать: поток небольшой, но каждый запрос заставляет сервер работать. Для масштаба объёмных атак: нагрузка на организацию Spamhaus в марте 2013 года, по оценке одного из магистральных провайдеров, превысила 300 Гбит/с, а основой атаки были открытые DNS-серверы. Классы комбинируют: объёмная отвлекает защиту, пока прикладная выбивает сайт.

Как отличить DDoS от сбоя хостинга, рекламы и клик-фрода

Симптомы DDoS похожи на обычные неполадки: сайт тормозит или не открывается. Сначала исключите плановые работы у хостера и свой сбой. Признаки именно атаки:

• в Яндекс Метрике трафик вырос в разы за часы, а заявки и покупки не прибавились;
• в логах сервера тысячи запросов к одной странице или с одних подсетей, у них одинаковый User-Agent и нет переходов по сайту;
• процессор сервера загружен почти на 100% при обычной посещаемости.

Наплыв после удачной рекламы выглядит похоже, но посетители смотрят несколько страниц и делают заказы. Клик-фрод — тоже искусственный трафик, но цель другая: вымотать рекламный бюджет, а не вывести сайт из строя.

Защита сайта: что настроить заранее и как действовать во время атаки

Полностью застраховаться нельзя, но разумная подготовка сводит ущерб к минимуму.

• Сервис фильтрации. Включите защиту у хостинг-провайдера или подключите CDN: он распределяет нагрузку по узлам и отсекает вредоносный трафик до сервера.
• Скрытый адрес сервера. Если реальный IP известен, атакующие обойдут CDN и ударят напрямую. Смена адреса после подключения защиты закрывает эту лазейку.
• Кеширование и лимиты. Страницы без персональных данных отдаются из кеша, а на поиск, формы и API ставят ограничение числа запросов с одного адреса.
• Запас мощности и мониторинг. Тариф хостинга с запасом и оповещения о росте нагрузки выигрывают минуты.

Если атака началась, действуйте по порядку:

1. Свяжитесь с хостером или провайдером защиты: они подтвердят атаку и включат фильтрацию. Американское агентство CISA советует также уточнить у интернет-провайдера, нет ли сбоя на его стороне.
2. Включите капчу и ограничения на тяжёлых страницах, временно закройте регионы, из которых идёт поток, если вы там не продаёте. Сохраните логи для разбора.
3. Следите за остальными системами: пока команда занята сайтом, возможна вторая атака на почту, админку или базу.
4. Приостановите рекламу, пока сайт недоступен, иначе бюджет уйдёт на клики в пустоту.

Часть этой работы лежит на стороне архитектуры: правильный кеш, разделение сервисов, ограничение запросов закладывают на этапе разработки сайта. Мониторинг, настройку защиты и реагирование на инциденты берёт на себя поддержка сайта.

Во сколько обходится простой: расчёт потерь для интернет-магазина

Допустим, магазин зарабатывает 300 000 ₽ в сутки и тратит на рекламу 20 000 ₽ в сутки. Атака выводит сайт из строя на 6 часов. При равномерных продажах недополученная выручка составит 300 000 / 24 × 6 = 75 000 ₽. Если рекламу не остановили, ещё 20 000 / 24 × 6 = 5 000 ₽ уйдёт на клики в недоступный сайт. Итого около 80 000 ₽ за полдня, не считая клиентов, которые ушли к конкурентам. Сравните эту сумму со стоимостью защиты на год. Все числа условные, они нужны для оценки порядка потерь, а не для прогноза.

Частые вопросы