Текст: Валентин Бостанов, руководитель направления хостинга «Рег.ру»

Фото: Provincial Archives of Alberta, Unsplash

За последние несколько лет количество DDoS-атак увеличилось, выросла их средняя продолжительность и мощность. При этом характер взломов стал более массовым — теперь в фокус злоумышленников попадают не только крупные холдинги. Малый, средний и даже микробизнес подвергается DDoS — хакеры целенаправленно ищут наиболее уязвимые компании, фокусируются на их сайтах и приложениях, доступность которых напрямую влияет на прибыль. Как можно снизить риски от DDoS-атаки для бизнеса и что делать, если сайт или проект попали под удар, разобрался для Inc. руководитель направления хостинга «Рег.ру» Валентин Бостанов.

DDoS, или распределенная атака с целью довести систему до отказа, — это процесс, в котором злоумышленники отправляют с помощью скомпрометированных устройств (ботов) множество запросов на сервер и перегружают его. Из-за этого реальные пользователи не могут открыть сайт, а предприниматель теряет клиентов, деловую репутацию и несет убытки.

В процессе нападения

Любой сервер имеет определенную пропускную способность, то есть может обрабатывать какое-то конкретное количество запросов в секунду. Если оно будет превышено, сайт не будет загружаться. Чтобы организовать атаку, злоумышленники используют ботнет-сети — множество зараженных компьютеров и устройств, которые находятся под контролем хакеров. Каждое такое устройство называют ботом — оно выполняет команды хакера без ведома владельца.

Ботом может быть любой гаджет, подключенный к сети, — не только телефон или компьютер, а еще и устройства интернета вещей: телевизоры, умные колонки, кондиционеры, пылесосы. (Интернет вещей, англ. internet of things, IoT, концепция сети передачи данных между физическими объектами — «вещами» — со встроенными инструментами для взаимодействия друг с другом или с окружающим миром. — Прим. ред.). Хакеры устанавливают на них вредоносное ПО и управляют ими удаленно. Ботнет-сети могу состоять из нескольких сотен или тысяч устройств — каждое из них для сервера не отличается от обычного пользователя, но вместе они создают серьезную нагрузку, которая приводит к сбою. Эксперты выделяют три основных типа DDoS-атак:

• объемные атаки, или флуд направлены на исчерпание полосы пропускания канала. Они создают значительный трафик, превышающий возможности сети и ресурсов сервера;
• взломы на уровне протокола направлены на исчерпание ресурсов сервера или оборудования, таких как балансировщики нагрузки или фаерволы;
• атаки на уровне приложений — высокоуровневые атаки, нацеленные на выведение из строя веб-приложений. Например, отправка большого количества запросов на загрузку конкретной страницы.

Угроза для бизнеса

Как правило, у атак есть две цели — вывести из строя сайт или нагрузить его для последующего взлома. Успешная DDoS-атака может сильно повредить организации и ее репутации. Вот какими могут быть последствия:

• потеря клиентов. Если сайт недоступен, он может выпасть из поисковой выдачи, а клиенты перейдут к конкурентам;
• нарушение внутренних процессов. Взламывают не только публичные ресурсы, но и внутренние системы, используемые сотрудниками, такие как электронная почта или удаленный доступ. Это приводит к сбоям в работе и нарушению бизнес-процессов, например потере заказов, порче товара и вынужденным неустойкам;
• ущерб ключевым сервисам. Хакеры могут атаковать основные рабочие инструменты организации. Это грозит потерями, например, при атаке на банковские системы, ответственные за проведение трансакций;
• репутационные издержки. Иногда DDoS-атаку используют как отвлекающий маневр. Пока специалисты по информационной безопасности пытаются восстановить работу сервера, злоумышленники крадут конфиденциальные данные клиентов или корпоративную информацию.

Обнаружить вовремя

Вот главные признаки DDoS — тревожные сигналы, которые могут говорить о том, что система подверглась нападению злоумышленников.

Полное или частичное отключение сервиса. Временные отключения могут быть вызваны не только атаками, но и проблемами с хостингом или техническими сбоями. В этом случае стоит обратиться к хостинг-провайдеру и уточнить причину. Но если вместе с этим вы заметили, что потребление ресурсов, например количество процессов и память, возросло, высока вероятность атаки.

Резкое увеличение объема трафика, а также увеличение количества визитов, открытий страниц и заполнения форм,— если вы заметили аномальную для сайта активность, она может быть признаком DDoS.

Увеличение числа ошибок при запросах. Обратите внимание на количество ошибок с кодом «500» и «503», которые возникают во время доступа к вашему ресурсу. Они могут указывать, что вычислительные мощности вашего сайта перегружены.

Подозрительная активность. Высокий прирост посетителей от одного источника или необычные запросы. Если вы замечаете рост трафика из стран или регионов, где у бизнеса не может быть клиентов, это говорит о возможной попытке взлома. Например, если компания ориентирована на региональный или российский рынок, а трафик поступает из других стран.

Внимание: вас атаковали

Небольшие компании чаще всего сталкиваются с низкоуровневыми взломами, однако возможны и DDoS-атаки более высокого уровня. Так, в целом борьба с DDoS сводится к тому, чтобы фильтровать входящий трафик с помощью брандмауэров и специальных решений, а также блокировке подозрительных запросов.