Что такое DDoS-атака простыми словами и кому она грозит

DDoS-атака — это попытка «завалить» сайт или сервер огромным количеством запросов, чтобы он перестал отвечать настоящим посетителям. Ничего не взламывается и не крадётся — сайт просто становится недоступен, и бизнес теряет клиентов и деньги, пока идёт атака.

Как это работает: пример с магазином

Представьте небольшой магазин, в который одновременно заходит тысяча человек. Они ничего не покупают, а просто стоят у касс и задают вопросы. Настоящие покупатели не могут протиснуться внутрь и уходят к конкурентам.

DDoS делает то же самое с сервером. Буква D в начале означает Distributed — «распределённая»: запросы идут не с одного компьютера, а с тысяч или миллионов устройств по всему миру. Обычно это ботнет — заражённые компьютеры, роутеры, камеры видеонаблюдения, владельцы которых даже не знают, что участвуют в атаке. Из-за этого атаку нельзя остановить, просто заблокировав один IP-адрес.

Виды DDoS-атак

Объёмные атаки. Забивают канал связи мусорным трафиком, как пробка на единственной дороге к вашему серверу. Сервер может быть совершенно исправен, но до него просто ничего не доходит.

Атаки на протоколы. Используют особенности сетевых протоколов, чтобы исчерпать ресурсы сервера или сетевого оборудования. Например, сервер засыпают полуоткрытыми соединениями, которые он должен держать в памяти.

Атаки на приложение (L7). Самые хитрые: боты имитируют обычных посетителей и бьют по «тяжёлым» страницам — поиску, корзине, форме входа. Трафика может быть немного, но каждый запрос заставляет сервер и базу данных много работать. Такие атаки сложнее всего отличить от настоящих покупателей.

Зачем устраивают DDoS-атаки

Конкуренция. Интернет-магазин ложится в Чёрную пятницу, и покупатели уходят к тем, кто работает.
Вымогательство. Сайт атакуют на пару минут и присылают письмо: «Заплатите, иначе атака вернётся».
Месть и хулиганство. Обиженный клиент, забаненный игрок, бывший сотрудник. Аренда ботнета стоит недорого, поэтому атаковать может кто угодно.
Политика и активизм. Атаки на государственные сайты, СМИ, банки и инфраструктуру.
Отвлечение. Пока администраторы борются с DDoS, злоумышленники пытаются взломать что-то другое.

Кому грозит DDoS

Распространённое заблуждение — «атакуют только крупные компании». На деле маленький сайт завалить проще и дешевле, а защиты у него обычно нет. В группе риска:

интернет-магазины, особенно в сезон распродаж;
игровые серверы: Minecraft, CS2, Rust — их атакуют чаще всего;
сервисы с онлайн-оплатой, криптовалютные и финансовые проекты;
СМИ, блогеры и форумы, пишущие на острые темы;
сайты в конкурентных нишах: доставка, услуги, билеты.

Иногда сайт страдает случайно: атака идёт на соседа по серверу или подсети, а недоступными становятся все.

Как понять, что идёт атака

сайт внезапно стал очень медленным или отдаёт ошибки 502, 503, 504;
в аналитике резкий всплеск трафика без роста продаж и заявок;
много запросов из необычных стран или к одной и той же странице;
нагрузка на процессор или сеть сервера у потолка без видимых причин;
хостер прислал уведомление или временно отключил IP-адрес.

Похожая картина бывает и при настоящем наплыве посетителей — после рекламы или упоминания в СМИ. Отличие в том, что живые люди что-то делают на сайте, а боты просто дёргают страницы.

Чем опасна атака для бизнеса

Потерянная выручка за каждый час простоя.
Слитый рекламный бюджет: реклама ведёт людей на неработающий сайт.
Падение позиций в поиске: если поисковый робот долго или часто получает ошибки, страницы могут просесть.
Репутация: клиенты запоминают, что «сайт вечно не работает», и уходят к конкурентам.

Как защищаются от DDoS

Полностью исключить атаку нельзя, но можно сделать так, чтобы она не дошла до сервера. Основные способы:

Защита на стороне хостера. Трафик проходит через фильтры дата-центра, которые отсекают мусорные пакеты ещё до вашего сервера. Хорошо справляется с объёмными атаками.
Прокси и CDN (например, Cloudflare). Посетители обращаются не к вашему серверу напрямую, а к сети провайдера, и она принимает удар на себя. Реальный IP сервера при этом скрыт.
WAF и фильтрация ботов. Проверяют, человек ли заходит на сайт, и останавливают атаки на уровне приложения.
Ограничение частоты запросов. Один IP не может отправить больше заданного числа запросов в секунду. Простая мера, которая спасает от небольших атак.
Запас мощности и кэш. Чем быстрее сайт отдаёт страницы, тем больше запросов он выдержит до падения.

Лучше всего работает сочетание: защита хостера от объёмных атак плюс прокси с WAF от атак на приложение.

Что делать, если сайт уже атакуют

Не платите вымогателям. Оплата не гарантирует, что атака прекратится, и показывает, что вас можно доить снова.
Сразу напишите в поддержку хостера. У него есть доступ к сетевым фильтрам и данным о трафике.
Подключите прокси-защиту, если её ещё нет, и включите режим усиленной проверки посетителей.
Предупредите клиентов в соцсетях или мессенджерах, что идут технические работы.
Сохраните логи и письма с угрозами. Они пригодятся для заявления в киберполицию.

Частые вопросы

Чем DDoS отличается от DoS?

DoS-атака идёт с одного источника, и её легко остановить блокировкой одного IP. DDoS — с тысяч устройств одновременно, поэтому нужна специальная защита.

Может ли DDoS украсть данные?

Сам по себе нет: его цель — сделать сайт недоступным. Но иногда атаку используют как отвлекающий манёвр, пока пытаются взломать что-то другое.

Сколько длится атака?

От нескольких минут до нескольких дней. Чаще всего атаки короткие, но повторяются, чтобы измотать владельца сайта.

Нужна ли защита небольшому сайту?

Да, если сайт приносит деньги. Базовая защита через прокси настраивается за час и часто бесплатна, а простой обойдётся намного дороже.