DDoS-атака (распределённый отказ в обслуживании) пытается вывести сервис из строя, заливая его трафиком, который он не способен обработать. Вот как работают такие атаки, что делает защита от DDoS и чего она сделать не может.
Три вида атак
- Объёмные атаки забивают сам сетевой канал мусором, их измеряют в гигабитах в секунду. Примеры: UDP-флуд и DNS- или NTP-амплификация.
- Протокольные атаки злоупотребляют устройством соединений, например SYN-флуд, исчерпывающий таблицу соединений сервера.
- Атаки уровня приложения посылают множество запросов, неотличимых от настоящих, например тысячи поисков или входов в секунду, чтобы исчерпать процессор и базы данных.
В сетевых терминах первые две — это атаки уровней 3 и 4 (L3/L4), а последняя — уровня 7 (L7).
Как работает защита на сетевом уровне
- Трафик на ваш IP-адрес сначала проходит через фильтрующее оборудование провайдера.
- Система изучает, как выглядит обычный трафик, и помечает аномалии.
- Вредоносные пакеты, например с подменёнными источниками или искажённые, отбрасываются до того, как достигнут вашего сервера.
- Чистый трафик идёт дальше как обычно, как правило без заметной задержки.
Каждый VPS на нашей платформе включает защиту L3/L4, которая закрывает объёмные и протокольные атаки, вызывающие большинство простоев.
Что защита L3/L4 не останавливает
Флуд уровня 7 выглядит как настоящие посетители, поэтому сетевые фильтры не всегда могут их отличить. С ними справляются на уровне приложения:
- Поставьте перед веб-сайтами CDN или обратный прокси и активно кэшируйте.
- Используйте ограничение частоты запросов в Nginx (
limit_req_zone) для страниц входа и поиска. - Используйте fail2ban, чтобы блокировать повторных нарушителей.
- Отдавайте статические страницы, где это возможно: их доставка почти ничего не стоит.
Уменьшите свою уязвимость
- Держите IP origin в тайне, если используете CDN, и не допускайте его утечки через историю DNS или заголовки писем.
- Закройте все неиспользуемые порты.
- Обновляйте ПО, чтобы атакующие не могли обрушить его из-за небольшой ошибки.
- Следите за использованием ресурсов, чтобы заметить проблемы заранее.
Что делать во время атаки
- Убедитесь, что это атака: посмотрите графики трафика и
ss -sдля числа соединений. - Свяжитесь с поддержкой хостера, чтобы они скорректировали фильтрацию.
- Включите ограничение частоты запросов или поставьте сайт за прокси.
- Не платите по требованиям вымогателей. Оплата не останавливает повторные атаки.
Частые вопросы
Что делает защита от DDoS?
Она фильтрует потоки вредоносного трафика до того, как они доходят до вашего сервера, чтобы сайт оставался доступным для реальных посетителей.
Останавливает ли DDoS-защита хостера все атаки?
Нет. В основном она справляется с крупными сетевыми потоками. Атаки прикладного уровня, которые выглядят как обычные запросы, требуют ограничения частоты, кеширования и правил для ботов на вашем собственном сервере.
Нужна ли защита от DDoS небольшому сайту?
Небольшие сайты редко атакуют напрямую, но они могут попасть под сканирование и потоки трафика. Базовая защита и ограничение частоты запросов — недорогая страховка.