Защита от DDoS и вредоносных ботов: простое руководство
Как DDoS-атака и трафик вредоносных ботов замедляют сайт, какие уровни защиты существуют и сколько защиты нужно каждому виду бизнеса.
Команда rabbitclipПубликация: 6 мин чтения
Коротко
DDoS-атака отправляет на сайт ошеломляющее количество запросов одновременно из множества источников, так что сервер больше не может отвечать; цель не украсть данные, а не пустить настоящих посетителей. Трафик вредоносных ботов тише: автоматические программы копируют содержимое, заполняют формы, перебирают страницы входа или просто расходуют ресурсы сервера. Защита держится не на одном продукте, а на уровнях, которые отфильтровывают запросы до того, как они дойдут до сервера: на фильтре на границе сети, межсетевом экране веб-приложений, ограничениях частоты запросов и собственных настройках сервера.
Практический вопрос владельца обычно такой: мой сайт стал медленным или не открывается, это атака или настоящий наплыв посетителей? Ответ зависит от того, откуда именно идёт трафик и как он себя ведёт. Наплыв после рекламной кампании рассредоточен, но ведёт себя как живые люди; атака, как правило, бьёт в одну и ту же страницу, одним и тем же способом и с необычной скоростью.
В этой статье мы последовательно разделяем две угрозы, перечисляем уровни защиты и объясняем, почему не всем компаниям нужны одни и те же меры.
В чём разница между DDoS и трафиком вредоносных ботов?
DDoS шумный и действует быстро. Приходит больше запросов, чем способен выдержать сервер или его сетевое подключение, и сайт сначала замедляется, а потом может вовсе перестать открываться. Атака, как правило, распределена по множеству машин, поэтому блокировка одного-единственного адреса ничего не даёт.
Трафик вредоносных ботов ровный и небольшой по объёму. Один бот сканирует ваш прайс-лист, другой заваливает форму комментариев ссылками, третий подбирает пароли на входе в панель администратора. Ни один из них не выводит сайт из строя мгновенно, но вместе они постепенно изнашивают ресурсы сервера, рекламный бюджет (из-за фальшивых кликов) и достоверность вашей статистики. Для борьбы с этими двумя угрозами используются разные инструменты.
Как понять, что сайт атакуют?
Первый признак это замедление, которое не соответствует числу посетителей. Если сайт работает медленно, хотя в это время нет ни распродажи, ни рекламного всплеска, а графики ресурсов сервера при этом упираются в потолок, подозрение вполне обосновано. Второй признак это необычно частые запросы в журналах сервера, приходящие из одного диапазона адресов или направленные на одну и ту же страницу; подсказкой служит и трафик, который достигает пиков в странные часы.
Для твёрдого диагноза нужно прочитать журналы сервера, о чём мы уже рассказывали в другом месте простым языком. Типичные признаки таковы.
- Внезапный трафик и медленная работа без кампании и без объявления
- Запросы, накапливающиеся на одной странице или на адресе входа
- Сильный трафик из стран, откуда не приходят ваши настоящие клиенты
- Бессмысленные или повторяющиеся записи, поступающие через формы
- Предупреждения вашего хостинг-провайдера о достижении лимита ресурсов
Из каких уровней состоит защита?
Первый уровень это граница сети. Если поставить перед сайтом сервис защиты и доставки, он поглотит большую часть атакующего трафика ещё до того, как тот дойдёт до вашего сервера. Если же настоящий адрес основного сервера остаётся скрытым, злоумышленник не сможет целиться в него напрямую. Повседневные преимущества такого подхода для скорости разобраны в отдельной статье.
Второй уровень находится на уровне приложения. Межсетевой экран веб-приложений (WAF) отсекает известные вредные шаблоны и подозрительные запросы, а ограничение частоты запросов задаёт, сколько запросов один адрес может сделать за определённое время. Третий уровень это сам сайт: ограничение попыток входа, невидимая проверка в формах и кэширование тяжёлых страниц делают сервер устойчивее к той же атаке.
Каждый уровень по отдельности неполон. Сетевой фильтр не устраняет уязвимость приложения, а WAF не останавливает лавину запросов на сетевом уровне; работая вместе, они распределяют риск.
Какому бизнесу какие меры нужны?
Выбирайте меры в соответствии с реальным риском сайта. Для небольшого сайта-визитки обычно достаточно базовой защиты на границе сети, обновлённого программного обеспечения и ограничения числа попыток входа. Если простой сайта не стоит вам прямого дохода, дорогая и сложная конфигурация попросту несоразмерна задаче.
Интернет-магазины, системы бронирования и сайты, принимающие платежи, устроены иначе: каждый час простоя это упущенные продажи и потерянное доверие. Для них стоит рассматривать вместе WAF, ограничения частоты запросов, управление вредоносными ботами и план связи на момент атаки. Проверка нагрузки и устойчивости перед периодом рекламной кампании также имеет смысл.
Когда покупка защиты оказывается неверным выбором?
Бывают случаи, когда покупка защиты не является ответом. Если проблема не в атаке, а в слабом хостинге (например, сайт упирается в лимит ресурсов на общем сервере), сервис защиты её не решит; настоящее решение это более крупная инфраструктура или более лёгкий сайт. Сначала выясните, действительно ли этот трафик является атакой.
Точно так же ошибкой будет положиться на список блокировки и сказать: «мы закрыли доступ всем ботам». Поисковые роботы, а также платёжные сервисы и сервисы мониторинга тоже боты, и если заблокировать их всех, ваш сайт может исчезнуть из результатов поиска. Цель не в том, чтобы уничтожить ботов, а в том, чтобы отличить плохих от хороших.
Какие ошибки встречаются часто?
Самая распространённая ошибка это начать искать защиту, когда атака уже началась. Менять DNS и подключать новый сервис посреди инцидента занимает много времени и добавляет риск новых ошибок. Заранее поставить простую защиту на границе сети требует гораздо меньше работы, чем делать это в разгар кризиса.
Ещё одна ошибка это оставить открытым настоящий адрес основного сервера; даже при наличии сервиса защиты злоумышленник может найти этот адрес через другую запись и ударить напрямую. К частым ошибкам относятся и следующие.
- Настроить защиту, но оставить открытыми настоящий адрес сервера или старые записи
- Не ввести ни ограничения числа попыток, ни второй проверки на странице входа
- Считать, что файл robots остановит вредоносных ботов; он обращён только к тем ботам, которые сами решают ему подчиняться
- Не договориться заранее, кто что делает во время атаки
- Не обновлять программное обеспечение и плагины; атаки часто используют известную уязвимость
Что делать во время атаки?
Прежде всего сохраняйте спокойствие и выясните, что именно затронуто: весь сайт, одна страница или только вход? Затем свяжитесь с вашим хостинг-провайдером и с сервисом защиты, если он есть; многие провайдеры могут во время атаки добавить меры по фильтрации трафика. Если провести этот разговор заранее, а не в разгар кризиса, это даст огромную разницу.
После атаки просмотрите журналы: какая страница была целью, какое слабое место использовали, какая мера сработала. Эти знания определят следующую настройку. Для быстрого взгляда на общую безопасность вашего сайта можно воспользоваться нашим инструментом проверки безопасности и SSL.
Защита от DDoS и вредоносного бот-трафика это не один инструмент, а уровни, выстроенные на границе сети, в приложении и на самом сайте; сколько её нужно, зависит от того, во что обошёлся бы простой. Небольшому сайту-визитке вполне достаточно базовой защиты, а сайту, который приносит доход, нужна многоуровневая, заранее продуманная и спланированная схема. Если вы хотите вместе с нами оценить реальный риск вашего сайта, rabbitclip с радостью проведёт с вами спокойную ознакомительную беседу.
Частые вопросы
Крадёт ли DDoS-атака данные?
Как правило, нет; её цель сделать сайт недоступным. Но иногда атаку используют для отвлечения внимания, поэтому во время инцидента и после него стоит проверить и любые другие слабые места.
Зачем атаковать небольшой сайт?
Злоумышленники зачастую не выбирают какой-то конкретный сайт; автоматические программы сканируют сеть в поисках открытых и уязвимых сайтов. Поэтому каждому сайту, независимо от размера, нужны обновлённое программное обеспечение и базовый уровень защиты.
Правильно ли блокировать всех ботов?
Нет. Поисковые роботы и некоторые сервисы мониторинга тоже боты, и если их заблокировать, пострадает видимость сайта в поиске. Цель в том, чтобы отделить вредоносных ботов от добросовестных.
Разве мой хостинг-провайдер меня уже не защищает?
Некоторые провайдеры предлагают базовую защиту на уровне сети, но её объём различается. Надёжнее всего письменно спросить у провайдера, какие виды атак он закрывает и до какого масштаба.
Не заблокирует ли ограничение частоты запросов настоящих клиентов?
Не заблокирует, если порог выбран разумно. Его задают выше обычной активности настоящего посетителя, но ниже скорости атаки, и подстраивают в первые недели, наблюдая за журналами.
