DDoS: что это и почему работает

Ваш сервис работает нормально. Затем, без предупреждения, запросы начинают истекать по времени. Трафик выглядит нормально на мониторе — то же количество запросов, те же размеры — но ответы замедляются с 50 мс до 5 секунд. Вы проверяете логи и видите 10 миллионов запросов в секунду с сотни тысяч разных IP. Противник атакует.

Что означает DDoS. Distributed Denial of Service — атакующий отправляет столько трафика из стольких источников, что ваш сервис не может ответить реальным пользователям. Атакующий не крадёт данные и не вводит команды. Просто делает ваш сервис недоступным. Слово «распределённый» и делает его трудно остановить: вы не можете просто заблокировать один IP.

Почему это происходит постоянно. Cloudflare блокирует в среднем ~110 миллионов DDoS-запросов в день. Ботнеты — сети заражённых вредоносом компьютеров и IoT-устройств — дёшевы в аренде. Стоимость атаки: ~$50–500 в месяц за сервис ботнета на 10 Гбит/с. Для конкурента или злоумышленника это дешёвый способ вывести из строя чужой сервис.

Три типа атак.

Объёмные атаки (L3/L4) насыщают сам канал сети — гигабиты UDP, ICMP или DNS-ответов переполняют линк до того, как ваш сервер вообще увидит пакеты.

Атаки истощения состояния (L3/L4) заполняют таблицы отслеживания соединений и исчерпывают память ядра — SYN-наводнения заставляют сервер держать тысячи полуоткрытых TCP-соединений, пока слоты не заканчиваются и легитимные соединения не отклоняются.

Атаки прикладного уровня (L7) выглядят как легитимный трафик, но дорого обрабатываются — HTTP-наводнения, медленные запросы, удерживающие соединения открытыми минутами (Slowloris), запросы на дорогостоящие пути в БД. Их сложнее всего остановить, потому что они проходят все проверки портов и скорости.

Как помогает CDN с центром очистки. Когда вы обслуживаете трафик напрямую с origin-сервера, атака в 100 Гбит/с насыщает ваш upstream-канал и легитимные запросы никогда не достигают сервера. CDN с DDoS-скруббингом направляет весь трафик сначала на ближайший Point of Presence (PoP). У PoP есть запасная полоса для поглощения атаки по всей глобальной инфраструктуре, и только чистый трафик перенаправляется на ваш origin. Вы остаётесь онлайн, потому что атака распределена по сети CDN, а не сконцентрирована на вашем сервере.

Гонка вооружений. Бэа управляет веб-сервисом. Свен говорит: «Я залью тебя таким количеством трафика, что ты не сможешь обслуживать реальных пользователей.» Бэа: «У меня есть ограничитель скорости — я отклоняю тысячный запрос в секунду с любого IP.» Свен: «Я буду использовать тысячу разных IP.» Бэа: «Тогда у меня есть WAF для обнаружения паттерна атаки. Легитимные пользователи делают нормальные запросы; твоё наводнение подозрительно.» Это не гипотетика — это реальные адаптации атакующих, измеренные годами.