Перейти к содержанию

Защита от DDoS

Защита от DDoS-атак на Платформе обеспечивается работой двух систем:

Виды DDoS-атак

В дополнение к работе специализированных систем защиты Платформа обладает способностью демпфирования DDoS-атак на различных уровнях за счет большого запаса сетевых и вычислительных ресурсов. Это обеспечивает нормальное функционирование веб-ресурса в течение первой минуты DDoS-атаки до перехода систем защиты в режим фильтрации.

Система защиты от DDoS-атак уровня сети передачи данных

Система защиты от DDoS-атак уровня сети передачи данных представляет собой распределенный программно-аппаратный комплекс, функционирующий на сетях магистральных операторов связи. Система производит постоянный анализ входящего трафика на Платформу и в случае обнаружения DDoS-атаки перенаправляет его в центры очистки, в которых происходит блокировка нежелательного трафика. В результате до Платформы доходит только легитимный («очищенный») трафик. Центры очистки трафика работают независимо друга от друга, и в случае выхода из строя любого из них трафик будет автоматически перенаправлен на другие доступные центры очистки трафика.

Система защиты от DDoS-атак уровня сети передачи данных защищает инфраструктуру Платформы в целом, а значит все ее пользователи (заказчики) получают защиту от DDoS-атак уровня сети передачи данных по умолчанию при пользовании сервисами Edge Content Delivery и Secure DNS.

Система защиты от DDoS-атак уровня приложений

Система защиты от DDoS-атак уровня приложений это программное решение, которое установлено на серверах доставки Платформы и обеспечивает защиту от DDoS-атак на прикладном уровне (L7 уровень модели OSI). Система производит анализ HTTP-запросов в постоянном режиме. В случае обнаружения DDoS-атаки нежелательный трафик блокируется на L7 и/или L3/4 уровнях, в результате чего до сервера оригинации доходит только легитимный («очищенный») трафик.

Встречаются случаи, когда защиту от DDoS-атак уровня приложений пытаются реализовать на базе ПО WAF, однако такой подход является малоэффективным, так как ПО WAF ориентировано на выявление атак с целью эксплуатации уязвимостей, а не отказа в обслуживании.

ПО WAF потребляет больше вычислительных ресурсов для анализа трафика, а значит:

  • стоимость отражения небольшой DDoS-атаки будет высокой;
  • крупная DDoS-атака приведет к отказу в работе самого ПО WAF.

На основании анализа HTTP-запросов система формирует в автоматическом режиме:

  • черные списки IP-адресов, которые по ее мнению являются источниками нежелательного трафика. Если IP-адрес занесен системой в черный список, на любые HTTP-запросы с этого IP-адреса Платформа отдаст 403 код статуса HTTP («Forbidden») страницу-заглушку.
  • списки валидации IP-адресов, которые по ее мнению могут являться источниками нежелательного трафика и в отношении которых необходимо провести дополнительную валидацию, по результатам которой такой IP-адрес может быть отправлен в черный список.

Система не производит анализ HTTP-запросов в отношении IP-адресов, находящихся в белом списке, формируемом заказчиком самостоятельно.

Для дополнительной защиты веб-ресурса сервис DDoS Protection позволяет включить JavaScript-валидацию (JS Challenge) всех входящих запросов. В этом случае проверка применяется ко всем запросам Сервисной конфигурации независимо от IP-адреса источника. Эту настройку можно использовать как временную меру для отражения DDoS-атаки, если автоматической митигации недостаточно.

Настройка Включить JS-валидацию на все входящие запросы предназначена для экстренной защиты веб-ресурса во время DDoS-атаки.

При включении настройка имеет приоритет: на JavaScript-валидацию (JS Challenge) направляются все входящие запросы, в том числе запросы с IP-адресов из белых списков и обращения к API. Клиенты, которые не могут выполнить JavaScript, могут потерять доступ к веб-ресурсу или API.

Используйте эту настройку только как временную меру срочной митигации — на период анализа атаки и подготовки более точечных правил защиты. Отключите её, когда необходимость в экстренной защите исчезнет.

Режимы работы системы защиты от DDoS-атак уровня приложений: 

  • Обучение - предназначен для сбора статистики и анализа типового трафика без применения митигации. Используется для формирования эталонных значений метрик поведения пользователей. Первичное обучение длится до 7 дней, в это время заказчик не может управлять настройками сервиса DDoS Protection самостоятельно и система не блокирует DDoS-атаки. Если в этот период произойдет DDoS-атака, сообщите в Службу сопровождения клиентских сервисов. Инженеры NGENIX настроят систему на основе эвристических предположений о характере легитимного трафика и переведут сервис DDoS Protection в режим блокировки для защиты от DDoS-атаки.

  • Мониторинг- предназначен для наблюдения за отклонениями в поведении трафика и регистрации аномалий без применения митигации. Используется для оценки корректности настроек и контроля за поведением трафика в период нестабильной нагрузки. Блокировки запросов не производятся. Этот режим заказчик может активировать самостоятельно после завершения обучения сервиса DDoS Protection. 

    При переводе сервиса DDoS Protection в режим мониторинга происходит автоматическая очистка системных списков.

  • Блокировка - предназначен для защиты веб-ресурса от нежелательного трафика, в этом режиме происходит митигация DDoS-атак. Режим доступен для самостоятельного включения заказчиком после завершения обучения системы.

Переключение режимов может занимать до трёх минут.

Для снижения количества ложноположительных блокировок мы рекомендуем уведомлять техническую поддержку в случае плановых изменений поступающего на сервисную конфигурацию легитимного трафика (акции и распродажи, снятие и возврат трафика на сервисную конфигурацию и т.п.).

Управление списками IP-адресов при митигации DDoS-атак

Комплексная защита веб-ресурса от DDoS-атак

Для достижения максимального уровня защиты от DDoS-атак в составе Аккаунта должны быть настроены следующие сервисы:

  • Edge Content Delivery: обеспечивает защиту от DDoS-атак уровня сети передачи данных.
  • Secure DNS: обеспечивает защиту от DDoS-атак на DNS.
  • DDoS Protection: обеспечивает защиту от DDoS-атак уровня приложений.
  • Edge Logic Rules: позволяет оперативно блокировать запросы с признаками нежелательного трафика (география, версия TLS, принадлежность vpn/tor/proxy и т.п.)