Anti-DDoS защита для VPS: что это и зачем нужна

DDoS (Distributed Denial of Service) — это атака, при которой тысячи заражённых компьютеров одновременно отправляют запросы на ваш сервер, перегружая его и делая недоступным для реальных пользователей. Anti-DDoS защита автоматически фильтрует вредоносный трафик, не пропуская его к вашему серверу.

Как работает DDoS-атака

Цель атаки: сделать ваш сайт или сервис недоступным.

Метод: отправить огромное количество запросов, превышающее возможности сервера.

Источники: ботнет из тысяч заражённых компьютеров (зомби-машины).

Результат:

• Сайт не открывается
• API не отвечает
• Сервер перегружен
• Реальные пользователи не могут подключиться

Типичный сценарий:

1. Злоумышленник арендует ботнет (5000-100 000 компьютеров)
2. Запускает атаку на ваш IP-адрес
3. Все компьютеры одновременно отправляют запросы
4. Ваш канал/сервер не справляется
5. Сайт ложится

Типы DDoS-атак

Volumetric (объёмные атаки)

Цель: забить канал огромным объёмом трафика.

Методы:

• UDP Flood (UDP-пакеты)
• ICMP Flood (ping-флуд)
• DNS Amplification (усиление через DNS)

Масштаб: 10-100+ Gbps трафика.

Пример: 50 Gbps атака на ваш 10 Gbps канал — сайт полностью недоступен.

Protocol (атаки на протокол)

Цель: исчерпать ресурсы сервера или сетевого оборудования.

Методы:

• SYN Flood (незавершённые TCP-соединения)
• Ping of Death
• Smurf Attack

Масштаб: тысячи запросов в секунду.

Пример: 100 000 SYN-запросов заполняют таблицу соединений, новые запросы не обрабатываются.

Application Layer (атаки на уровне приложений)

Цель: перегрузить конкретное приложение или сервис.

Методы:

• HTTP Flood (GET/POST запросы)
• Slowloris (медленные запросы)
• WordPress XML-RPC атаки

Масштаб: даже 100-1000 запросов могут положить сайт.

Пример: 500 одновременных запросов к тяжёлому скрипту генерации отчётов — сервер перегружен.

Последствия DDoS-атаки

Для бизнеса

Финансовые потери:

• Интернет-магазин недоступен = потеря продаж
• 1 час простоя может стоить $10 000 - $100 000
• Black Friday атака = катастрофа

Репутация:

• Клиенты не могут зайти на сайт
• Негативные отзывы
• Переход к конкурентам

SEO:

• Google понижает недоступные сайты в выдаче
• Потеря позиций

Для технической инфраструктуры

Перегрузка:

• Сервер недоступен
• Базы данных не отвечают
• Другие сервисы на том же VPS тормозят

Дополнительные расходы:

• Превышение лимита трафика (если есть)
• Оплата защиты по факту атаки
• Расходы на экстренную миграцию

Как работает Anti-DDoS защита

Уровень 1: Фильтрация на границе сети

Где: дата-центр провайдера.

Как: специализированное оборудование (Arbor, Radware) анализирует весь входящий трафик.

Что делает:

• Обнаруживает аномалии (резкий рост трафика)
• Блокирует вредоносные пакеты
• Пропускает легитимный трафик

Скорость: миллисекунды.

Уровень 2: Scrubbing Center

Где: специализированный центр очистки трафика.

Как: весь трафик перенаправляется через scrubbing center при атаке.

Что делает:

• Глубокий анализ каждого пакета
• Машинное обучение для выявления ботов
• Отсев 99% вредоносного трафика

Задержка: +5-15 мс латентности.

Уровень 3: Application Firewall

Где: на сервере или через CDN.

Как: анализ HTTP-запросов, jаvascript-челленджи, CAPTCHA.

Что делает:

• Блокирует ботов на уровне приложения
• Challenge-response тесты
• Rate limiting (ограничение частоты запросов)

Типы Anti-DDoS защиты

Always-On (постоянная защита)

Как работает: весь трафик всегда идёт через систему фильтрации.

Преимущества:

• Моментальная реакция на атаку
• Нет перерыва в работе
• Непрерывный мониторинг

Недостатки:

• Небольшая добавленная латентность (+2-5 мс)
• Дороже

Рекомендуется для:

• Критичные бизнес-сервисы
• E-commerce
• Финансовые платформы

On-Demand (защита по требованию)

Как работает: активируется только при обнаружении атаки.

Преимущества:

• Нет латентности в обычное время
• Дешевле

Недостатки:

• Задержка активации 5-15 минут
• Сайт успеет упасть
• Нужно вручную включать

Рекомендуется для:

• Некритичные проекты
• Малый бизнес

Гибридная защита

Как работает: базовая защита always-on + дополнительная при серьёзной атаке.

Оптимальный вариант: баланс скорости и стоимости.

Уровни защиты

Базовая защита (включена по умолчанию)

Что защищает:

• SYN Flood
• UDP Flood
• ICMP Flood
• Базовые volumetric атаки

Объём: до 10 Gbps.

На THE.Hosting: включена бесплатно на всех VPS.

Расширенная защита

Что защищает:

• Всё из базовой +
• DNS Amplification
• NTP Amplification
• Сложные Protocol-атаки

Объём: до 100+ Gbps.

Цена: ~$50-200/месяц в зависимости от провайдера.

Enterprise защита

Что защищает:

• Всё из расширенной +
• Application Layer (HTTP Flood, Slowloris)
• Zero-day атаки
• Направленные атаки

Объём: 1+ Tbps.

Цена: от $500/месяц.

Рекомендуется для:

• Крупный бизнес
• Государственные порталы
• Банки

Cloudflare как дополнительная защита

Что такое Cloudflare:

• CDN + WAF + DDoS protection
• Бесплатный базовый план
• Прокси между пользователями и вашим сервером

Как работает:

1. DNS указывает на Cloudflare
2. Cloudflare принимает весь трафик
3. Фильтрует атаки
4. Чистый трафик отправляет на ваш VPS

Преимущества:

• Бесплатная защита от мелких атак
• CDN ускоряет сайт
• SSL из коробки
• Firewall правила

Ограничения:

• Бесплатный план: до ~10 Gbps
• Не защищает non-HTTP сервисы (SSH, FTP, игровые серверы)
• Ваш реальный IP может утечь

Рекомендация: используйте Cloudflare + Anti-DDoS провайдера для максимальной защиты.

Признаки DDoS-атаки

Как понять, что вас атакуют:

• Резкий рост трафика (в 10-100 раз)
• Сайт недоступен или загружается 30+ секунд
• CPU на 100% без видимой причины
• Тысячи одинаковых запросов в логах
• Сервер не отвечает на SSH
• Провайдер уведомляет о необычной активности

Проверить текущий трафик:

vnstat -l

Проверить активные соединения:

netstat -an | grep ESTABLISHED | wc -l

Если видите 5000+ соединений — возможна атака.

Анализ логов Apache/Nginx:

tail -f /var/log/nginx/access.log

Если видите тысячи одинаковых запросов с разных IP — это атака.

Что делать при атаке

Немедленные действия

Шаг 1: Включить защиту провайдера

Откройте тикет с темой "DDoS атака":

IP-адрес: 203.0.113.42
Тип атаки: HTTP Flood
Начало: 15:30 UTC
Статус: сайт недоступен

Шаг 2: Включить Cloudflare

Если ещё не используете — активируйте немедленно:

1. Зарегистрируйтесь на cloudflare.com
2. Добавьте домен
3. Измените NS-записи у регистратора
4. Включите режим "Under Attack"

Шаг 3: Ограничить rate limit

Временно ограничьте количество запросов:

Nginx:

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
limit_req zone=one burst=20;

Apache:

<IfModule mod_evasive24.c>
    DOSHashTableSize 3097
    DOSPageCount 5
    DOSSiteCount 100
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
</IfModule>

Долгосрочные меры

После атаки:

• Скрыть реальный IP сервера (через Cloudflare)
• Настроить fail2ban для автоблокировки
• Включить постоянную Anti-DDoS защиту
• Настроить мониторинг и алерты
• Создать план реагирования на атаки

Стоимость DDoS-атаки

Для атакующего

Аренда ботнета:

• 1 час атаки 10 Gbps: $20-50
• 1 день атаки 50 Gbps: $300-500
• Неделя атаки 100 Gbps: $2000-5000

Вывод: атаковать относительно дёшево.

Для жертвы

Без защиты:

• Простой сайта: $1000-50 000 потерянной прибыли в день
• Репутационные потери: невосполнимо
• Миграция на защищённый хостинг: $500-5000

С защитой:

• Атака отражена: $0 потерь
• Сайт работает стабильно

Вывод: защита окупается с первой же атаки.

Кого обычно атакуют

Группы риска

Высокий риск:

• Интернет-магазины (особенно в сезон продаж)
• Онлайн-казино и букмекеры
• Финансовые сервисы
• Конкуренты на рынке
• Игровые серверы
• Политические/новостные сайты

Средний риск:

• Корпоративные сайты крупных компаний
• SaaS-платформы
• Популярные блоги

Низкий риск:

• Личные блоги
• Сайты-визитки
• Некоммерческие проекты

Мотивы атаки

• Конкуренция: положить сайт конкурента в пик продаж
• Вымогательство: "заплати Bitcoin или продолжим атаковать"
• Месть: недовольные клиенты, бывшие сотрудники
• Политика: активизм, цензура, информационная война
• "Для fun": хакеры-школьники, демонстрация силы

Превентивные меры

Архитектурные решения

CDN (Content Delivery Network):

• Cloudflare, Akamai, Fastly
• Распределяет нагрузку по миру
• Кэширует статику

Load Balancer:

• Распределяет трафик между серверами
• При атаке на один сервер — переключение на другой

Auto-scaling:

• Автоматическое увеличение мощности при росте нагрузки
• Kubernetes, AWS Auto Scaling

Настройки сервера

Rate Limiting:

• Ограничение запросов с одного IP
• 10-100 запросов в секунду — норма

Firewall правила:

• Блокировка известных ботнетов
• Geo-блокировка (если не нужны визиты из определённых стран)

Fail2ban:

• Автоматическая блокировка IP после N неудачных попыток
• Защита SSH, FTP, панелей управления

Мониторинг

Алерты при:

• Трафик превышает норму в 3+ раза
• CPU > 80% более 5 минут
• Более 1000 одновременных соединений
• Сайт не отвечает

Инструменты:

• UptimeRobot (проверка доступности)
• Grafana + Prometheus (мониторинг метрик)
• Cloudflare Analytics (анализ трафика)

Anti-DDoS на THE.Hosting

Базовая защита:

• Включена бесплатно на всех VPS
• Защита от volumetric атак до 10 Gbps
• Фильтрация SYN/UDP/ICMP flood
• Автоматическая активация

Расширенная защита:

• Защита до 100+ Gbps
• Application-layer фильтрация
• Заказывается дополнительно

При атаке:

1. Система автоматически обнаруживает
2. Трафик очищается
3. Клиент получает уведомление
4. Сайт продолжает работать

Защитите свой проект от DDoS-атак

Базовая Anti-DDoS защита включена во все VPS бесплатно. Для критичных проектов доступна расширенная защита.

Заказать VPS с Anti-DDoS

Популярные вопросы

Может ли Anti-DDoS заблокировать легитимных пользователей?

Современные системы с точностью 99.9% отличают атаку от нормального трафика. False positive (ложное срабатывание) крайне редки.

Замедляет ли Anti-DDoS сайт?

Always-on защита добавляет 2-5 мс латентности. Для пользователя незаметно. On-demand защита не влияет до активации.

Что если атака сильнее, чем уровень защиты?

При превышении мощности защиты подключается scrubbing center с большей пропускной способностью. В крайнем случае — null-routing (временная блокировка IP для защиты инфраструктуры).

Можно ли полностью защититься от DDoS?

Нет защиты от атак неограниченной мощности. Но современные системы отражают 99% реальных атак. Для enterprise-клиентов доступна защита до нескольких Tbps.

Нужна ли Anti-DDoS для маленького сайта?

Базовая защита (бесплатная) — обязательна для всех. Расширенная — если ваш бизнес зависит от доступности сайта 24/7.