Как защитить сервер от DDoS-атак

В 2023 году DDoS-атаки на сервера стали еще более организованными - злоумышленники автоматизировали их с помощью искусственного интеллекта. Теперь под угрозой находятся и небольшие веб сайты, ставшие случайными жертвами, и крупные, которые подвергаются точечным нападениям.
 

Что такое DDoS-атака в интернете и ее принципы

Суть DDoS-атаки заключается в попытке нарушения работы всей системы. Огромное количество пакетов или запросов перегружают ее работу. Злоумышленники используют несколько взломанных источников, чтобы с разных каналов атаковать сервера.
Принцип DDoS-атаки заключается в активной отправке нелегитимного трафика на сервер, что неминуемо затрудняет доступ для обычных пользователей. В результате сайты становятся недоступными, или скорость их загрузки значительно замедляется. DDOS игровых серверов - процесс, который вызывает подобные проблемы для геймеров.
 

Кто это делает

Портить жизнь может широкий круг людей. В нем и старшеклассник, который надумал стать хакером, и настоящий профессионал, выполняющий заказ или стремящийся обогатиться.
Допустим, перед Новым Годом компания "А" планирует получить значительную прибыль, но ее основной конкурент, компания "Б", предлагает более привлекательные условия для клиентов. Проводя блокировку сайта конкурента, компания "А" может забрать себе все заказы, в то время как компания "Б" понесет убытки
Однако законодательство строго запрещает DDoS-атаки, так как они нарушают право на доступ к информации и мешают функционированию веб-ресурсов.
 

Зачем атакуют

DDoS-атаки направлены на то, чтобы сделать сервер, продукт или сайт недоступными для пользователей. Атаки организуются с коммерческой целью: получение выкупа за остановку; подрыв конкурента перед важным событием. Бывают и некоммерческие причины: геополитические мотивы; развлечение; "хакерская" практика или месть.
Опыт показывает, что DDoS-атаки зачастую нацелены на различные организации и институты, такие как интернет-магазины, казино, букмекерские сайты, игровые сервисы, СМИ, образовательные и государственные учреждения, онлайн-образование. Важно отметить, что DDoS-атака отличается от взлома сайта, поскольку не взламывает код, а лишь создает перегрузку сервера путем массовых запросов, что приводит к недоступности сайта для пользователей.
 

В чем опасность DDoS-атак

Любая DDoS-атака негативно влияет на ваш бизнес. Сетевой канал переполняется ненужным трафиком. Помимо недоступности сайтов для клиентов DDoS-атаки создают другие последствия. Например, если у вас платный трафик в облаке - можно понести финансовые потери. Долгая недоступность сайта приводит снижению рейтинга в поисковых системах и потере позиций, а восстановление в ТОПе требует усилий. Кроме того, клиенты, разочарованные отказами на вход, могут потерять доверие к вам и обратятся к конкурентам. Также элементы ИТ-инфраструктуры компании работают некорректно, например, делают внутреннюю информацию уязвимой.
DDoS-атаки могут сделать систему полностью непригодной к использованию, не оставляя при этом юридически значимых улик. Это создает серьезные проблемы для бизнеса, так как он теряет доход из-за недоступности товаров и услуг
 

Виды DDoS-атак

DDoS-атаки могут различаться по векторам нападений и целям.

На уровнях L3-4 модели OSI

• Отправляется множество SYN-запросов за короткое время. Цель - перегрузить очередь на подключение к серверу-жертве.
• Сервер получает множество UDP-пакетов с различных IP-адресов.

На протоколы

• Злоумышленники атакуют протоколы HTTP, FTP или SMTP. Это затрудняет или полностью блокирует доступ к серверу.
• Хакеры используют открытые DNS-серверы и отправляет фальшивые запросы с недопустимыми IP-адресами.

На уязвимые участки инфраструктуры

Атаки, которые направлены на службы аутентификации, серверы DNS, VPN, обратные прокси, файрволы и другие компоненты инфраструктуры, называются атаками на прикладном уровне. Это отправка большого количества запросов, требующих значительных вычислительных мощностей. Высокоуровневые атаки прикладного уровня стирают информацию, воруют ресурсы у сервера и данные из баз.

На приложения

Такая атака может привести к нехватке ресурсов для выполнения простых операций. Могут быть очень разрушительными, их сложно выявить, поскольку могут подражать легитимному трафику. Одним из примеров таких атак является "Ping of death" - когда жертва получает поддельный запрос (ping), "выключающий" его для всех.
 

Методы защиты от DDoS

Рассмотрим эффективные способы защиты сервера от атак DDoS атак без использования предложенных хостингами решений, платных сервисов или программ.

• Составить план инфраструктуры. Вы должны точно знать, что и где находится, какие серверы и сервисы вы используете. Все, что не должно быть доступно "снаружи", необходимо закрыть.
• Настройте брандмауэр. Важно разрешить доступ только доверенным адресам и сетям.
• Скрывайте реальные IP-адреса, периодически их меняйте. Если вас уже атаковали, и вы это отбили, то риск новой атаки возрастает.
• Постарайтесь избегать нешифрованного трафика.
• Перейдите с HTTP на HTTPS. Это не только важно для безопасности в целом, но и поможет организовать защищенный сервер от DDoS-атак. Злоумышленники не смогут просматривать ваши пакеты и понимать, как они формируются, чтобы затем их подделывать.
• Проверьте бизнес-логику, чтобы понять, как и куда должны делать запросы ваши реальные клиенты. Этот процесс поможет распознавать нелегитимные запросы.
• Если на физическом компьютере находятся несколько виртуальных серверов - тщательно распределите ресурсы между ними, чтобы упавший сервер не смог нанести ущерб своим соседям.
• Некоторые части кода сайта могут быть слабо оптимизированы и уязвимы для атак. Их следует пересмотреть и оптимизировать.
• Бывает, что DDoS-атаки не так легко обнаружить. Поэтому очень важно настроить мониторинг показателей сервера: использование канала и памяти, загрузку процессора, работоспособность отдельных компонентов сайта, важных для бизнеса.
• Следите за своевременными обновлениями ПО, включая операционную систему и приложения. Это устраняет уязвимости.
• Регулярно проводите проверку системы на устойчивость, чтобы выявить и устранить возможные уязвимости.
• Сохраняйте бэкапы, чтобы в случае DDoS-атаки, которая может вызвать потерю информации, восстановить данные.

Также есть полезные инструменты для защиты. Их выбор зависит от типа сервера, операционной системы и требований к безопасности

• IPTables - помогает настроить правила фильтрации пакетов на уровне ядра Linux. Может использоваться для ограничения доступа к серверу, блокировки IP-адресов злоумышленников и установки правил для защиты от DDoS-атак.
• CSF - набор скриптов и утилит, которые обеспечивают дополнительные возможности: межсетевой экран (firewall), система обнаружения вторжений (IDS), блокировка IP-адресов, фильтрация трафика и другие функции.
• Nginx - поддерживает модуль limit_conn для ограничения количества одновременных соединений и limit_req для ограничения числа запросов с одного IP-адреса.

Не забывайте использовать сканеры уязвимостей для дополнительной защиты. Некоторые из них - OpenVAS, Nessus, XSSer и Nikto. Они помогают идентифицировать и закрыть слабые места в системе, уменьшая вероятность атак и повышая безопасность
Программные фильтры - анализируют трафик, применяют различные алгоритмы для обнаружения атак и блокировки потенциальных источников. Применение программного фильтра для "противодействия" DDoS-атакам использует JavaScript, который недоступен для ботов, и поэтому атаки "глушатся".
 

Еще несколько советов

Кэшируйте свой контент. Благодаря этому страницы быстро открываются, повышается производительность веб-ресурса, облегчается доступ к часто запрашиваемым данным, что смягчает воздействие DDoS-атак.
Используйте CDN - распределенная географическая сеть серверов, которые хранят копии контента, необходимого пользователям. Это означает, что пользователи получают контент не с центрального сервера, а с серверов, находящихся физически ближе к ним. При помощи CDN доставка контента становится быстрее, а нагрузка на сервер снижается, что в свою очередь уменьшает вероятность успешной DDoS-атаки и позволяет легче справиться с ее возникновением.
 

Как обнаружить DDoS-атаку

• Выросли нагрузка на сеть и объем трафика на порты соединений.
• Сайт медленно работает или выдаются 502, 503, 504 ошибки.
• Резко возрастает нагрузка на оперативную память, процессор.
• Растет количество запросов к базам данных или внутренним сервисам.
• Фиксируются многократные обращения пользователей к одним и тем же файлам или страницам, но они не соответствуют тематике веб-ресурса (например, у вас магазин одежды в Перми, а трафик массово идет со всего мира).

 

Методы обнаружения DDoS-атак

Один из основных принципов борьбы с кибератаками - это следить за трафиком. Регулярное наблюдение и анализ помогут своевременно выявить аномалии и принять меры для защиты от вредоносной активности.

• Тщательный анализ трафика веб-ресурса. Его можно делать самостоятельно или же воспользоваться автоматическими системами.
• Отслеживание времени отклика. На ранних стадиях атаки сложно заметить, что сайт начал замедляться. Рекомендуется регулярно анализировать состояние сайта, чтобы определить, какое время отклика считается нормальным. Изменения в этом показателе могут свидетельствовать о DDoS-атаке. 
• Настройка автоматического уведомления об атаке. Когда вы определите, какой трафик считается нормальным, можно использовать сервисы для уведомления о любых аномалиях.
• Установите Rate Limiter для ограничения нагрузки на контент. Он ограничит количество входящих запросов до стандартных значений, а также отследит всплеск трафика.
• Изучайте прошлые атаки. Если у вас уже есть срез данных - используйте его, чтобы обнаружить новые. Сравните входящий трафик с имеющимся слепком прошлых атак для выявления сходств или различий. Выдайте user agent атакующему 403 статус, который запрещает доступ к запрашиваемому ресурсу. Данный метод будет эффективен до того момента, пока злоумышленник не поменяет свой user agent.

Самым эффективным вариантом будет использование всех вышеперечисленных методов. Разные модели мониторинга обнаружат подозрительную активность на ранней стадии и повысят ваши шансы на успех.
 

Что делать во время атаки

Очень важно сохранить спокойствие и не позволить себе погрузиться в панику.
Убедитесь, что сайт действительно подвергается DDoS-атаке. Для этого обратитесь к хостеру, посмотрите графики загрузки интерфейсов, CPU, дисковой активности и т.д. Получите информацию об уровне загрузки ресурсов и подтверждение о типе DDoS-атаки. Если сайт не находится под защитой провайдера, свяжитесь с командой хостинга как можно скорее.
Есть ли у вас чек-лист по борьбе с DDoS-атаками и опытный системный администратор? Воспользуйтесь всеми доступными средствами для снижения нагрузки на сервер.
Постарайтесь понять характер атакующего трафика и его цели. Используйте программы-анализаторы для оценки ситуации.
Если у вас есть возможность, выполните следующие действия:

• Проверьте доступность сайта с помощью check-host, ping-admin, ping.pe и т.д. и доступность сервера, VPS или хостинга. Возможно, проблема не в атаке, а, например, в электропитании.
• Очистите логи доступа и ошибок. Из-за большого количества однотипных атакующих запросов журналы могут быстро заполниться и вызвать проблемы.
• Настройте ограничение скорости брандмауэра. Это временная мера, которая поможет временно изолировать сервер от сети.
• Измените DNS-записи для домена. Это также временная мера.

Если сайт или сервер недоступны из-за атаки, сообщить своей аудитории о проблемах. Создайте заглушку на сайте с информацией об ожидаемом времени их решения.
 

Заключение

Регулярно следите за показателями веб-ресурсов, быстро реагируйте на любые аномалии и заботьтесь о защите. Не забывайте, что самостоятельная борьба с мощной DDoS-атакой практически невозможна. Доверьте надежному хостеру постоянный мониторинг вашего сайта, чтобы пресекать самые мощные атаки.