DDoS-атака: виды, принципы и защита¶

DDoS-атака (от англ. Distributed Denial of Service — распределённый отказ в обслуживании) — форма кибератаки, направленная на вывод из строя сервера, сети или веб-ресурса путём исчерпания их вычислительных ресурсов или каналов связи. В отличие от обычной DoS-атаки, DDoS-атака выполняется одновременно с множества распределённых устройств, что затрудняет блокировку источника трафика и делает атаку существенно мощнее.

¶Принцип действия

DDoS-атака основана на том, что любой сервер или сетевое устройство имеет ограниченные ресурсы: пропускную способность канала, объём оперативной памяти, количество одновременных соединений, процессорное время. Атакующий направляет на целевой узел поток запросов, который превышает эти ресурсы. В результате легитимные пользователи не могут получить доступ к сервису — сервер либо отвечает с недопустимой задержкой, либо полностью прекращает обслуживание.

Ключевой особенностью DDoS является использование множества скомпрометированных компьютеров (ботнета), часто без ведома их владельцев. Каждое устройство ботнета отправляет на цель лишь небольшой поток запросов, но суммарный объём трафика от тысяч и десятков тысяч устройств исчерпывает ресурсы жертвы.

¶Классификация

DDoS-атаки принято делить на три основные категории в зависимости от уровня атакуемого ресурса.

¶Атаки на канал связи (Network Layer)

Цель — перегрузить пропускную способность канала, подключённого к целевому серверу. К основным разновидностям относятся:

• UDP-флуд — отправка большого числа UDP-пакетов на случайные порты; сервер вынужден тратить ресурсы на проверку закрытых портов и отправку ICMP-ответов.
• ICMP-флуд (ping flood) — перегрузка канала пакетами эхо-запроса.
• SYN-флуд — эксплуатация механизма трёхстороннего рукопожатия TCP: атакующий отправляет множество SYN-запросов, не завершая соединение, в результате чего таблица ожидания соединений сервера переполняется.
• Амплификация (DNS/NTP/Memcached-флуд) — атакующий отправляет небольшие запросы с подменённым обратным адресом на открытые серверы (DNS, NTP, Memcached), которые затем отправляют крупные ответы уже на адрес жертвы. Коэффициент усиления может достигать десятков и сотен раз.

¶Атаки на уровень приложений (Application Layer)

Цель — исчерпать ресурсы веб-сервера или приложения. Такие атаки имитируют обычный пользовательский трафик, поэтому сложнее обнаруживаются. Типичный пример — HTTP-флуд, при котором атакующий генерирует огромное число HTTP-запросов к тяжёлым страницам или API-эндпоинтам. Разновидность — атаки с использованием POST-запросов с большими телами, перегружающими базу данных.

¶Атаки на состояние соединений (State Exhaustion)

Перегружаются таблицы состояния соединений на брандмауэрах, балансировщиках нагрузки и серверах. К этой категории относятся SYN-флуд и различные комбинированные атаки.

¶Ботнеты

Основу DDoS-атак составляют ботнеты — сети заражённых устройств, управляемых злоумышленником. Источниками ботнетов служат персональные компьютеры, серверы, IoT-устройства (камеры, маршрутизаторы, умные бытовые приборы). Крупнейшие известные ботнеты включали миллионы устройств. Распространённые семейства вредоносного ПО для создания ботнетов — Mirai, Qbot, Zeus. Особую опасность представляет Mirai, эксплуатирующий слабые пароли в IoT-устройствах: в 2016 году ботнет Mirai вызвал масштабные сбои в доступе к крупным интернет-ресурсам в США.

¶Масштаб атак

Пиковые мощности DDoS-атак стабильно растут. По данным отчётности крупных CDN-провайдеров, в 2020-х годах фиксировались атаки с пиковой интенсивностью свыше 3 Тбит/с. В России объектами DDoS-атак неоднократно становились банки, государственные сервисы, медиа и торговые площадки. По оценкам отечественных специалистов по информационной безопасности, в 2022–2023 годах число и мощность DDoS-атак на российские ресурсы заметно возросли, при этом значительная доля трафика приходилась на атаки прикладного уровня.

¶Мотивы

DDoS-атаки совершаются по различным причинам:

• Эксторшн — вымогательство денег за прекращение атаки.
• Конкурентная борьба — временное выведение из строя сайтов конкурентов.
• Хактивизм — атаки по идеологическим или политическим мотивам.
• Диверсия — сокрытие другой атаки или создание помех при киберинциденте.

¶Защита

Основные методы защиты от DDoS-атак:

• Фильтрация трафика на уровне сетевого оборудования (ACL, правила брандмауэра).
• CDN и анти-DDoS-сервисы — распределение трафика по множеству узлов и отсеивание вредоносных запросов в облачных сетях доставки контента.
• Rate limiting — ограничение числа запросов с одного адреса за единицу времени.
• Anycast-сеть — распределение входящего трафика по географически удалённым дата-центрам.
• Грейлистинг — временная блокировка подозрительных источников с проверкой их легитимности.

В России услуги по защите от DDoS-атак предоставляют как международные CDN-провайдеры, так и отечественные компании, включая подразделения крупных телеком-операторов. Специализированные центры мониторинга и реагирования (SOC) обеспечивают круглосуточное обнаружение аномального трафика.

¶Правовой аспект

В Российской Федерации DDoS-атаки квалифицируются как преступление. Статья 272 Уголовного кодекса РФ («Неправомерный доступ к компьютерной информации») предусматривает ответственность за неправомерный доступ, а статья 273 («Создание, использование и распространение вредоносных программ») — за создание и использование вредоносного ПО. За DDoS-атаки на критически важные объекты информационной инфраструктуры предусмотрено более строгое наказание. Практика правоохранительных органов включает возбуждение уголовных дел как в отношении организаторов атак, так и владельцев устройств, входивших в ботнет.