DDoS
Атака, при которой тысячи зараженных устройств одновременно засыпают сервис запросами, чтобы он перестал отвечать настоящим пользователям.
DDoS (Distributed Denial of Service, распределенный отказ в обслуживании) — атака, цель которой не украсть данные, а сделать сервис недоступным. Тысячи или миллионы устройств одновременно отправляют запросы на сайт, API или канал связи, и сервер перестает успевать отвечать настоящим пользователям. Атакующие устройства обычно образуют ботнет — сеть зараженных компьютеров, камер, роутеров и других устройств интернета вещей, владельцы которых ничего не подозревают.
Виды атак
- Объемные — забить канал связи гигантским потоком мусорного трафика, измеряемым сотнями гигабит в секунду. Часто используют «усиление»: злоумышленник отправляет небольшой запрос к публичным серверам DNS или другим службам с поддельным обратным адресом жертвы, и те отправляют на него ответы в десятки раз больше.
- На протоколы — исчерпать ресурсы сетевого оборудования и серверов. Пример — SYN-флуд: множество начатых, но не завершенных TCP-соединений (подробнее о рукопожатии — в термине TCP/IP).
- На уровень приложения — запросы, которые выглядят как обычные посещения, но бьют в самые тяжелые места: поиск, формирование отчетов, страницы без кэша. Трафика немного, а сервер ложится. Такие атаки труднее всего отличить от настоящих пользователей.
Как защищаются
- Сервис защиты от DDoS. Трафик сайта направляется через центры очистки провайдера защиты, которые отбрасывают атакующие запросы и пропускают настоящие. Против больших объемных атак это единственное эффективное средство: собственный канал их не выдержит.
- CDN распределяет нагрузку по множеству серверов и скрывает адрес основного сервера.
- Ограничение частоты запросов на обратном прокси и балансировщике, проверка «человек или робот» для подозрительных обращений.
- Устойчивая архитектура: кэширование тяжелых страниц, отдельные ограничения для дорогих операций, запас мощности и автоматическое масштабирование.
- Скрытый адрес сервера. Если настоящий адрес известен, атакующие пойдут в обход защиты, поэтому его не раскрывают и принимают трафик только от сервиса защиты.
План на случай атаки
Защиту подключают заранее, а не во время атаки: переключение в разгар инцидента занимает часы. Нужен мониторинг, который отличит атаку от обычного всплеска посещаемости, контакты провайдера защиты и понятный порядок действий. Для банков, госсервисов и интернет-магазинов доступность — прямые деньги и обязательства по SLA, поэтому защита от DDoS для них — обязательная часть инфраструктуры.