Как защититься от DDoS: рассказываем, что делать, даже если у вас нет ИБ-команды

Многие провайдеры связи и хостеры предоставляют заказчикам защиту от DDoS-атак на уровне сети (L3/L4): межсетевые экраны (firewalls), обнаружение вторжений (Intrusion Detection Systems), частные сети (VPN) и другие средства защиты от DDoS. Это считается гигиеническим минимумом, поэтому отказываться от такой защиты не стоит. 

Но важно понимать, что защиты от DDoS на уровне сети (L3/L4) мало. Нужна еще эффективная защита на уровне приложений (L7). Её можно построить самостоятельно на своейинфраструктуре или обратиться к специализированному облачному провайдеру.

Об этом мы с вами сегодня и поговорим. Разберемся:

➡️ какие есть варианты построения комплексной защиты от DDoS;
➡️ кому подойдет защита от DDoS-атак on-premise,
➡️ кому нужен облачный провайдер и на что обратить внимание, выбирая его;
➡️ кому стоит обратить внимание на гибридное решение.

В паре слов о том, почему DDoS-атаки опасны

DDoS-атака — это распределенная атака, во время которой большое количество ботов (ботнет) одновременно отправляет запросы на сервер. Они исчерпывают вычислительные ресурсы или пропускную способность каналов.

Основная цель злоумышленника — перегрузить запросами сервер и замедлить работу веб-приложения или сделать его недоступным для легитимных пользователей. Сайты «ддосят» по разным причинам, включая устранение конкурентов, месть, шантаж, вымогательство.

В 2023 году число российских компаний, столкнувшихся с DDoS, выросло на 40%.

Среди последствий DDoS-атак — потеря доходов, клиентов, бизнеса и не только. В зоне риска — все организации, где критически важен стабильно работающий веб-ресурс. Подробнее об этом мы рассказали в одном из наших предыдущих текстов.

Варианты построения комплексной защиты от DDoS

Волшебной таблетки от DDoS не существует. Самая эффективная технология защиты всегда подразумевает комплексный подход, который может быть реализован по-разному. Всё зависит от целей, особенностей и возможностей конкретной организации.

Есть три варианта, как защититься от DDoS: 

1. построить защиту на своей инфраструктуре своими силами,
   
2. обратиться к провайдеру, у которого есть эффективные инструменты защиты;
   
3. воспользоваться гибридным решением (разместить часть средств защиты на своих серверах и привлечь облачного провайдера на конкретные задачи).

Давайте разберемся, какой из этих трех подходов соответствует вашим потребностям. Сравнивать их будем по 4 основным параметрам: финансы, время внедрения, кадры и регуляторные ограничения. У каждого подхода выделим преимущества и недостатки.

Кому подойдет защита on-premise

Защита от DDoS-атак on-premise предполагает, что все средства защиты будут развернуты локально на ваших серверах и настройка, обслуживание, поддержка средств защиты будет лежать на плечах вашей ИБ-команды или системных администраторов.

Защита on-premise подходит компаниям:

➡️ где есть финансы на внедрение, регулярную поддержку и эксплуатацию средств защиты;
➡️ где есть время на продолжительную первоначальную настройку системы защиты;
➡️ которые могут пригласить в штат квалифицированных дорогостоящих ИБ-специалистов;
➡️ которые не могут использовать решения от провайдеров из-за регуляторных ограничений.

Преимущества защиты от DDoS-атак on-premise: 

• У вас полный контроль над средствами защиты от DDoS, вы можете настраивать и мониторить их в соответствии с потребностями компании.
  
• On-premise отвечает требованиям безопасности и соответствует многим регуляторным нормам.

Недостатки защиты от DDoS-атак on-premise:

• Приобретение и установка средств защиты на своей инфраструктуре — это дорого, особенно для малого бизнеса или организаций с ограниченным бюджетом.
  
• Средства защиты от DDoS нужно первоначально настроить и регулярно обслуживать, это сложно, поэтому без дорогостоящих ИБ-специалистов в штате не обойтись.
  
• Такое решение намного сложнее масштабировать — это может стать ограничением для компаний, которые стремительно растут.

Кому нужен облачный провайдер

Облачный провайдер предоставляет инфраструктуру, а также разрабатывает систему защиты от DDoS и обеспечивает интеграцию c вашим веб-приложением. Вы получаете набор инструментов, с помощью которого можете отслеживать трафик, устанавливать правила обработки запросов, блокировать атаки и не только. 

Облачные решения — конкурентное преимущество стремительно развивающихся компаний.

Защита от облачного провайдера подойдет тем компаниям:

➡️ где не хватает кадров, материальных средств или временных ресурсов для построения эффективной защиты на своих серверах; 
➡️ которые стремительно растут.

Преимущества облачной защиты от DDoS-атак: 

• Когда вы берете защиту у облачного провайдера, вы получаете не только стратегически важную инфраструктуру в облаке и личный кабинет, но и клиентский сервис. С вами будет работать специализированная команда, которая уже наработала опыт на множестве подобных проектов.
  
• Облачные решения позволяют быстро масштабироваться в соответствии с потребностями бизнеса, что делает их идеальными для компаний, которые быстро развиваются.
  
• Средства защиты от DDoS в облаке имеют более низкие первоначальные затраты, так как вы покупаете услугу у провайдера.
  
• Некоторые облачные провайдеры предлагают мониторинг и поддержку в режиме 24/7, обеспечивая круглосуточную защиту вашего бизнеса от DDoS.
  

Недостатки облачной защиты от DDoS-атак:

• Не все регуляторы разрешают использовать облачные решения, так как данные хранятся и обрабатываются за пределами вашей инфраструктуры. К сожалению, трансформация стандартов безопасности отстает по скорости от появления технологий. Многие регламенты всё еще не учитывают наличие облачных сервисов и прописывают использование конкретных архитектурных решений, обращаясь при этом к технологиям «вчерашнего дня».

• И еще один важный пункт — не всем облачным провайдерам можно доверять. Подрядчика надо выбирать, тщательно анализируя условия SLA (Service Level Agreement, соглашение об уровне сервиса), философию работы, репутацию и операционный опыт компании.

Давайте разберемся, на что конкретно надо обратить внимание при заключении договора с облачным провайдером.

➡️ Важно внимательно читать и обсуждать с провайдерами положения SLA, согласно которому они несут ответственность, если не выполняют условия договора.

«К примеру, в NGENIX есть различные уровни SLA на доступность. Для клиента это как страховка — неважно, какого объема атаки, мы защитим веб-приложение клиента, так как взяли на себя такие обязательства. Мы отвечаем за корректность настроек, которые в результате призваны не допустить того, чтобы сайт перестал работать. Мы не биллим трафик атаки. Мы смотрим за метриками нашей системы AntiDDoS и удостоверяемся, что она корректно отрабатывает»,

— уточнил руководитель отдела клиентских решений NGENIX, Антон Апряткин.

➡️ Важно понимать, какая философия работы у провайдера — он должен работать совместно с заказчиком, фиксируя аномалии и определяя их легитимность. Нельзя бездумно блокировать все всплески трафика. 

Например, чтобы эффективно бороться с ложноположительными и ложноотрицательными срабатываниями средств защиты, без помощи заказчика не обойтись. Провайдер отслеживает аномалии и блокирует их, но только заказчик может подсказать, что действительно является аномалией, а что нет. Это уже ответственность заказчика, который следит за своим трафиком и помогает провайдеру размечать ложно-положительные срабатывания. 

Представьте, что у вашей компании крупное акционное событие. Оно может вызвать резкий всплеск трафика, который будет аномалией. Провайдер ни в коем случае не должен блокировать аномалию в таком случае, ведь это легитимные пользователи и блокировка навредит вашему бизнесу. Резкий рост трафика не является причиной для того, чтобы все и сразу блокировать — нужно понять, почему вырос трафик.

«У нас в NGENIX метод принятия решений такой: мы анализируем трафик, раскладываем на метрики, присваиваем степень аномальности, а уже потом принимаем подходящие митигирующие меры»,

— рассказал руководитель отдела клиентских решений NGENIX, Антон Апряткин.

Кому стоит задуматься о гибридном решении

Гибридная защита от DDoS-атак сочетает в себе преимущества on-premise и облачных решений.

Этот подход предполагает частичную установку средств для защиты от DDoS-атак на вашей инфраструктуре и дополнительное использование услуг облачного провайдера для дополнения и усиления этой защиты.

Гибридная защита от DDoS-атак подойдет компаниям:

➡️ которые подчиняются более строгим регуляторным требованиям и не могут в полной мере использовать облачные решения,
➡️ имеют свое инфраструктуру, необходимую для защиты от DDoS, но хотят пользоваться услугами облачного провайдера для дополнительной защиты,
➡️ у кого в штате не хватает ИБ-cпециалистов для полноценного обеспечения защиты.

Преимущества гибридной защиты от DDoS-атак: 

• Гибридные решения могут быть полностью адаптированы к потребностям вашего бизнеса, что позволяет выстраивать оптимальную систему защиты.
   
• Гибридное решение идеально подойдет компаниям, которые не могут выстроить всю защиту от DDoS на своей инфраструктуре, потому что это долго и дорого, но и полностью использовать облачное решение также не могут из-за регуляторных требований. Такое решение позволяет архитектурно разделить веб-приложение, чтобы можно было хранить критически важные данные на серверах внутри своей инфраструктуры, а остальное в облаке — не нарушая требований регуляторов. 

Недостатки гибридной защиты от DDoS-атак: 

• Гибридные решения более сложные в настройке, управлении и обслуживании, и требуют более высокого уровня технических знаний.
   
• Гибридные решения бывают более дорогими, поскольку необходимо приобрести и установить оборудование внутри своей инфраструктуры и при этом оплатить услуги облачного провайдера.
  

Таким образом, есть три разных варианта построения комплексной защиты от DDoS. Выбор модели защиты от DDoS-атак зависит от конкретных потребностей и ресурсов компании.

➡️ Решение on-premise дает возможность полностью контролировать средства защиты от DDoS, однако оно может быть очень дорогим и требовать значительных человеческих и финансовых ресурсов для обслуживания.

➡️ Облачное решение обеспечивает доступность ресурсов, масштабируемость, клиентский сервис, но может иметь ограничения, связанные с требованиями регуляторов.

➡️ Гибридное решение комбинирует преимущества on-premise и облачных решений, обеспечивая гибкость и масштабируемость, а также соответствует требованиям многих регуляторов.