DDoS-атака на сайт малого бизнеса: как понять, что это она, и как защититься

Раньше DDoS был проблемой крупных компаний. Сегодня заказать атаку на сайт конкурента стоит меньше, чем реклама в Директе за день, и под удар попадают стоматологии, автосервисы и небольшие интернет-магазины. Мы за последние два года разбирали такие случаи у клиентов регулярно, и почти каждый начинался со слов «мы думали, это просто наплыв посетителей».

Что такое DDoS

Сервер способен обработать ограниченное число запросов в секунду. При атаке на него направляют поток запросов с тысяч заражённых устройств по всему миру — так много, что обычные посетители пробиться не могут. Сайт не взламывают и данные не крадут. Его просто делают недоступным на часы или дни.

Атаки бывают разными: одни забивают канал терабайтами мусора, другие имитируют обычных посетителей и открывают тяжёлые страницы вроде поиска или фильтров. Вторые для малого бизнеса опаснее — их сложнее отличить от реальных людей.

Как отличить атаку от успеха

Признаки, что это не клиенты:

• Трафик вырос в десятки раз за минуты, а не за часы, и без причины: не было рекламы, рассылки, упоминания в СМИ.
• В логах — тысячи запросов с разных адресов к одной и той же странице или к самым тяжёлым разделам сайта.
• Страны в статистике не совпадают с вашей аудиторией: стоматология в Краснодаре внезапно популярна в Бразилии и Вьетнаме.
• Посетители не ведут себя как люди: нет переходов между страницами, нет заявок, нулевое время на сайте.
• Атака часто совпадает по времени с вашими акциями или сезоном — конкурентам выгодно бить именно тогда.

Что делать в момент атаки

1. Напишите хостеру. У большинства есть базовая фильтрация, и они видят атаку по своим графикам. Иногда её гасят на уровне сети за минуты.
2. Включите защиту от DDoS у провайдера, если она есть в тарифе, или подключите внешний сервис фильтрации. Переключение обычно занимает от 15 минут до часа через DNS.
3. Ограничьте самые тяжёлые страницы: временно отключите поиск и фильтры или закройте их для гостей.
4. Не перезагружайте сервер по кругу и не меняйте тариф в панике: атака от этого не прекратится, а вот сломать что-то можно.

Какая защита разумна по цене

Хорошая новость: для малого бизнеса защита стоит недорого, потому что её продают как услугу, а не как железо.

• Хостинг или VPS с базовой защитой в тарифе. Многие российские провайдеры включают её бесплатно или за несколько сотен рублей в месяц. Отсекает простые атаки на канал.
• Внешний сервис фильтрации: трафик сначала проходит через защищённую сеть, к вашему серверу попадают только настоящие посетители. Стоимость для небольшого сайта — от тысячи-двух рублей в месяц, подключение через смену DNS-записей.
• Ограничение частоты запросов на самом сервере. Бесплатно, настраивается за час, сбивает часть атак, имитирующих людей.
• Кэширование. Закэшированная страница отдаётся в сотни раз дешевле, и сервер выдерживает во столько же раз больше запросов.

Реальный кейс: интернет-магазин автозапчастей, атака в разгар сезона, сайт лежал 6 часов. Подключили внешний сервис фильтрации, ограничили запросы к поиску, поставили кэш. Следующая атака через две недели прошла незамеченной: посетители не почувствовали ничего, а мы увидели только всплеск на графике фильтра.

Что стоит сделать заранее

Атаку проще пережить, если к ней готовились. Минимальный набор: сервер у провайдера с защитой в тарифе; кэш на всех публичных страницах; ограничение частоты запросов; внешний мониторинг, чтобы узнать о проблеме сразу; и контакт человека, который знает, что делать, а не гуглит в момент простоя.

Мы в CasperLab размещаем клиентские сайты на площадках с защитой и настраиваем сервер так, чтобы мелкие атаки он переживал сам. Если ваш сайт уже ложился от «внезапной популярности», приходите — разберём логи и скажем, что это было и как закрыться.