Сайт лёг от DDoS — почему это чаще заказная атака, а не случайность
Защита от DDoS-атак — тема, о которой владелец небольшого сайта вспоминает ровно в тот момент, когда сайт уже лёг. Обычно посреди рабочего дня. Ещё чаще — в день распродажи, ради которой три месяца прогревали аудиторию и жгли рекламный бюджет.
DDoS — распределённая атака на отказ в обслуживании. На сервер одновременно обрушивается поток запросов с множества источников, сервер захлёбывается и перестаёт отвечать живым посетителям. Когда-то это была забава против корпораций и громких брендов. Сегодня мишенью всё чаще становится обычный интернет-магазин или сайт услуг. Конкурентная борьба, вымогательство, чья-то обида — мотивы приземлённые, а ущерб вполне реальный.
«Мы слишком маленькие, чтобы нас атаковать» — именно так рассуждает идеальная мишень.
Как DDoS выглядит со стороны покупателя
Для покупателя всё просто. Сайт не открывается. Страница грузится вечность. Форма заказа зависла. Покупатель уходит.
Сама по себе DDoS-атака сайт не взламывает и данные не ворует. Она его душит. Но бизнесу в моменте всё равно, как это называется. Взломали или завалили — заказы не принимаются, деньги не приходят. Прямо сейчас. Каждую минуту, пока идёт атака.
Почему бьют по малому бизнесу
Крупные компании давно вложились в защиту. Атаковать их дорого и бессмысленно.
Малый бизнес — другое дело. Сайт на бюджетном хостинге, который защиту от DDoS по умолчанию не даёт. Владелец уверен, что никому не интересен. Подрядчик не поднимал тему, потому что не спрашивали. Итог: положить такой сайт дёшево и быстро. А DDoS давно используют и для прямого вымогательства у небольших компаний, и чтобы навредить конкурентам.
Неприятная правда: защищённость сайта для атакующего — это цена. Чем меньше защиты, тем дешевле вас положить.
Удар в самый больной день
Атаки редко случаются в случайный вторник. Атакующий тоже смотрит в календарь. Их устраивают тогда, когда простой больнее всего: старт распродажи, пик рекламной кампании, сезон.
Для магазина, который месяцами готовил главный день продаж, пара часов недоступности — это не только выручка этого дня. Это покупатели, которые ушли к соседу. Возможно, к тому самому соседу, который всё и заказал. Ирония, от которой не смешно.
Сценарий: распродажа, которой не было
Небольшой магазин одежды готовит сезонную распродажу. Реклама закуплена, соцсети прогреты, время старта объявлено. В момент запуска сайт держится меньше часа и падает. Трафик странный: слишком ровный, слишком массовый, из стран, где этот магазин никто не знает.
Дальше — второй удар. Хостинг блокирует сайт целиком, чтобы спасти остальных клиентов на том же сервере. Атака уже стихает, а сайт всё ещё недоступен: провайдер защиту от такой нагрузки не обеспечивал и просто выключил проблемного соседа.
Рекламный бюджет потрачен. Покупатели ушли. Распродажа случилась — у кого-то другого.
Почему бюджетный хостинг не спасает
Разница между обычным и защищённым хостингом — не в названии тарифа. Она в инфраструктуре.
Бюджетный хостинг рассчитан на спокойную жизнь множества небольших сайтов на общем железе. Серьёзная атака на одного соседа угрожает всем. Поэтому провайдер нередко делает самое простое: ограничивает или блокирует атакуемый сайт. Это не злодейство, это защита остальных клиентов. Но для вас разницы нет — сайт лежит.
Оплаченный хостинг — это аренда квартиры, а не охрана подъезда. Охрану заказывают отдельно.
Что на самом деле останавливает атаку
Защита строится слоями.
Базовый слой — ограничение числа запросов с одного источника (rate limiting) и фильтрация подозрительного трафика на сервере или веб-файрволе. Модули веб-сервера, fail2ban, правила WAF. Отбивает простые атаки.
Сеть доставки контента (CDN) — распределённые узлы, которые принимают удар на себя раньше, чем он дойдёт до вашего сервера. Бонус: в обычные дни сайт ещё и грузится быстрее.
Специализированный сервис защиты — многоуровневая фильтрация от сетевого уровня до уровня приложения, с правилами под ваш трафик. Атакующие комбинируют разные типы атак, и защита от одного типа не спасает от другого.
Сетевые атаки и атаки на приложение
Атаки бывают двух больших сортов.
Сетевые (уровни L3–L4) забивают канал или ресурсы сервера огромным объёмом простых пакетов. Грубая сила. Отбивается фильтрацией у провайдера или в сети доставки контента.
Атаки на приложение (уровень L7) хитрее. Они изображают обычных посетителей и запрашивают настоящие страницы — поиск, каталог, корзину. Просто в таком количестве, что сервер не справляется. Отличить их от живого трафика сложнее. Нужна тонкая настройка правил, которые смотрят на поведение запросов, а не только на их число.
Атака или успешная реклама?
Удачная кампания тоже резко поднимает нагрузку, и сайт тоже начинает тормозить. Как не перепутать?
Живые покупатели ходят по разным страницам, задерживаются на карточках, кладут товары в корзину. Атакующий трафик обычно подозрительно однообразен: волны однотипных запросов, часто из регионов, не имеющих отношения к вашей аудитории.
Определяется это по логам сервера и статистике посещений. Но есть подвох. Чтобы быстро увидеть аномалию, надо заранее знать, как выглядит ваша норма. Без этой точки отсчёта в момент паники все графики кажутся одинаково страшными.
Ущерб, который остаётся после атаки
Атака закончилась, сайт открывается. Всё позади? Не совсем.
Покупатель, который не смог оформить заказ, почти никогда не возвращается через час «попробовать ещё раз». Он уже купил там, где всё работало. Клиент сайта услуг, который не смог оставить заявку в нужный момент, запоминает не причину, а факт: «у них не работало, когда было надо». Это остаётся надолго.
Добавьте сюда деньги, которые продолжали уходить, пока сайт лежал. Реклама крутилась и приводила людей на неработающую страницу. Каждый такой клик оплачен. Каждый — впустую. Если кампанию не остановили вручную, атака съела не только выручку, но и рекламный бюджет. Дважды обидно: вы заплатили за то, чтобы показать покупателям ошибку.
Сценарий: «демонстрация возможностей»
Другой сюжет, более мерзкий. Сайт компании услуг вдруг ложится на сорок минут, потом поднимается. Через час на общий ящик приходит письмо: мол, это была демонстрация, заплатите — и такого больше не повторится. Не заплатите — повторится, и уже надолго.
Что делать? Точно не вступать в переписку и не платить. Оплата не гарантирует ничего, кроме того, что вы попали в список тех, кто платит. Правильный ход — сразу к провайдеру и к специалистам по защите, сохранить письмо и логи, подключать фильтрацию, пока атакующий раздумывает. Если защита к повторной волне уже стоит, вымогатель чаще всего идёт искать того, кто сговорчивее.
Генеральная репетиция перед сезоном
Перед крупной распродажей мы советуем делать то, что делают театры перед премьерой. Репетицию.
Нагрузочный тест показывает, сколько одновременных посетителей сайт выдерживает без защиты и с ней, какая страница ломается первой, где узкое место — база, кеш, внешний платёжный модуль. Часто выясняется, что сайт падает вовсе не от атаки, а от собственной рекламы: каталог без кеширования ложится уже от честного наплыва покупателей.
Лучше узнать это за две недели до старта, чем в первые десять минут распродажи. Тест стоит дешевле, чем один несостоявшийся пиковый день.
Про подрядчиков, которые «не подумали»
Теперь без смягчений. Сайт интернет-магазина, через который идёт основная выручка компании, размещён на самом дешёвом тарифе без какой-либо защиты, без CDN, без ограничения запросов, без плана на случай атаки. Подрядчик, который это настроил и годами берёт деньги за «сопровождение», ни разу не спросил владельца: «А что будет, если сайт ляжет в день распродажи?»
Это не экономия заказчика. Это безответственность исполнителя, оплаченная заказчиком. И в день атаки такой подрядчик обычно произносит волшебную фразу: «Это хостинг, мы тут ничего не можем». Может быть. Но мог — заранее.
Защита, которую подключают во время атаки, — это огнетушитель, который покупают, когда уже горит.
Таблица: уровни защиты
| Уровень | Что даёт | Кому подходит |
|---|---|---|
| Бюджетный хостинг без защиты | Почти ничего против целевой атаки | Сайтам без коммерческой нагрузки |
| Rate limiting и WAF на сервере | Отбивает простые и средние атаки | Небольшим сайтам с невысоким риском |
| CDN с фильтрацией на узлах | Принимает основной удар на распределённую сеть | Магазинам и сайтам с сезонными пиками |
| Специализированный сервис защиты | Многоуровневая фильтрация L3–L7, свои правила | Бизнесу, для которого простой — прямые крупные потери |
Атака началась. Что делать
- Сразу связаться с хостинг-провайдером. У него есть сетевая фильтрация, недоступная на уровне сайта.
- Если защиты нет — экстренно подключать специализированный сервис. Возможно и в разгар атаки, но медленнее и болезненнее, чем заранее.
- Предупредить клиентов через соцсети и рассылку: сайт временно недоступен, заказы принимаются по телефону.
- После атаки проверить сайт на признаки взлома. Не исключено, что под шумок кто-то пробовал зайти через другую дверь.
- Разобрать, что сработало, а что нет, и усилить защиту до следующего раза. Следующий раз, увы, бывает.
Что делаем мы и чем это отличается
Мы не ждём первой атаки, чтобы озаботиться защитой.
- Смотрим, выдержит ли хостинг и конфигурация сервера рост нагрузки.
- Настраиваем ограничение запросов и базовую фильтрацию там, где их не было.
- Подключаем сеть доставки контента, где это оправдано.
- Перед распродажами и рекламными запусками отдельно проверяем готовность инфраструктуры.
- Составляем план действий на случай атаки и остаёмся на связи во время инцидента.
Облачный провайдер предложит общий тариф без учёта вашего бизнеса. Мы настраиваем защиту под конкретный сайт и его трафик. Обслуживание сервера у нас — от 7 000 ₽ в месяц. Для магазина в сезон это обычно меньше, чем один потерянный день продаж.
Чек-лист готовности
- Хостинг или сервер имеет защиту от DDoS, а не работает «как есть».
- Включено ограничение числа запросов с одного источника.
- Подключена сеть доставки контента.
- Есть прямой контакт с провайдером и понятные сроки реакции.
- Перед сезонными пиками инфраструктура проверяется отдельно.
- Известен нормальный профиль трафика сайта.
- Защита настроена заранее, а не «подключим, если что».
- У команды есть план: кому звонить и что проверять первым.
Не ждите первого удара
Ваш сайт кормит компанию в сезон, а защиты от DDoS до сих пор нет? Напишите нам в АйТи Фреш. Оценим инфраструктуру, настроим защиту и возьмём сервер на сопровождение. Чтобы главный день продаж не стал главным днём убытков.
Частые вопросы
DDoS может украсть данные клиентов?
Сама атака — нет, она только делает сайт недоступным. Но после атаки разумно проверить сайт на признаки взлома: шумный инцидент — удобное прикрытие для тихих попыток.
Можно найти заказчика атаки?
На практике почти никогда. Атаки заказываются анонимно, а трафик идёт с заражённых устройств по всему миру, владельцы которых сами ни о чём не знают. Силы лучше тратить на защиту.
Сколько длится атака на небольшой сайт?
Зависит от мотивации и ресурсов атакующего: от нескольких часов показательного удара до волн, растянутых на дни, если цель — вымогательство.
Хватит ли подключить CDN с защитой?
Небольшим сайтам базовая сеть доставки контента с защитой от DDoS закрывает большую часть типовых атак. Нагруженным и часто атакуемым проектам нужна тонкая настройка правил под свой трафик.
Хостинг обязан защищать мой сайт?
Только если это прописано в тарифе. Бюджетные тарифы обычно такой защиты не включают — её подключают отдельно или переходят на тариф с заявленной защитой.
Атака началась во время рекламной кампании. Что делать?
Звонить провайдеру и экстренно подключать защиту. Параллельно — переключать клиентов на телефон и мессенджеры, чтобы не терять заказы целиком.
Атаку отбили. Она может повториться?
Может, особенно если мотив — конкуренция или вымогательство. Если защиту не усилили, атакующий вернётся, рассчитывая снова застать вас врасплох.