Главная мысль
Определите нормальную нагрузку и критические сервисы; согласуйте с провайдером путь смягчения атаки и проверьте его.
Как DDoS нарушает работу?
Объёмные атаки перегружают пропускную способность канала, протокольные — ресурсы хранения состояния соединений или обработки пакетов, а атаки уровня приложений — обработку дорогих запросов. Ботнеты и открытые отражатели могут создавать трафик из разных источников. Помимо объёма отслеживайте задержки, ошибки запросов и ресурсы серверной части.
| Класс атаки | Ограниченный ресурс | Планируемая мера |
|---|---|---|
| Объёмная | Пропускная способность вышестоящего канала | Фильтрация у провайдера до перегруженного канала |
| Протокольная | Состояние соединений или обработка пакетов | Подходящие сетевые меры смягчения |
| Прикладная | Ресурсы запросов и серверной части | Настроенные лимиты, WAF и кеш; проверяйте ложные срабатывания |
Оцените влияние и подготовьтесь заранее
Составьте перечень критичных имён хостов, DNS, CDN, сетевых провайдеров и бизнес-процессов, зависящих от сервиса. Определите нормальный профиль трафика и пороги оповещений; заранее подготовьте контакты, полномочия принятия решений и порядок информирования клиентов. Высокая доступность и распределение нагрузки могут помочь, но прикладной объём и зависимости нужно оценивать отдельно.
Проверьте меры реагирования
Заранее выясните, как включается служба смягчения атаки у провайдера, какие журналы передаются и кто утверждает изменения маршрутизации. Ограничение частоты запросов, правила WAF и кеширование могут снизить прикладную нагрузку, но не должны блокировать легитимных пользователей. Согласуйте проверки с провайдером; не отправляйте трафик, имитирующий реальную атаку. Локальный WAF и ограничение запросов сами по себе не восстановят перегруженный вышестоящий канал; согласуйте с провайдером меры до этого участка.