Как защитить сайт от DDoS-атак малого и среднего бизнеса

Современная DDoS-атака насыщает канал связи, перегружает пограничный маршрутизатор или заставляет веб-сервер долго обрабатывать искусственные запросы. Цель злоумышленника — сделать корпоративный сайт, интернет-магазин или клиентский портал недоступным в нужный момент. Даже если база данных и файлы не повреждены, потеря доступности удаляет заказы, снижает доверие и оставляет следы в поисковой выдаче.

Защита сайта от DDoS-атак начинается с выявления доступных извне узлов и выбора допустимого простоя. Малому и среднему бизнесу обычно не нужна собственная система обороны уровня оператора связи, но необходим набор базовых уровней: резервный канал или CDN, фильтрация трафика, ограничение частоты запросов, защита административной части и заранее описанная реакция на инцидент. Важно сочетать сетевые меры с нагрузочным тестированием: настроенный, но непроверенный фильтр во время реального потока может ошибочно заблокировать легитимных посетителей или остановить оплату заказа.

Масштаб угрозы и уязвимые места

DDoS бывает транспортной, сетевой и прикладной. В первом случае ботнет отправляет огромный объём данных, во втором — истощает таблицы состояний или обработчики протоколов, в третьем — имитирует обычные обращения к страницам, API и поиску. Последний вариант опасен для интернет-магазина: десятки тысяч внешне корректных запросов способны занять процессы PHP, Node.js или .NET сильнее, чем позволяет мощность сервера.

До выбора защиты нужно составить карту цифровых активов: основной домен, субдомены, API, мобильное приложение, почтовый и корпоративный сервисы. Для каждого элемента указываются IP-адрес или архитектура обработки, владелец, провайдер, критичность и допустимое время простоя. Отдельного внимания заслуживают забытые тестовые домены и старые серверы: их открытые порты и устаревшее программное обеспечение часто становятся слабым звеном.

Не каждое падение является атакой. Проверяйте рост трафика, количество одновременных соединений, ответы 5xx, загрузку процессора и ошибки платёжного шлюза. Сравнивайте показатели с обычной нагрузкой и бизнес-периодами: флеш-распродажа, запуск рекламы или массовая рассылка тоже меняют график. Полезно заранее определить пороговые значения, после которых команда получает уведомление и переходит к предусмотренному сценарию.

Защита сетевого контура и инфраструктуры

Основная защита начинается перед исходным сервером. CDN распределяет статическое и хорошо кешируемое содержимое между узлами, поэтому исходный IP-адрес перестаёт получать основную волну запросов. Для динамических страниц, кабинета пользователя и API применяют облачную очистку трафика, а в сложных проектах — Anycast и выделенную пропускную способность. Эти механизмы работают вместе: кеширование снижает нагрузку, а фильтр поглощает вредоносный поток.

После подключения промежуточного слоя межсетевой экран исходного сервера должен принимать трафик только с IP-адресов CDN и доверенных служебных узлов. Широкий открытый порт 80 или 443 обходит всю схему: злоумышленник может напрямую атаковать приложение. Однако правила нужно проверять с платёжными системами, форумами, API и внутренним мониторингом, иначе фильтр легко отрежет легитимные интеграции. Записи о заблокированных запросах полезны для настройки порогов.

На уровне приложения ограничивают число запросов к единичному IP-адресу, размер тела запроса, длительность соединения и количество параллельных операций. Межсетевой экран уровня приложений, или WAF, проверяет сигнатуры известных атак, подозрительные параметры и всплески одинаковых действий. CAPTCHA, проверка токенов и временная блокировка помогают против ботов, но не против объёмного потока. Если телеметрия и код мониторинга написаны на C#, полезно сверить журналирование, счётчики и обработку ошибок с материалами по C#.

Минимальный набор мер для сайта

Защита строится с учётом бюджета и простоя, который компания способна допустить. Ниже расположен минимальный набор для сайта, который принимает заказы, работает с клиентами или поддерживает деловую репутацию. Он не заменяет специалиста по безопасности, но создаёт управляемую базу.

Технические меры безопасности

• Собрать актуальную карту доменов, IP-адресов, портов, API и внешних интеграций.
• Разместить сайт за CDN или сервисом очистки DDoS-трафика и скрыть исходный адрес.
• Настроить WAF, лимиты скорости, тайм-ауты и проверку критичных форм.
• Ограничить админку по IP-адресу или VPN, включить многофакторную аутентификацию и отозвать лишние учётные записи.
• Связать оповещения с журналами сети, приложения, CDN и системы мониторинга.

Организационная подготовка

• Определить владельца сайта, хостинга, домена, платёжной системы и дежурного специалиста.
• Зафиксировать контакты провайдера, сроки обработки заявки и условия снятия лимитов.
• Подготовить короткий план действий при недоступности сервиса и замене текста на статическую страницу.
• Проверять резервные копии отдельно от DDoS: их доступность и целостность должны сохраняться без основного сайта.
• Проводить нагрузочный тест в изолированной среде и учебный инцидент, не направляя опасный трафик в чужие сети.

Каждый пункт имеет ответственного и дату проверки. Например, настроенный лимит в 100 запросов в секунду нельзя переносить между посадочной страницей, API и корпоративным порталом: допустимая интенсивность у них различается. Учебная проверка должна доказать, что панель администратора остаётся доступной с защищённого маршрута, а пользователи видят понятное сообщение, если основной сервис временно недоступен.

Хостинг, домен и внешние сервисы

При выборе хостинга важны не только цена и объём диска. Нужно уточнить, есть ли очистка трафика на границе сети, какой порог запускается автоматически, сколько журналов хранится и можно ли временно вывести отдельный домен на статическую страницу. Для проекта с пиковой нагрузкой разумно иметь резервную площадку или второй канал. Наличие запасного IP-адреса без настроенной маршрутизации само по себе не создаёт отказоустойчивости.

Панель управления, DNS и API мониторинга должны быть доступны только по защищённому маршруту. Двухфакторная аутентификация и контроль входа уменьшают риск захвата инфраструктуры, которая затем используется для новых атак или рассылки вредоносного кода. У регистратора домена полезно включить защиту изменения DNS и блокировку переноса. DNSSEC помогает предотвратить подмену DNS-ответов, но не остановит перегрузку канала; распределённый поток лучше снимать у CDN и вышестоящего провайдера.

Если команда не управляет сетью самостоятельно, внешний подрядчик способен закрыть сразу несколько пробелов: убрать незащищённые порты, подобрать фильтр, настроить мониторинг и подготовить инструкции. Подобную работу можно поручить команде Clickweb, согласовав с подрядчиком зону ответственности и измеримый результат. Важно проверять доступ к домену, учётным записям и журналам: при внезапной блокировке компания должна сохранять возможность безопасно восстановить сервис.

Мониторинг и действия при атаке

Мониторинг должен сравнивать не только суммарный трафик, но и его структуру: новые источники, географию, user-agent, URL, длительность сессий, долю ошибок и скорость обработки платежей. Полезный порог привязан к нормальному диапазону и запускает автоматическое действие — усиление фильтра, блокировку части правил или переключение на резервную страницу. Один высокий график без контекста редко позволяет отличить рекламную кампанию, переход по объявлению и внешний сборщик данных.

Во время инцидента команда действует по заранее записанной последовательности: подтверждает аномалию, определяет слой и источник перегрузки, сохраняет журналы, уведомляет хостинг и CDN, применяет согласованные лимиты и информирует клиентов. Не следует отключать и срочно запускать сервер без диагностики: это уничтожает часть данных и часто продлевает простой. Ответы через кеш и статическая витрина позволяют продолжать продажи или приём обращений, пока основная инфраструктура восстанавливается.

После восстановления проводят разбор без поиска виновного: какие сигналы пришли поздно, какие правила фильтра давали ложные срабатывания и как быстро сработала коммуникация. Затем параметры меняют осторожно, чтобы блокировка не портила SEO и повторную оплату. Регулярная проверка сочетания мониторинга, лимитов, резервной инфраструктуры и круглосуточной связи превращает защиту сайта в рабочий процесс, а не временную меру, которой занимаются только во время тревоги.