Защита от DDoS: кому нужна и что входит?

Защита от DDoS: кому нужна и что входит?

DDoS-атака — это попытка сделать сайт недоступным, завалив его запросами. Стоимость такой атаки давно упала до символических сумм, поэтому под удар попадают не только крупные проекты: игровые серверы, небольшие магазины и форумы атакуют регулярно, часто просто из-за конкуренции или спора в чате.

Что провайдеры называют защитой

Обычно это фильтрация на границе сети: система отсекает мусорный трафик, который забивает канал, и до вашего сервера доходят только нормальные запросы. Такая базовая защита у площадок этого раздела входит в тариф и покрывает подавляющее большинство случаев. Отдельная история — атаки, которые выглядят как обычные обращения к сайту: их автоматика не отличает от живых посетителей, и фильтрация такого рода настраивается под конкретный проект и почти всегда стоит отдельно.

Постоянно или по факту атаки

В режиме постоянной очистки весь трафик всегда идёт через систему фильтрации: атака гасится с первых секунд, но добавляется небольшая задержка, и услуга дороже. В режиме реагирования защита включается при обнаружении аномалии — дешевле, но первые минуты сайт недоступен. Для магазина в сезон эти минуты обходятся дороже разницы в тарифе.

Что стоит сделать самому

Половина устойчивости достигается бесплатно. Настройте кэширование страниц: сайт, отдающий готовые страницы, переживёт нагрузку, от которой ляжет проект, генерирующий каждую страницу заново. Ограничьте частоту запросов к тяжёлым разделам вроде поиска. Закройте фаерволом всё, кроме нужных портов. И не публикуйте реальный адрес сервера, если перед сайтом стоит защитный контур, — иначе атака пойдёт мимо него.

Чего защита не решает

Фильтрация трафика не спасает от дыр в коде, подбора паролей и утечек доступов. Она также бесполезна, если сайт кладёт один тяжёлый запрос к базе — тогда проблема не в атаке, а в архитектуре. Разумный порядок: сначала кэширование и оптимизация, потом защита периметра.