Каталог DDoS-защиты: услуги, уровни атак и настройка

Как разложен каталог DDoS-защиты

Защита от DDoS различается по трём вещам: где стоит фильтр, какие типы атак он разбирает и кто его настраивает. Часть провайдеров включает очистку трафика в тариф, часть продаёт её отдельной услугой, а часть оставляет фильтрацию на стороне клиента. Начать разбор удобно с подборки методов и уровней защиты, где описано, чем объёмные атаки на канал отличаются от прикладных. В разделе 35 провайдеров, и одно и то же имя встречается сразу в нескольких срезах — условия у провайдера обычно различаются по тарифам, а не по факту наличия защиты.

Формат услуги: в тарифе или отдельно

Базовая очистка от простых атак часто идёт по умолчанию — такие предложения собраны в бесплатной защите: порог срабатывания там невысокий, но от массового мусора она отсекает. Когда фильтрация нужна как управляемый сервис с порогами, отчётами и поддержкой, смотрят защиту от DDoS как услугу. Вариант без отдельного подключения — хостинг с защитой на стороне провайдера, где трафик чистится до входа в дата-центр. Отдельным срезом вынесено предложение Timeweb — по нему часто сверяют условия остальных.

Что именно защищаем

Объект защиты определяет схему подключения. Для веб-проекта достаточно проксирования домена — это защита сайта от атак, где фильтр разбирает HTTP-запросы и отделяет ботов от посетителей. Если под ударом не один домен, а вся инфраструктура с почтой, API и служебными портами, нужна защита сети целиком с анонсом подсети через центр очистки. Игровые проекты стоят особняком из-за UDP и чувствительности к задержке — под них есть защита серверов Minecraft, где обычное веб-проксирование не подходит и трафик заводят через игровой прокси.

Уровень атаки

Атаки на канал сбивают связь объёмом пакетов, и от них помогает широкая полоса на стороне провайдера. Сложнее прикладной уровень: запросы выглядят как обычные обращения к сайту, нагружая базу и бэкенд при небольшом трафике. Такие сценарии разбирает защита на уровне L7 — с анализом поведения, лимитами на сессию и проверкой клиента. Ось выбора видна по симптомам: если график входящего трафика ровный, а сервер отвечает всё медленнее и упирается в базу, речь про прикладной уровень; если канал забит и недоступен даже статичный файл — про объёмный.

Настройка своими силами

Часть работы делается на своей стороне и не заменяет внешнюю очистку, но снимает мелкие атаки и ошибочную нагрузку. Общий порядок действий — лимиты соединений, списки доступа, разбор логов — собран в настройке защиты. Для веб-сервера практика описана в фильтрации на Nginx: ограничение частоты запросов, размер тела и таймауты. На сетевом периметре ту же роль играют правила на Mikrotik — отсечение аномальных пакетов до того, как они дойдут до приложения. Такой набор разумно держать включённым постоянно, а внешний центр очистки подключать под реальный профиль угроз.