Co to jest DDoS?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: DDoS to atak, który ma przeciążyć stronę, serwer lub inną usługę internetową ruchem pochodzącym z wielu źródeł, aby utrudnić albo uniemożliwić korzystanie z niej. Nie musi oznaczać włamania ani kradzieży danych — jego głównym celem jest niedostępność usługi. Ochrona polega na rozpoznawaniu i odfiltrowywaniu szkodliwego ruchu, najlepiej zanim dotrze on do przeciążonej infrastruktury.
Na czym polega atak DDoS?
DDoS to skrót od Distributed Denial of Service, czyli rozproszonej odmowy usługi. Serwer ma ograniczoną przepustowość łącza, moc obliczeniową i liczbę połączeń, które może obsługiwać jednocześnie. Atakujący próbuje wyczerpać przynajmniej jeden z tych zasobów, przez co prawdziwi użytkownicy dostają błędy, czekają na odpowiedź lub nie mogą się połączyć.
Można to porównać do sklepu, którego wejście i kasy blokuje tłum osób niezamierzających niczego kupić. Sklep nadal istnieje, ale zwykły klient nie może sprawnie zrobić zakupów. W internecie blokada może dotyczyć zarówno pojedynczej strony, jak i serwera gry, poczty czy infrastruktury operatora.
Słowo „rozproszony” oznacza, że atak wykorzystuje wiele źródeł ruchu. Często służy do tego botnet — sieć urządzeń przejętych przez przestępców, na przykład komputerów, routerów i kamer. Atak może też wykorzystywać zewnętrzne serwery, które zostają nakłonione do wysyłania odpowiedzi pod adres ofiary. Nie każde urządzenie uczestniczące w takim ruchu musi więc być zainfekowane.
DoS to szersza nazwa ataków powodujących odmowę usługi; DDoS jest ich rozproszoną odmianą. Zablokowanie jednego adresu IP, czyli adresu urządzenia lub punktu sieciowego, zwykle nie wystarcza do zatrzymania ataku z wielu źródeł.
Co dokładnie może zostać przeciążone?
Nie każdy DDoS polega po prostu na przesłaniu ogromnej ilości danych. Najczęściej rozróżnia się trzy rodzaje ataków:
- Ataki wolumetryczne zapychają łącze dużą ilością ruchu. Nawet wydajny serwer nie pomoże, jeśli prawidłowe połączenia nie mogą do niego dotrzeć.
- Ataki na mechanizmy sieciowe wyczerpują zasoby potrzebne do obsługi połączeń, na przykład w serwerze lub urządzeniu zabezpieczającym sieć.
- Ataki na aplikację obciążają konkretne funkcje strony, takie jak wyszukiwarka produktów czy generowanie raportów. Mogą przypominać zwykłe wizyty i nie wymagają równie dużej przepustowości.
Przykładowo sklep internetowy może szybko wyświetlać gotowe zdjęcia, ale znacznie wolniej obsługiwać skomplikowane wyszukiwanie w katalogu. Masowe wywoływanie takiej funkcji może przeciążyć bazę danych, choć samo łącze pozostanie niewykorzystane. Dlatego ochronę trzeba dobierać do zasobu, który faktycznie staje się wąskim gardłem.
Jak odróżnić DDoS od awarii lub dużego zainteresowania?
Powolna strona nie jest dowodem ataku. Podobne objawy mogą wywołać udana kampania reklamowa, błąd aplikacji, problemy z bazą danych albo awaria hostingu. Podejrzenie DDoS wzmacniają dopiero dodatkowe sygnały: nietypowy wzrost liczby połączeń, powtarzalne żądania do jednej funkcji czy alerty od dostawcy ochrony.
Sprawdź monitoring dostępności, statystyki ruchu oraz logi, czyli zapisy zdarzeń i żądań obsługiwanych przez serwer. Porównaj moment pogorszenia działania z publikacją reklamy, zmianą konfiguracji i komunikatami operatora. Liczba odsłon w narzędziu analitycznym może nie pokazywać całego ataku, ponieważ część szkodliwego ruchu nie uruchamia kodu analitycznego strony.
Sam DDoS nie potwierdza wycieku danych, ale również go nie wyklucza. Jeśli równocześnie występują nieznane logowania lub zmiany plików, potraktuj je jako osobne sygnały możliwego naruszenia bezpieczeństwa.
Jak ograniczyć ryzyko i dobrać ochronę?
Podstawą jest ochrona działająca przed serwerem, w sieci operatora lub wyspecjalizowanej usłudze filtrującej ruch. Lokalna zapora może odrzucać żądania, lecz nie odzyska przepustowości łącza już zapchanego przez atak.
CDN, czyli sieć serwerów pośredniczących w dostarczaniu treści, może odciążyć stronę i zapewniać funkcje ochrony przed DDoS. WAF, czyli zapora aplikacji internetowej, pomaga filtrować podejrzane żądania do witryny. Nie są to jednak zamienne zabezpieczenia ani gwarancja odporności: znaczenie mają zakres usługi, konfiguracja i rodzaj ataku.
Przed wyborem hostingu lub dodatkowej ochrony sprawdź w aktualnej dokumentacji dostawcy:
- czy ochrona obejmuje tylko strony WWW, czy także inne używane usługi;
- czy uruchamia się automatycznie i jak zgłasza się trwający atak;
- jakie obowiązują limity, wyłączenia i ewentualne opłaty;
- czy podczas ataku operator może odciąć ruch do chronionego adresu, aby zabezpieczyć swoją sieć.
Jeśli używasz pośrednika ochronnego, bezpośredni dostęp do serwera źródłowego powinien być ograniczony zgodnie z jego zaleceniami. Inaczej atakujący może ominąć filtr. Kopie zapasowe pomagają odzyskać dane po innych incydentach, ale same nie zatrzymują DDoS.
Co zrobić, gdy usługa właśnie przestaje działać?
Najpierw skontaktuj się z hostingiem lub operatorem ochrony. Podaj czas wystąpienia problemu, dotknięte usługi, objawy i dostępne pomiary. Poproś o potwierdzenie przyczyny oraz uruchomienie odpowiedniego filtrowania.
W przypadku ataku na aplikację pomocne bywa czasowe ograniczenie liczby żądań lub wyłączenie szczególnie kosztownej funkcji. Takie działania mogą jednak utrudnić korzystanie również prawdziwym klientom. Przykładowo ograniczenie wyszukiwania produktów może odciążyć sklep, ale zbyt restrykcyjny filtr zablokuje część kupujących.
Nie traktuj restartowania serwera ani dokupienia mocy jako pewnego rozwiązania. Zachowaj logi, zapisuj wprowadzone zmiany i przekazuj użytkownikom komunikaty przez niezależny kanał. Jeśli usługa obecnie działa poprawnie, przygotuj teraz jeden konkretny element planu: kontakt alarmowy do operatora wraz z procedurą zgłoszenia ataku.
Zobacz też: Co oznacza www?
Przeczytaj także
