🛡 Про DDoS и защиту от него

Короткие инсайты после эфира AMLive и впреддверии CISO Forum:

1. Защита от DDoS это уже комодити услуга. У всех крупных облачных провайдеров свои собственные разработки, а мелкие покупают у крупных.

2. Производители оборудования и облака спорят как лучше, а по факту они все про разное. Есть своя автономка или нужно защищать свои инфру – покупай железки и каналы. Нужно защитить конкретное веб-приложение и можешь принимать сам решение по его защите – купи защиту в облаке. Варианты можно комбинировать, если требует ситуация или регулятор.

3. Среди множества обещаний терабитов пропускной способности (и отбитых атак) выбирать поставщика нужно по референсу и операционному опыту. ГИС, еком, гейминг – это все разный контекст и разный опыт. Посмотрите, кто что из ваших коллег-конкурентов использует и оттолкнитесь от этого. Покупать защиту у поставщика, где рядом хостится серый бизнес (казино, пиратские гейм-сервера и т.п.) если вы еком или тем более ГИС – обрекать себя на риск быть задетым “осколками” от атаки на других. Ну и наоборот. Нужно защитить свой сервер Майнкрафта – иди к тем, кто умеет это готовить.

4. Не надейтесь и не верьте обещаниям, что защита всегда работает идеально и по кнопке. Хуже всего, это игнорировать дыры в своем ПО/инфраструктуре и бизнес-логике и надеяться только на облако/железку. Особенно актуально в защите от ботов, где иногда проблема снимается раз и навсегда изменением бизнес-логики. Ну и сюда же истории про “пропустили на 50 rps больше, бэкенд сложился” – не надо так, надо уметь держать всплески трафика.

5. Часть атак вовсе и не DDoS, а активность “мертвого интернета”: парсеры, поисковые боты и индексация, да в конце концов ваши маркетологи запустили акцию в мессенджерах и пользователи побежали покупать. А еще может прилечь какой-нибудь популярный зеленый мессенджер, а пользователи думают, что у них закончился Интернет и идут проверять баланс в кабинет оператора. Как результат – несколько десятков тысяч легитимных RPS и вот вы уже лежите.

6. Качество и опыт защиты от DDoS в России выше, чем на западе, особенно последние годы, по понятным причинам. Это и про облака и про он-прем решения. Что касается облаков, то тут есть нюанс по комплексности услуг, но кажется есть шанс нагнать западные аналоги даже в случае вероятной отмены санкций и возвращения западных компании.

В остальном DDoS остается эффективным инструментом, которым продолжают пользоваться. Так что нужно уметь правильно готовиться к его приходу.

ℹ️PS. Буду рассказывать о худших практиках при защите от DDoS на CISO Forum, который пройдет в Москве 10 апреля – https://infosecurity-forum.ru/program/24228/