DDoS-атаки

DDoS-атака (Distributed Denial of Service, распределённый отказ в обслуживании) – это попытка вывести сайт из строя потоком запросов с тысяч устройств одновременно. Сервер или канал связи не справляется, и настоящие посетители видят ошибку или бесконечную загрузку.

Для владельца сайта это выглядит буднично: утром перестала работать форма заказа, хостинг пишет про превышение нагрузки, а в аналитике всплеск визитов без единой заявки. Атакуют и небольшие сайты: интернет-магазины в сезон распродаж, сайты услуг в конкурентных нишах, сервисы онлайн-записи. Разберём, как отличить атаку от обычной нагрузки и что делать.

Чем DDoS отличается от DoS и наплыва посетителей

Похожие симптомы дают и обычные боты: агрессивный парсер цен или плохо настроенный краулер. Они не ставят цель уронить сайт, но слабый сервер падает и от них.

Что атака пытается исчерпать: канал, соединения или сервер

Их делят по тому, какой ресурс пытаются исчерпать.

• Объёмные атаки забивают канал связи мусорным трафиком. До сервера сайта дело даже не доходит.
• Атаки на протоколы занимают таблицу соединений сервера или сетевого оборудования полуоткрытыми подключениями.
• Атаки на уровне приложения отправляют обычные с виду HTTP-запросы на тяжёлые страницы: поиск, фильтры каталога, корзину.

Для сайтов на CMS самые неприятные последние. Каждый такой запрос запускает PHP и запросы к базе данных, поэтому сайт может лечь от тысячи запросов в секунду, если это поиск по каталогу из десятков тысяч товаров.

Как атака выглядит в логах, аналитике и письмах хостинга

• Сайт отвечает ошибками 502, 503, 504 или открывается через раз.
• Нагрузка на процессор и число соединений резко выросли без рекламы и рассылок.
• В логах сервера тысячи одинаковых запросов к одной странице с разных адресов.
• В аналитике всплеск визитов с отказами, без заявок, из непривычных стран.
• Хостинг ограничил аккаунт или прислал письмо о превышении нагрузки.

Что означают эти коды, мы разбирали в статье Коды ответов сервера.

Что делать во время атаки

1. Убедитесь по логам, что это атака, а не наплыв клиентов или сбой после обновления.
2. Напишите в поддержку хостинга. У многих провайдеров есть фильтрация трафика, которую включают по запросу.
3. Если сайт уже подключён к сервису защиты, включите строгий режим проверки посетителей.
4. Снимите нагрузку с тяжёлых страниц: кэш, лимиты запросов, временное отключение поиска.
5. Записывайте время, адреса и характер запросов. Это пригодится для разбора и для заявления в полицию.

Требования выкупа лучше не выполнять: оплата не гарантирует, что атака не повторится.

Что будет с позициями в поиске

Короткая атака на позиции обычно не влияет. Google пишет, что при ошибках 5xx и 429 его робот временно замедляет сканирование, а уже проиндексированные страницы сохраняет в индексе, но если ошибка держится долго, со временем их удаляет. Для вынужденного отключения на 1–2 дня Google советует отдавать 503 Service Unavailable.

Как защитить сайт заранее

Основа защиты – фильтрация трафика до того, как он дойдёт до сервера. Сайт подключают к сервису защиты от DDoS, весь трафик идёт через его сеть, а к серверу пропускают только запросы, похожие на живых посетителей. Реальный IP-адрес сервера при этом не публикуют, иначе атаку пустят в обход фильтра.

Атаки на уровне приложения дополнительно отсекают WAF и лимиты запросов. В 1С-Битрикс для этого есть «Контроль активности» в модуле «Проактивная защита»: он блокирует слишком активных посетителей и роботов. На уровне веб-сервера лимит задают так (значения условные):

# nginx: не больше 10 запросов в секунду с одного IP к поиску
limit_req_zone $binary_remote_addr zone=search:10m rate=10r/s;
location /search/ {
    limit_req zone=search burst=20 nodelay;
}

Страницы, которые не меняются от посетителя к посетителю, отдают из кэша или CDN. Тогда запрос к ним вообще не доходит до PHP и базы, и сайт выдерживает заметно больше обращений.

Запас прочности заранее измеряют нагрузочным тестированием: вы узнаете, сколько запросов сайт выдерживает и какая страница сдаётся первой.

Почему защита от DDoS не срабатывает или мешает самому сайту

• Блокировать адреса вручную. Против ботнета из тысяч устройств это не работает.
• Подключить защиту, но оставить реальный IP сервера в DNS старых поддоменов.
• Забыть о поиске и фильтрах. Это самые дорогие для сервера страницы.
• Включить строгую проверку и не посмотреть, проходят ли её роботы поисковиков, платёжные сервисы и обмен с 1С.

DDoS на практике: выкуп, хостинг, капча и позиции в поиске

Настроить защиту от DDoS и разобрать атаку поможет услуга информационная безопасность сайтов. Сколько выдержит ваш сайт, покажет нагрузочное тестирование, а за доступностью следит техническая поддержка.

Справка Google, документация 1С-Битрикс и nginx

• Google Search Central: как ошибки HTTP и сети влияют на Google Поиск
• Google Search Central: как приостановить работу сайта без вреда для поиска
• Документация 1С-Битрикс: модуль «Проактивная защита», раздел «Контроль активности»
• Документация nginx: модуль ngx_http_limit_req_module

См. также: Коды ответов сервера, Хостинг, Скорость сайта, WAF.