Методы защиты от DDoS
Борьба с DDoS начинается с осознания того факта, что работа вашего сервера
нарушена большим количеством запросов. Однако перед принятием защитных мер
нужно убедиться, что это действительно атака, а не простой наплыв легальных
посетителей, переходящих на ваш сайт с какого-нибудь популярного ресурса.
Отличить такой наплыв пользователей от атаки можно путем просмотра статистики
web-сервера на предмет поля Referer (источник ссылки при переходе). Если
большинство запросов содержат в этом поле один и тот же адрес, и это адрес
публичного ресурса, то значит мы имеем дело именно с наплывом посетителей, а не
с атакой. Тот же самый вывод можно сделать если источником ссылок на ваш сайт
является поисковая система с однотипными запросами (текст поискового запроса
также является частью ссылки, с которой произведен переход).
Что делать в такой ситуации - каждый в праве решать самостоятельно. Конечно
же наилучшим выбором было бы увеличить мощность сервера или оптимизировать
сайт (в первую очередь нужно создать все необходимые индексы в БД). Однако как
крайний вариант, можно просто изменением конфигурации сервера, запретить
запросы, которые идут с провоцирующего сайта.
Если статистика сервера показывает разные источники ссылок, либо не
показывает их вовсе, то значит это атака. В этом случае вам нужно начинать
защиту немедленно.
Способов проведения атаки может быть два: атака на доменное имя и атака на
IP-адрес сервера. Отличаются они тем, что в первом случае узлы ботсети, как и
обычные пользователи, сначала запрашивают у сервера доменных имен доменное имя
вашего сайта (например, www.site.com), и получив от него IP-адрес сервера,
приступают к генерации запросов.
Во втором же случае запросы идут сразу на числовой IP-адрес вашего сервера
(например, 192.168.55.81), полученный организатором при составлении задания на
атаку.
При первом способе атаки, изменение настроек доменного имени приведет и к
изменению отдаваемого сервером доменных имен IP-адреса, а значит и изменению
цели атаки. При втором способе изменение этих настроек ничего не изменят и
атака будет продолжать идти на заказанный организатором адрес.
Очевидно, что перенос сайта на другое доменное имя в первом случае и перенос
его на другой сервер с другим IP-адресом во втором, приведут к полной
неэффективности атаки, которая просто будет "бить" мимо цели. Однако первый
вариант как правило неприемлем по причине неизвестности альтернативного адреса
сайта для большей части аудитории, второй же вариант требует значительных
затрат сил и времени для переноса сайта на другой сервер. При этом нужно
понимать и то, что организаторы атаки будут периодически проверять
работоспособность атакуемого сайта и переносить атаку на новые адреса по мере
их изменения.
Поэтому наиболее эффективным методом борьбы будет фильтрация трафика
сторонним оборудованием перед подачей его вашему серверу. Для того чтобы
фильтрация стала возможной, сначала нужно по возможности перенаправить весь ваш
трафик на адрес защитного сервера. Чтобы достичь этого, необходимо изменить
настройки вашего доменного имени так, чтобы оно указывало на IP-адрес защитного
сервера. В этом случае все запросы, которые делаются с использованием
доменного имени, будут поступать на защитный сервер, который в свою очередь,
очистив трафик от паразитных запросов, передаст его вашему серверу.
Таким образом достигается переброс и подавление атаки, осуществляемой на
доменное имя. Если же атака осуществляется прямо на IP-адрес вашего сервера, то
все запросы будут продолжать идти на ваш сервер и эффективность атаки не
изменится. Для предотвращения такого варианта, кроме изменения настроек
доменного имени, нужно также изменить настройки самого сервера с целью запрета
всех запросов, которые идут не с IP-адреса защитного сервера. После этого
запросы, поступающие от ботнета, будут относительно безвредными и даже если
организатор сформирует новое задание для атаки на новый IP-адрес, это будет
адрес защитного сервера.
Эффективность таких мероприятий объясняется тем, что после изменения
настроек доменного имени, все легальные запросы от простых пользователей пойдут
на новый IP-адрес (адрес защитного сервера). Ведь сегодня никто не использует
для захода на сайт числовые IP-адреса, все пользователи вводят в адресную
строку браузера именно доменное имя вашего сайта. Значит их запросы будут
отправлены именно на защитный сервер и к вам будут приходить исключительно с
адреса этого сервера. Таким образом, все запросы, пришедшие с других адресов,
заведомо являются паразитными и их нужно просто игнорировать.
Игнорировать такие запросы можно на разных уровнях: на уровне скриптов,
web-сервера или же на уровне системы (firewall). И хоть настроить игнорирование
на уровне скриптов или web-сервера немного проще, крайне рекомендуется
настроить подавление таких запросов на уровне системы по той причине, что в
этом случае нагрузка от них будет минимизирована до теоретического предела.
Комбинация двух вышеописанных мер (изменение IP-адреса, связанного с вашим
доменным именем и запрет всех запросов, пришедших не с защитного сервера)
позволяет эффективно бороться с атакой. Однако у данного метода есть одно
ограничение. Вась комплекс необходимых мер возможен только в том случае, если
ваш сайт находится на отдельном сервере (физическом или виртуальном), а не
разделяет один сервер с сайтами других пользователей.
Большинство дешевых тарифных планов у хостинг-провайдеров на самом деле
дают возможность размещения сайта на одном сервере с десятками и сотнями
других страничек, созданных другими клиентами. В этом случае у администратора
одного из таких сайтов просто нет возможности изменять настройки сервера (ведь
эти изменения повлияют на множество других сайтов), а значит и нет возможности
запретить обращения с разных IP-адресов.
Таким образом, если атака производится на IP-адрес такого сервера, то
фильтрация трафика оказывается невозможной, а если по доменному имени, то хоть
защита и оказывается эффективной, злоумышленники могут перенести ее на IP-адрес
и сайт снова будет выведен из строя без возможности что-либо изменить. Стоит
заметить, что в этом случае заодно будет парализована работа и всех остальных
сайтов, размещенных на данном сервере, поэтому перед тем как поднимать тревогу,
нужно узнать у администратора хостинг-провайдера, на ваш ли вообще сайт идет
атака?
|
|
Что такое DDoS? » Методы защиты от DDoS » Инструкция по настройке сайта для защиты от DDoS атаки » Инструкция по настройке сервера для защиты от DDoS атаки » Инструкция по работе в панели управления ProtectLab » Статусы для сайтов в панели управления ProtectLab » Ddos атака: причины возникновения » Качественная защита от DDoS атак » Методы ослабления ддос атаки » Кому необходима защита от DDoS атак? » DDoS — виртуальный терроризм » DDoS-атаки на DNS-сервера » |
