DDoS-атака на сайт малого бизнеса: как понять, что это она, и как защититься

DDoS-атака — это поток мусорных запросов с тысяч устройств, который перегружает сервер, и сайт перестаёт открываться у обычных посетителей. Данные при этом не крадут: цель — сделать сайт недоступным. Малому бизнесу обычно хватает трёх вещей: хостинга или VPS с базовой защитой, кэширования и ограничения частоты запросов, а при серьёзной атаке — внешнего сервиса фильтрации, который подключается через DNS. Ниже — как отличить атаку от наплыва клиентов, что делать в первые минуты, какие способы защиты есть и как подготовиться заранее.

Раньше DDoS был проблемой крупных компаний. Сегодня заказать атаку на сайт конкурента стоит меньше, чем реклама в Директе за день, и под удар попадают стоматологии, автосервисы и небольшие интернет-магазины. Мы за последние два года разбирали такие случаи у клиентов регулярно, и почти каждый начинался со слов «мы думали, это просто наплыв посетителей».

Что такое DDoS-атака простыми словами

Сервер способен обработать ограниченное число запросов в секунду. При атаке на него направляют поток запросов с тысяч заражённых устройств по всему миру — так много, что обычные посетители пробиться не могут. Сайт не взламывают и данные не крадут. Его просто делают недоступным на часы или дни.

Аббревиатура расшифровывается как Distributed Denial of Service — распределённый отказ в обслуживании. «Распределённый» здесь главное слово: запросы идут не с одного адреса, который легко заблокировать, а с множества — с заражённых компьютеров, роутеров, камер. Такую сеть устройств называют ботнетом.

От взлома атака отличается принципиально. При взломе злоумышленник проникает внутрь: меняет файлы, крадёт базу, размещает вредоносный код. При DDoS он остаётся снаружи и просто не даёт войти остальным. Защита от взлома — отдельная тема, мы разобрали её в статье как защитить сайт от взлома.

Какие бывают DDoS-атаки

Атаки бывают разными: одни забивают канал терабайтами мусора, другие имитируют обычных посетителей и открывают тяжёлые страницы вроде поиска или фильтров. Вторые для малого бизнеса опаснее — их сложнее отличить от реальных людей.

Первые два типа владелец сайта сам отразить не может: трафик нужно отсекать до сервера, и это работа провайдера. С третьим многое решают настройки самого сайта и сервера.

Как отличить атаку от наплыва клиентов

Сайт тормозит, графики нагрузки под потолок — это успех рекламы или атака? Признаки, что это не клиенты:

• Трафик вырос в десятки раз за минуты, а не за часы, и без причины: не было рекламы, рассылки, упоминания в СМИ.
• В логах — тысячи запросов с разных адресов к одной и той же странице или к самым тяжёлым разделам сайта.
• Страны в статистике не совпадают с вашей аудиторией: стоматология в Краснодаре внезапно популярна в Бразилии и Вьетнаме.
• Посетители не ведут себя как люди: нет переходов между страницами, нет заявок, нулевое время на сайте.
• Атака часто совпадает по времени с вашими акциями или сезоном — конкурентам выгодно бить именно тогда.

Бывает и третий вариант — не атака и не клиенты, а агрессивные парсеры и боты, которые перебирают каталог. Нагрузка от них растёт не взрывом, а держится постоянно. Как их распознать, описано в статье о том, почему тормозит VPS.

Что делать в момент атаки: пошагово

1. Напишите хостеру. У большинства есть базовая фильтрация, и они видят атаку по своим графикам. Иногда её гасят на уровне сети за минуты.
2. Включите защиту от DDoS у провайдера, если она есть в тарифе, или подключите внешний сервис фильтрации. Переключение обычно занимает от 15 минут до часа через DNS.
3. Ограничьте самые тяжёлые страницы: временно отключите поиск и фильтры или закройте их для гостей.
4. Если атака идёт из стран, где у вас нет клиентов, временно закройте для них доступ — на уровне сервиса фильтрации или веб-сервера.
5. Поставьте рекламу на паузу, чтобы не платить за клики на недоступный сайт.
6. Сохраните логи и графики за время атаки: они понадобятся для разбора и настройки защиты.
7. Предупредите клиентов там, где они вас читают: в соцсетях, мессенджерах, на картах. Дайте телефон для заказов.

Не перезагружайте сервер по кругу и не меняйте тариф в панике: атака от этого не прекратится, а вот сломать что-то можно.

Какая защита разумна для малого бизнеса

Хорошая новость: для малого бизнеса защита стоит недорого, потому что её продают как услугу, а не как железо. Уровней несколько, и они дополняют друг друга.

• Хостинг или VPS с базовой защитой в тарифе. Многие российские провайдеры включают её бесплатно или за небольшую доплату. Отсекает простые атаки на канал.
• Внешний сервис фильтрации. Трафик сначала проходит через защищённую сеть, к вашему серверу попадают только настоящие посетители. Подключение — через смену DNS-записей. Стоимость зависит от объёма трафика и набора функций, у части сервисов есть бесплатные тарифы для небольших сайтов.
• Ограничение частоты запросов на самом сервере. Бесплатно, настраивается за час, сбивает часть атак, имитирующих людей: с одного адреса разрешается не больше заданного числа запросов в секунду.
• Кэширование. Закэшированная страница отдаётся в сотни раз дешевле, и сервер выдерживает во столько же раз больше запросов. Как его настроить — в статье про кэширование сайта.
• CDN. Сеть доставки контента принимает на свои узлы часть запросов и раздаёт статику, разгружая сервер. Полноценной защитой она не является, но простые случаи сглаживает — подробнее в статье что такое CDN.

Реальный кейс: интернет-магазин автозапчастей, атака в разгар сезона, сайт лежал 6 часов. Подключили внешний сервис фильтрации, ограничили запросы к поиску, поставили кэш. Следующая атака через две недели прошла незамеченной: посетители не почувствовали ничего, а мы увидели только всплеск на графике фильтра.

Конкретные цены называть не будем: они меняются и зависят от провайдера и трафика. Сравнивайте предложения по тому, от каких типов атак защищает тариф, есть ли ограничение по объёму очищенного трафика и как быстро отвечает поддержка.

Как работает внешняя фильтрация и почему важно скрыть адрес сервера

Сервис фильтрации встаёт между посетителями и вашим сервером. В DNS домена вместо адреса сервера указывается адрес сервиса. Посетитель попадает на его узлы, там трафик проверяется — по адресам, поведению, иногда незаметной проверкой браузера, — и дальше к серверу проходят только запросы, похожие на настоящие.

У схемы есть слабое место: реальный IP-адрес сервера. Если атакующий его знает, он направит поток напрямую, в обход фильтра. Поэтому после подключения защиты делают три вещи.

1. Настраивают сервер так, чтобы он принимал запросы к сайту только от сети сервиса фильтрации, а остальные отклонял.
2. Меняют IP-адрес сервера, если прежний был виден в DNS до подключения защиты: история DNS-записей хранится в открытых сервисах.
3. Проверяют, что адрес не раскрывают другие записи домена — например, поддомены или почтовая запись, ведущие на тот же сервер.

Без этих шагов защита выглядит подключённой, но при целенаправленной атаке не сработает.

Что стоит сделать заранее

Атаку проще пережить, если к ней готовились. Минимальный набор занимает несколько часов работы специалиста.

• Сервер размещён у провайдера с защитой от DDoS в тарифе.
• Кэш включён на всех публичных страницах.
• На сервере настроено ограничение частоты запросов с одного адреса.
• Поиск, фильтры и формы защищены от массовых автоматических запросов.
• Подключён внешний мониторинг, который сообщит о недоступности сайта сразу.
• Выбран сервис фильтрации, и понятно, как его включить за полчаса.
• Доступ к DNS домена есть у владельца и у специалиста, который будет переключать.
• Есть контакт человека, который знает, что делать, а не гуглит в момент простоя.

Как настроить оповещения, читайте в статье про мониторинг сайта. А базовую защиту самого сервера — вход по ключам, файрвол, обновления — мы описали в материале про первые настройки безопасности VPS.

После атаки: что зафиксировать

Когда сайт снова работает, потратьте час на разбор. Сохраните логи веб-сервера и графики нагрузки, запишите время начала и окончания, тип запросов и страницы, в которые били. По этим данным настраивают правила, которые отсекут такую же атаку в следующий раз.

Организация DDoS-атак в России уголовно наказуема, и вы вправе обратиться в полицию, приложив сохранённые логи. На практике найти заказчика удаётся редко, поэтому рассчитывать стоит прежде всего на собственную защиту. Если получили письмо с требованием заплатить за прекращение атаки — сохраните его: это тоже доказательство.

Частые ошибки

• Платят вымогателям. Оплата не гарантирует, что атака прекратится, и почти гарантирует, что придут снова.
• Переезжают на другой хостинг посреди атаки. Атакуют домен, и поток переедет вместе с ним. Помогает только переезд к провайдеру с защитой или фильтрация.
• Покупают тариф мощнее. Удвоение ядер против потока, который можно увеличить в сто раз, ничего не даёт.
• Подключают фильтрацию и оставляют открытым старый адрес сервера. Атака продолжается в обход защиты.
• Блокируют адреса вручную. Их тысячи, и они меняются. Блокировка по одному — трата времени.
• Перекручивают защиту. Слишком строгие правила отсекают живых клиентов и поисковых роботов. После настройки проверьте, что сайт открывается с мобильного интернета и роботы поисковиков получают страницы.
• Вспоминают о защите в день атаки. Подключение в спешке занимает часы, в течение которых сайт лежит.

Коротко

DDoS не взламывает сайт, а делает его недоступным. Отличить атаку от наплыва клиентов можно по резкому росту, странной географии и отсутствию заявок. В момент атаки пишите хостеру, включайте фильтрацию, отключайте тяжёлые функции и не трогайте тариф. Заранее — провайдер с защитой, кэш, ограничение частоты запросов, мониторинг и план действий.

Мы в CasperLab размещаем клиентские сайты на площадках с защитой и настраиваем сервер так, чтобы мелкие атаки он переживал сам. Если ваш сайт уже ложился от «внезапной популярности», приходите — разберём логи и скажем, что это было и как закрыться. И подберём VPS с защитой от DDoS под ваш проект.