С тех пор, как в июле 1999 года впервые произошла DDos-атака – на сервер Университета Миннесоты – такой прием остается излюбленной тактикой хакеров. Заключается такая атака в непомерном количестве запросов, которые перегружают систему, в результате чего для легитимных пользователей она становится недоступной. Особенность в том, что атакуют систему со множества устройств, поэтому с DDos-атаками так трудно справиться. Но при разумном подходе защитить от них свой сайт или сервер вполне возможно.
Профилактические меры
Защититься от атак поможет надлежащая настройка сетевой инфраструктуры:
- Скрытие реального IP-адреса сервера не позволит злоумышленникам атаковать сервер в обход CDN или DDoS-фильтров. Входящие соединения должны быть разрешены исключительно от IP-адресов провайдера защиты.
- Установка лимитов на количество запросов и соединений предотвращает перегрузку.
- Порты и протоколы необходимо фильтровать: ненужные сетевые службы следует отключить, а неиспользуемые порты должны быть закрыты, ICMP-запросы нужно фильтровать.
- Доменную инфраструктуру нужно защитить настройкой Anycast DNS: когда DNS-запросы распределяются между серверами-дублерами, сайт не упадет, даже если его DNS-зоны окажется недоступной.
- Весьма полезны системы обнаружения (IDS), распознающие атаки на ранних стадиях, и системы предотвращение (IPS), блокирующие их автоматически.
- Программное обеспечение нужно регулярно обновлять, ведь в обновлениях часто исправляются уязвимые места, способные «развязать руки» хакерам.
Важно постоянно вести мониторинг с помощью таких инструментов аналитики, как Nagios или Zabbix – это позволит вовремя заметить аномальный всплеск трафика.
Профессиональная защита
При всей важности перечисленных мер безопасности, которые можно предпринять самостоятельно, основным рубежом должна стать профессиональная защита:
- Anti-DDoS – специальные облачные сервисы фильтрации, которые направляют трафик клиента через геораспределенные сети очистки, в режиме реального времени блокируя вредоносные запросы.
- CDN – сети доставки контента – распределяют кэшируемый контент по серверам, расположенным в разных странах, благодаря чему нагрузка на целевой сервер оказывается сниженной.
- Web Application Firewall – защита веб-приложений на прикладном уровне, блокирующая сложные интеллектуальные атаки.
На случай атаки должны быть подготовлены резервные серверы.
Важные нюансы
Выстраивая защиту от DDos, стоит учесть несколько аспектов:
- Необходимо использовать все доступные меры, чтобы защититься от атак любого типа.
- Настраивая правила фильтрации, не стоит делать их чрезмерно сложными – иначе заблокированными могут оказаться легитимные запросы.
- Стоит разработать план на случай атаки: в каком порядке действовать, кто за что отвечает.
Если атака случилась, надо обязательно выяснить потом, каков был ее источник, какие элементы системы оказались уязвимыми, чтобы усовершенствовать защиту сайта на будущее.
