DDoS-атака: що це, як працює і які перші ознаки

DDoS-атака — це навмисне перевантаження сайту, застосунку або сервера потоком запитів, які надходять одночасно з безлічі джерел. Мета — вичерпати ресурси системи (канал, процесор, пам'ять, з'єднання) так, щоб вона перестала відповідати справжнім користувачам. Коротка відповідь на питання «DDoS-атака — що це таке»: штучна черга, у якій живий клієнт не має шансів пробитися до сервісу. Це наріжний матеріал рубрики: нижче зібрано головне — механіка, типи, ознаки, реагування та захист. Якщо потрібна лише розшифровка абревіатури, почніть зі статті Що таке DDoS.

Як працює DDoS-атака

В основі більшості таких ударів лежить ботнет — мережа заражених пристроїв (комп'ютерів, роутерів, камер спостереження, побутової техніки з виходом у мережу), якими зловмисник керує дистанційно. За командою вони одночасно починають надсилати запити на ціль. Для сервера це виглядає як раптовий наплив «відвідувачів», яких він фізично не встигає обслужити: черга росте, ресурси тануть, а справжні користувачі бачать помилки або нескінченне завантаження.

Власники заражених пристроїв зазвичай навіть не здогадуються про свою роль. Покроково — від зараження до удару — процес розібрано в матеріалі Як відбувається DDoS-атака.

Три рівні, на яких «валять» ресурс

• Об'ємні — забивають пропускну здатність каналу (UDP-флуд, підсилення трафіку через сторонні сервери). Вимірюються в бітах за секунду.
• Протокольні — виснажують стан з'єднань і ресурси мережевого обладнання; класика жанру — SYN-флуд. Вимірюються в пакетах за секунду.
• На рівні застосунку (L7) — запити зовні схожі на дії живої людини (пошук, важка сторінка), але їх стільки, що не витримує застосунок чи база даних. Найпідступніші, бо їх складно відрізнити від справжнього трафіку.

Звідси й головна складність оборони: фільтр має відсіяти шкідливий потік, не зачепивши реальних покупців. Надто жорсткі правила «рятують» сервер ціною втрачених клієнтів, надто м'які — не рятують узагалі. Тому налаштування захисту — це завжди пошук балансу, а не одна кнопка.

Повну класифікацію з прикладами наведено у Види DDoS-атак. Коли удар спрямований не на сайт, а на мережеву адресу чи весь вузол, працює інша логіка — про це у DDoS по IP і на сервер.

Чим це відрізняється від DoS

Якщо потік іде з одного джерела — це DoS, і його простіше відсікти: досить заблокувати одну адресу. Коли джерел тисячі й вони розкидані по світу, просте блокування не рятує — серед «шкідливих» адрес трапляються й ті, з яких приходять реальні клієнти. Порівняння двох сценаріїв — у матеріалі DoS і DDoS: у чому різниця, а механіку «одиночного» варіанта розібрано у DoS-атака.

Перші ознаки: як зрозуміти, що почалася атака DDoS

На старті її легко сплутати зі звичайним сплеском відвідуваності. Насторожити мають:

• різке падіння швидкості чи доступності — без релізу й без реклами, яка могла б дати наплив;
• аномальний потік однотипних запитів або трафік із незвичної географії;
• масові таймаути, помилки 5xx, вичерпані з'єднання;
• стрибок навантаження на процесор, пам'ять чи канал, непропорційний кількості клієнтів.

Одна ознака — ще не вирок, тривожний сигнал — саме збіг кількох. Як налаштувати ранню діагностику, описано в Ознаках DDoS-атаки.

Чому це болісно для бізнесу

Навіть кілька годин простою — це втрачені продажі, зірвані замовлення, черга в підтримці й репутаційні втрати, а подекуди й штрафи за невиконані зобов'язання. Під ударом опиняється не лише великий бізнес: інтернет-магазини, сервіси запису, державні портали та невеликі сайти страждають не рідше — почасти саме тому, що захищені гірше. Докладніше — у матеріалі DDoS-атака на сайт: чому мішенню стає навіть малий бізнес.

Тривати це може від кількох хвилин до кількох діб, іноді хвилями — з паузами, які створюють оманливе відчуття, що все минулося. Окремий ризик — перевантаження як прикриття: поки команда гасить «пожежу», зловмисники непомітно роблять свою справу в іншому місці.

Що робити, коли сервіс під ударом

1. Зафіксувати час і зберегти логи — вони знадобляться і для фільтрації, і для можливої заяви.
2. Повідомити хостинг або провайдера: часто саме на їхньому рівні є засоби відсікання шкідливого трафіку.
3. Увімкнути наявний захист на повну — хмарний фільтр, WAF, жорсткіші обмеження частоти запитів.
4. Тимчасово перекрити очевидно шкідливі діапазони й вимкнути найважчі функції сайту.
5. Діяти керовано, фіксуючи кожен крок, — інакше потім не зрозуміти, що саме спрацювало.

Платити тим, хто вимагає гроші за «припинення», не варто: жодних гарантій це не дає. Розгорнутий алгоритм перших годин — у матеріалі Ддос-атака: як розпізнати і що робити в перші години.

Як підготуватися заздалегідь

Головне робиться до інциденту: хмарна фільтрація трафіку й CDN, що ховають реальну адресу сервера; WAF проти запитів на рівні застосунку; обмеження частоти звернень; резерв потужності й балансування навантаження; моніторинг із порогами та сповіщеннями; план реагування з відповідальними особами. Повний перелік заходів «до, під час і після» зібрано у статті Захист від DDoS.

Для організації це не разова покупка, а процес: реагування описує управління інцидентами за ISO/IEC 27035, а здатність працювати навіть під ударом — безперервність бізнесу за ISO 22301.

І ще один аргумент на користь спокою: в Україні це кримінальне правопорушення, а не «пустощі». Що загрожує і виконавцю, і замовнику — у матеріалі Яка відповідальність за DDoS в Україні.