Как защититься от DDoS: рассказываем, что делать, даже если у вас нет ИБ-команды
Многие провайдеры связи и хостеры предоставляют заказчикам защиту от DDoS-атак на уровне сети (L3/L4): межсетевые экраны (firewalls), обнаружение вторжений (Intrusion Detection Systems), частные сети (VPN) и другие средства защиты от DDoS. Это считается гигиеническим минимумом, поэтому отказываться от такой защиты не стоит.
Но важно понимать, что защиты от DDoS на уровне сети (L3/L4) мало. Нужна еще эффективная защита на уровне приложений (L7). Её можно построить самостоятельно на своейинфраструктуре или обратиться к специализированному облачному провайдеру.
Об этом мы с вами сегодня и поговорим. Разберемся:
➡️ какие есть варианты построения комплексной защиты от DDoS;
➡️ кому подойдет защита от DDoS-атак on-premise,
➡️ кому нужен облачный провайдер и на что обратить внимание, выбирая его;
➡️ кому стоит обратить внимание на гибридное решение.
В паре слов о том, почему DDoS-атаки опасны
DDoS-атака — это распределенная атака, во время которой большое количество ботов (ботнет) одновременно отправляет запросы на сервер. Они исчерпывают вычислительные ресурсы или пропускную способность каналов.
Основная цель злоумышленника — перегрузить запросами сервер и замедлить работу веб-приложения или сделать его недоступным для легитимных пользователей. Сайты «ддосят» по разным причинам, включая устранение конкурентов, месть, шантаж, вымогательство.
В 2023 году число российских компаний, столкнувшихся с DDoS, выросло на 40%.
Среди последствий DDoS-атак — потеря доходов, клиентов, бизнеса и не только. В зоне риска — все организации, где критически важен стабильно работающий веб-ресурс. Подробнее об этом мы рассказали в одном из наших предыдущих текстов.
Варианты построения комплексной защиты от DDoS
Волшебной таблетки от DDoS не существует. Самая эффективная технология защиты всегда подразумевает комплексный подход, который может быть реализован по-разному. Всё зависит от целей, особенностей и возможностей конкретной организации.
Есть три варианта, как защититься от DDoS:
- построить защиту на своей инфраструктуре своими силами,
- обратиться к провайдеру, у которого есть эффективные инструменты защиты;
- воспользоваться гибридным решением (разместить часть средств защиты на своих серверах и привлечь облачного провайдера на конкретные задачи).
Давайте разберемся, какой из этих трех подходов соответствует вашим потребностям. Сравнивать их будем по 4 основным параметрам: финансы, время внедрения, кадры и регуляторные ограничения. У каждого подхода выделим преимущества и недостатки.
Кому подойдет защита on-premise
Защита от DDoS-атак on-premise предполагает, что все средства защиты будут развернуты локально на ваших серверах и настройка, обслуживание, поддержка средств защиты будет лежать на плечах вашей ИБ-команды или системных администраторов.
Защита on-premise подходит компаниям:
➡️ где есть финансы на внедрение, регулярную поддержку и эксплуатацию средств защиты;
➡️ где есть время на продолжительную первоначальную настройку системы защиты;
➡️ которые могут пригласить в штат квалифицированных дорогостоящих ИБ-специалистов;
➡️ которые не могут использовать решения от провайдеров из-за регуляторных ограничений.
Преимущества защиты от DDoS-атак on-premise:
- У вас полный контроль над средствами защиты от DDoS, вы можете настраивать и мониторить их в соответствии с потребностями компании.
- On-premise отвечает требованиям безопасности и соответствует многим регуляторным нормам.
Недостатки защиты от DDoS-атак on-premise:
- Приобретение и установка средств защиты на своей инфраструктуре — это дорого, особенно для малого бизнеса или организаций с ограниченным бюджетом.
- Средства защиты от DDoS нужно первоначально настроить и регулярно обслуживать, это сложно, поэтому без дорогостоящих ИБ-специалистов в штате не обойтись.
- Такое решение намного сложнее масштабировать — это может стать ограничением для компаний, которые стремительно растут.
Кому нужен облачный провайдер
Облачный провайдер предоставляет инфраструктуру, а также разрабатывает систему защиты от DDoS и обеспечивает интеграцию c вашим веб-приложением. Вы получаете набор инструментов, с помощью которого можете отслеживать трафик, устанавливать правила обработки запросов, блокировать атаки и не только.
Облачные решения — конкурентное преимущество стремительно развивающихся компаний.
Защита от облачного провайдера подойдет тем компаниям:
➡️ где не хватает кадров, материальных средств или временных ресурсов для построения эффективной защиты на своих серверах;
➡️ которые стремительно растут.
Преимущества облачной защиты от DDoS-атак:
- Когда вы берете защиту у облачного провайдера, вы получаете не только стратегически важную инфраструктуру в облаке и личный кабинет, но и клиентский сервис. С вами будет работать специализированная команда, которая уже наработала опыт на множестве подобных проектов.
- Облачные решения позволяют быстро масштабироваться в соответствии с потребностями бизнеса, что делает их идеальными для компаний, которые быстро развиваются.
- Средства защиты от DDoS в облаке имеют более низкие первоначальные затраты, так как вы покупаете услугу у провайдера.
- Некоторые облачные провайдеры предлагают мониторинг и поддержку в режиме 24/7, обеспечивая круглосуточную защиту вашего бизнеса от DDoS.
Недостатки облачной защиты от DDoS-атак:
- Не все регуляторы разрешают использовать облачные решения, так как данные хранятся и обрабатываются за пределами вашей инфраструктуры. К сожалению, трансформация стандартов безопасности отстает по скорости от появления технологий. Многие регламенты всё еще не учитывают наличие облачных сервисов и прописывают использование конкретных архитектурных решений, обращаясь при этом к технологиям «вчерашнего дня».
- И еще один важный пункт — не всем облачным провайдерам можно доверять. Подрядчика надо выбирать, тщательно анализируя условия SLA (Service Level Agreement, соглашение об уровне сервиса), философию работы, репутацию и операционный опыт компании.
Давайте разберемся, на что конкретно надо обратить внимание при заключении договора с облачным провайдером.
➡️ Важно внимательно читать и обсуждать с провайдерами положения SLA, согласно которому они несут ответственность, если не выполняют условия договора.
«К примеру, в NGENIX есть различные уровни SLA на доступность. Для клиента это как страховка — неважно, какого объема атаки, мы защитим веб-приложение клиента, так как взяли на себя такие обязательства. Мы отвечаем за корректность настроек, которые в результате призваны не допустить того, чтобы сайт перестал работать. Мы не биллим трафик атаки. Мы смотрим за метриками нашей системы AntiDDoS и удостоверяемся, что она корректно отрабатывает»,
— уточнил руководитель отдела клиентских решений NGENIX, Антон Апряткин.
➡️ Важно понимать, какая философия работы у провайдера — он должен работать совместно с заказчиком, фиксируя аномалии и определяя их легитимность. Нельзя бездумно блокировать все всплески трафика.
Например, чтобы эффективно бороться с ложноположительными и ложноотрицательными срабатываниями средств защиты, без помощи заказчика не обойтись. Провайдер отслеживает аномалии и блокирует их, но только заказчик может подсказать, что действительно является аномалией, а что нет. Это уже ответственность заказчика, который следит за своим трафиком и помогает провайдеру размечать ложно-положительные срабатывания.
Представьте, что у вашей компании крупное акционное событие. Оно может вызвать резкий всплеск трафика, который будет аномалией. Провайдер ни в коем случае не должен блокировать аномалию в таком случае, ведь это легитимные пользователи и блокировка навредит вашему бизнесу. Резкий рост трафика не является причиной для того, чтобы все и сразу блокировать — нужно понять, почему вырос трафик.
«У нас в NGENIX метод принятия решений такой: мы анализируем трафик, раскладываем на метрики, присваиваем степень аномальности, а уже потом принимаем подходящие митигирующие меры»,
— рассказал руководитель отдела клиентских решений NGENIX, Антон Апряткин.
Кому стоит задуматься о гибридном решении
Гибридная защита от DDoS-атак сочетает в себе преимущества on-premise и облачных решений.
Этот подход предполагает частичную установку средств для защиты от DDoS-атак на вашей инфраструктуре и дополнительное использование услуг облачного провайдера для дополнения и усиления этой защиты.
Гибридная защита от DDoS-атак подойдет компаниям:
➡️ которые подчиняются более строгим регуляторным требованиям и не могут в полной мере использовать облачные решения,
➡️ имеют свое инфраструктуру, необходимую для защиты от DDoS, но хотят пользоваться услугами облачного провайдера для дополнительной защиты,
➡️ у кого в штате не хватает ИБ-cпециалистов для полноценного обеспечения защиты.
Преимущества гибридной защиты от DDoS-атак:
- Гибридные решения могут быть полностью адаптированы к потребностям вашего бизнеса, что позволяет выстраивать оптимальную систему защиты.
- Гибридное решение идеально подойдет компаниям, которые не могут выстроить всю защиту от DDoS на своей инфраструктуре, потому что это долго и дорого, но и полностью использовать облачное решение также не могут из-за регуляторных требований. Такое решение позволяет архитектурно разделить веб-приложение, чтобы можно было хранить критически важные данные на серверах внутри своей инфраструктуры, а остальное в облаке — не нарушая требований регуляторов.
Недостатки гибридной защиты от DDoS-атак:
- Гибридные решения более сложные в настройке, управлении и обслуживании, и требуют более высокого уровня технических знаний.
- Гибридные решения бывают более дорогими, поскольку необходимо приобрести и установить оборудование внутри своей инфраструктуры и при этом оплатить услуги облачного провайдера.
Таким образом, есть три разных варианта построения комплексной защиты от DDoS. Выбор модели защиты от DDoS-атак зависит от конкретных потребностей и ресурсов компании.
➡️ Решение on-premise дает возможность полностью контролировать средства защиты от DDoS, однако оно может быть очень дорогим и требовать значительных человеческих и финансовых ресурсов для обслуживания.
➡️ Облачное решение обеспечивает доступность ресурсов, масштабируемость, клиентский сервис, но может иметь ограничения, связанные с требованиями регуляторов.
➡️ Гибридное решение комбинирует преимущества on-premise и облачных решений, обеспечивая гибкость и масштабируемость, а также соответствует требованиям многих регуляторов.