Як захистити свій сайт від DDoS-атак?

Безперебійне функціювання сайту — головна гарантія того, що у компанії буде позитивний імідж в мережі і постійне отримання прибутку. Але призупинити і навіть заблокувати функціонування інтернет-ресурсу досить часто може DDoS-атака, яка є однією з найактуальніших загроз для онлайн-проектів.

Подібні протизаконні дії можуть відбуватися з різних причин — починаючи з бажання розважитися і закінчуючи нечесною конкуренцією, особистою неприязню або навіть бажанням шантажувати і вимагати гроші. Спробуємо з’ясувати, що таке DDoS-атака, в чому відмінність DoS від DDoS, а також з’ясуємо, як зупинити і попередити шкідливі дії хакерів.

Що таке DDoS-атака і чим вона відрізняється від DoS-атаки?

DDoS-атака — це атака хакерів, через яку онлайн-ресурс стає недоступним, або значно знижується швидкість його роботи. Подібні несанкційовані дії робляться з метою, щоб відвідувачі не змогли зайти на сайт.

Щоб реалізувати DDoS-атаку (Distributed Denial of Service), атакуючі настільки інтенсивно навантажують сервер запитами, що той просто не встигає їх обробити, як наслідок — робота інтернет-майданчика призупиняється.

Крім DDoS-атаки, виділяють ще один варіант дій, спрямованих на порушення функцій сайту, — DoS-атаку. DoS-атака (Denial of Service, «відмова в обслуговуванні») — також вид хакерської атаки на обчислювальну систему, спрямований на створення умов, при яких користувачі або не зможуть зайти, або зіткнуться з труднощами в процесі входу на онлайн-ресурс.

Різниця між DDoS- і DoS-атакою полягає в тому, що в другому випадку дії порушників походять з одного джерела, в той час як в ситуації з DDoS на інтернет-ресурс направлено багато комп’ютерів які завдають шкоду.

Таким чином, Distributed Denial of Service здійснюється набагато успішніше і несе більш значні руйнівні наслідки. Цей метод частіше застосовується зловмисниками, тому що під час з’ясування обставин інциденту власнику потерпілого від хакерської атаки сайту буде складніше з’ясувати її джерело.

Типи DDoS-атак

Всі можливі DDoS-атаки класифікуються залежно від рівня, а кожен з типів може мати окремі різновиди.

Атака мережевого (транспортного) рівня

Дії зловмисників спрямовані на мережевий рівень, а мета полягає в сприянні перевантаження табличного простору, розташованого в системі балансування навантаження, центральної мережі або брандмауера. Одним з найпопулярніших методів атак на транспортному рівні вважається мережевий флуд, який полягає у створенні великої кількості порожніх запитів, в зв’язку з чим мережа не може фізично впоратися з такими обсягами потоків.

Незважаючи на те, що мережевими службами застосовується правило FIFO, що передбачає, що другий запит буде оброблятися тільки після завершення обробки першого, флуд є частим явищем. У числі найбільш поширених його видів:

• MAC-флуд — порти мережевого обладнання забиваються порожніми пакетами з різними MAC-адресами;
• UDP-флуд — порти випадковим чином завалюються UDP-протоколами, через що ресурси мережі перевантажуються відповідями;
• SYN-флуд — варіант атаки, при якій сервер жертви завалений SYN-запитами, на які немає відповідей;
• ICMP-флуд — хостинг перевантажується службовими запитами, які вимагають відповідей;
• HTTP-флуд — надсилання на сервер безлічі шифрованих або стандартних HTTP-повідомлень.

Під час атаки запитів стає настільки багато, що на пристрої просто не вистачає ресурсів, щоб закінчити роботу з попередніми запитами. З цієї причини смуга пропускання максимально насичується, а канали зв’язку забиваються.

Атака інфраструктурного (прикладного) рівня

Метою даного різновиду є захоплення або виведення з ладу ресурсів жертви. Атака в цьому випадку націлена на процесорний час, оперативну або фізичну пам’ять. У списку найбільш поширених видів атак на прикладному рівні:

• часткова перевірка даних відвідувачів — призводить до тривалого або навіть безперервному застосування ресурсів процесора і загрожує його виснаженням;
• атака другого роду — стає причиною помилкового спрацьовування сигналів захисних систем, через що діяльність сайту може бути автоматично припинено;
• проблеми системи квотування — зловмисники пишуть свій скрипт, який використовує частину онлайн-ресурсів жертви;
• наповнення сервера сміттєвим вмістом — також здійснюється за допомогою створення скрипта (на сервері з’являються неправдиві коментарі користувачів, лог-файли і ін.);
• відправка пакетів з великою вагою — пакети навантажують процесор, через що останній не справляється зі складними обчисленнями і дає збій.

Щоб реалізувати цю DDoS-атаку, зловмисники не завжди перевантажують пропускної канал. Часто досить того, що на сайті буде повністю зайнятий обсяг процесорного часу.

Атака на рівні додатків

В основі даної атаки лежать упущення під час створення програмного коду, в зв’язку з чим програмне забезпечення стає вразливим для зовнішнього впливу. Найпопулярніший вид такого віртуального нападу — Ping of Death (пінг смерті), під час якого на комп’ютер масово надсилаються довгі ICMP-пакети, що в свою чергу переповнює буфер.

DNS-атака

Подібна DDoS-атака на сайт умовно розділяється на дві групи:

• приведення DNS-серверів до непрацездатності — відвідувачі не можуть заходити на певні сторінки, тому що браузери не знаходять відповідні IP-адреси;
• проблеми з уразливістю програмного забезпечення DNS-серверів — в числі подібних атак найпоширенішим вважається DNS-спуфинг, який класифікується як DDoS-атака на IP, коли порушники в серверному кеші змінюють IP-адреса.

Як правило, хакери-професіонали не застосовують метод перевантаження пропускних каналів. При серйозній атаці зловмисники прописують спеціальну програму, в якій створений ланцюжок команд і враховані вразливі сторони програмного забезпечення інтернет-ресурсу.

Як розпізнати DDoS-атаку?

Бувають ситуації, коли власники сайтів помилково плутають DDoS-атаки і природне збільшення кількості відвідувачів. Важливо розуміти, чи дійсно на онлайн-ресурс була здійснена атака хакерів. Вже на початковому етапі, коли ви тільки з’ясовуєте, як створити сайт, варто знати, коли онлайн-майданчик піддається нападу зловмисників. Є кілька основних ознак DDoS-атаки:

• відсутність прибутку — якщо ви зафіксували великий приплив відвідуваності, однак в результаті не заробили грошей, з великою ймовірністю, сайт став жертвою зловмисників;
• приріст користувачів без відповідних дій — якщо ви не запускали рекламу, що не розміщували посилання на інтернет-майданчик, не робили клієнтам вигідних пропозицій, швидше за все, зростання трафіку викликаний DDoS-атакою;
• повільна робота сервера — найочевидніший ознака, при цьому в логах запитів видно, що з однієї адреси здійснюється безліч підключень;
• незвично велику кількість пакетів конкретних типів — діагностувати цю ознаку дозволить аналіз трафіку.

З абсолютною точністю з’ясувати, чи був онлайн-ресурс під атакою зловмисників, зможуть тільки професіонали. Для аналізу слід застосовувати складні алгоритми, завдяки яким ви не тільки зафіксуєте факт протиправних дій, а й оціните потужність загрози.

Як визначити джерело DDoS-атаки?

Якщо ви коректно встановите джерело атаки, порушники надовго відмовляться від протиправних дій. Щоб визначити, звідки виходить DDoS, перш за все слід провести аналіз IP-адрес і з’ясувати, кому саме вони належать. Тут є два варіанти:

• орендовані машини;
• випадкові машини.

При перевірці допоможуть утиліти зворотного інжинірингу, за допомогою яких проводиться пошук порушників. Будуть потрібні узгоджені дії всіх провайдерів, які залучені в процес.

Так, якщо IP-адреса належить орендованим машинам, потрібно звернутися в службу технічної підтримки хостингової компанії з проханням надати дані орендаря. Якщо ж в процес залучені випадкові машини, теж можна зв’язатися з провайдером, проте є альтернативний метод — перевірити на всіх зафіксованих комп’ютерах RDP і наявність відкритих портів.

Як зупинити DDoS-атаку?

Вибираючи, як відбити DDoS-атаку, варто уточнити, що найефективнішим способом є звернення до фахівців, особливо якщо ви зіткнулися з масштабними діями порушників. Також актуальні наступні варіанти:

• зв’язатися з хостинговим або інтернет-провайдером — потрібно попросити допомоги у зв’язку з протиправними діями зловмисників;
• підключити додаткові канали зв’язку, щоб збільшити пропускну здатність, — цей варіант буде ефективним, навіть якщо, згідно з підрахунками, немає потреби в додаткових каналах;
• застосувати модуль testcookie — даний модуль діє як фільтр між бекенд і ботами, допомагаючи відфільтрувати сміттєві запити;
• використовувати код 444 — завдяки цим кодом закривається з’єднання і швидко відбувається фільтрація по URL;
• відправити в бан за ознакою геолокації — можна просто обмежити доступ IP-адрес з країн, звідки, за вашими припущеннями, виходить трафік шахраїв;
• проаналізувати лог з запитами через нейронну мережу PyBrain — цей метод підходить в тому випадку, якщо ви досконально знайомі з внутрішнім змістом сайту;
• застосовувати відладчик і профайлер — коли робота інтернет-ресурсу повністю заблокована, можете з’ясувати, на які виклики витрачається найбільше часу і який код їх реалізує;
• провести аналіз помилок — досить просто подивитися логи, щоб дізнатися про таких параметрах, як час відповіді, обсяг трафіку і кількість помилок.

Також, називаючи актуальні способи захисту від DDoS, варто вказати, що ви можете відстежити щосекундну кількість запитів і порівняти її зі стандартними показниками. Паралельно з цим перевіряйте движок. Нарешті, зручно користуватися спеціальними інструментами онлайн-перевірки, наприклад, DDoS attack online, завдяки якому можна швидко протестувати інтернет-ресурс.

Як попередити атаки DDoS своїми силами?

Ідеальний варіант — надійний захист від DDoS, завдяки якому дії зловмисників стануть просто неможливими. Є кілька способів, які допомагають захистити онлайн-ресурс:

• розгорнути брандмауери, щоб відбити серйозні атаки на рівні додатків;
• збирати інформацію про нетиповий і типовий трафік;
• створити спеціальний план масштабування відповідно до такими показниками, як продуктивність сервера і пропускна здатність;
• зменшити зони, які будуть уразливі в разі атаки.

Таким чином, для попередження DDoS потрібно завчасно прорахувати можливі зони атаки, збільшити потужності сервера і мати інформацію, яка може свідчити про можливі напади зловмисників. Якщо ж створити захист від DDoS своїми руками складно, є сенс звернутися до вузькопрофільних фахівців.

5 кращих сервісів для захисту від DDoS

Виявлення, пом’якшення та попередження віртуальних атак завжди доцільніше довірити професіоналам. Існують сервіси, які стануть незамінними, якщо необхідний захист сайту від DDoS:

• Arbor Networks — компанія зі світовим ім’ям, яка забезпечує інтернет-безпеку навіть в найскладніших ситуаціях, наприклад, коли потрібна DDoS-захист ігрового сервера;
• Black Lotus — сервіс, фільтрувальний центр якого справляється з величезними обсягами трафіку і відсилає в кінцевий пункт виключно перевірені пакети;
• CloudFlare (DDoS protection by Cloudflare) — один з найвідоміших сервісів, що забезпечують базовий захист і цілодобову екстрену допомогу;
• Incapsula — компанія, що пропонує комплексний підхід, коли потрібен захист від DDoS-атак, працює постійно або за запитом;
• Akamai — один з провідних сервісів, переваги якого полягають у використанні інтелектуальної платформи і цілодобової підтримки.

Безумовно, на цьому список компаній, які попереджають можливі атаки хакерів, не закінчується. Вирішуючи, як захистити сайт від DDoS, пам’ятайте, що від якості сервісу будуть залежати репутація інтернет-ресурсу і рівень доходів.