Atak DDoS to jeden z najczęstszych powodów, dla których strona przestaje działać bez ostrzeżenia. Każdy serwer ma limit liczby żądań, które obsłuży naraz. Atak DDoS przekracza ten limit, wysyłając ogromną liczbę żądań z tysięcy różnych urządzeń jednocześnie, aż serwerowi zabraknie mocy i prawdziwi odwiedzający nie będą mogli się przebić.
W odróżnieniu od większości innych ataków internetowych atak DDoS nie próbuje włamać się na stronę ani niczego z niej ukraść. Próbuje ją przewrócić. Zrozumienie, jak to działa, wyjaśnia, dlaczego ochrona przed nim wygląda zupełnie inaczej niż inne zabezpieczenia.
DDoS to skrót od Distributed Denial of Service, czyli rozproszonej odmowy usługi. „Odmowa usługi” oznacza, że celem jest uniemożliwienie korzystania ze strony. „Rozproszona” oznacza, że atak pochodzi z tysięcy różnych miejsc naraz, a nie z jednego źródła. To rozproszenie sprawia, że trudno go zatrzymać. Nie da się zablokować jednego adresu IP i skończyć sprawy. Pełny obraz zagrożeń, z jakimi mierzą się strony, i dlaczego ochrona jest ważna dla każdej strony, znajdziesz w artykule o tym, dlaczego bezpieczeństwo strony jest ważne.
Jak działa atak DDoS
Atakujący nie wysyła całego tego ruchu sam. Używa dużej sieci urządzeń, które po cichu przejęto szkodliwym oprogramowaniem: domowych komputerów, routerów, kamer i wszystkiego innego, co jest podłączone do internetu. Właściciele tych urządzeń zwykle nie mają pojęcia, że coś się dzieje.
Mechanika ataku
- Atakujący każe wszystkim tym urządzeniom wysyłać żądania do atakowanej strony w tym samym czasie
- Ponieważ żądania pochodzą z tysięcy różnych miejsc, serwer widzi ogromny skok ruchu, który wygląda na prawdziwy
- Serwer próbuje obsłużyć obciążenie i kończy mu się moc, zanim zdoła nadążyć
- Żądania prawdziwych odwiedzających toną w zalewie i nigdy nie dostają odpowiedzi
- Strona wygląda na wyłączoną przez cały czas trwania ataku
Dlaczego trudno go zatrzymać
Rozproszony charakter ataku DDoS odróżnia go od zwykłego zalewania z jednego źródła. Gdyby cały ruch wysyłało jedno urządzenie, zablokowanie go zakończyłoby atak. Gdy zaangażowane są tysiące urządzeń, z których każde wysyła niewielką ilość ruchu, zablokowanie któregokolwiek z nich prawie niczego nie zmienia. Problem powoduje łączny wolumen, a jego zatrzymanie wymaga filtrowania na poziomie wyższym niż pojedyncza strona.
Co atak DDoS robi ze stroną
Strona przestaje działać
Gdy serwer jest przeciążony, przestaje odpowiadać. Każdy, kto próbuje załadować dowolną stronę, dostaje komunikat o błędzie lub przekroczeniu czasu połączenia. Strona nie jest zepsuta i nic nie zostało usunięte. Po prostu nie może odpowiadać na żądania, bo obsługuje niemożliwą ilość fałszywych.
Dla właściciela strony wygląda to tak, że alerty odpalają się w narzędziach monitoringu, napływają wiadomości do obsługi klienta, a panel jest nieosiągalny, bo serwer niczemu nie odpowiada.
Prawdziwi odwiedzający nie mogą się przebić
Serwer nie odróżnia prawdziwego odwiedzającego od jednego z żądań ataku. Próbuje obsłużyć wszystkie i w efekcie żadnego nie obsługuje skutecznie. Osoba, która naprawdę chce przeczytać stronę, złożyć zamówienie lub się skontaktować, jest zablokowana tak samo jak zalew fałszywych żądań. Strona gaśnie dla wszystkich, dopóki atak się nie skończy lub nie zostanie odfiltrowany.
Jak długo trwają ataki
Niektóre ataki kończą się w kilka minut. Inne trwają godzinami, a w poważniejszych przypadkach przez dni. To atakujący decyduje, kiedy przestanie. Im dłużej trwa, tym więcej kosztuje właściciela strony w utraconym ruchu, straconych zamówieniach i szkodach dla wyników w wyszukiwarce spowodowanych długą niedostępnością.
Dlaczego strony są celem ataków DDoS
Ataki celowane
Niektóre ataki DDoS są wymierzone w konkretną stronę. Konkurent próbujący wyłączyć rywala w okresie dużego ruchu. Ktoś z pretensjami do firmy lub osoby publicznej. Skoordynowana akcja wymierzona w znaną organizację. Takie ataki są zamierzone i wybrane.
Losowe ataki zautomatyzowane
Duża część ataków DDoS nie ma nic wspólnego z konkretną atakowaną stroną. Zautomatyzowane narzędzia testują strony i atakują te, które można przeciążyć. Strona nie musi być wybranym celem. Wystarczy, że da się ją znaleźć i działa na serwerze, który nie wchłonie obciążenia generowanego przez narzędzie.
Żądania okupu
W niektórych przypadkach atakujący kontaktują się z firmą przed rozpoczęciem ataku i żądają zapłaty za jego wstrzymanie. Jeśli zapłata nie przychodzi, atak się zaczyna. Ten rodzaj ataku, czasem nazywany ransom DDoS, jest realnym zagrożeniem dla sklepów internetowych i usług online, gdzie przestój ma jasny i natychmiastowy koszt finansowy.
Jak chroni się strony przed atakami DDoS
Filtrowanie ruchu na poziomie sieci
Najskuteczniejsza ochrona przed DDoS działa na poziomie sieci, zanim ruch atakujący dotrze do serwera pojedynczej strony. Dostawcy hostingu i sieci dostarczania treści (CDN) obserwują nietypowe wzorce ruchu, rozpoznają, kiedy strona jest atakowana, i zaczynają filtrować przychodzący zalew, zanim położy serwer.
To działa, bo odbywa się ponad pojedynczą stroną. Serwer, który byłby przeciążony, obsługując cały ten ruch bezpośrednio, ma jego wolumen przechwycony i odrzucony na poziomie sieci, zanim w ogóle dotrze.
Ograniczanie liczby żądań
Ograniczanie liczby żądań ustala limit, ile żądań pojedyncze źródło może wysłać w krótkim czasie. Prawdziwy odwiedzający ładujący stronę wysyła niewielką liczbę żądań. Narzędzie atakujące może wysyłać tysiące z tego samego źródła w sekundę. Ograniczanie rozpoznaje źródła zachowujące się tak, jak nigdy nie zachowałby się prawdziwy odwiedzający, i spowalnia je lub blokuje.
Samo ograniczanie liczby żądań nie jest pełną obroną przed dużymi atakami rozproszonymi, bo te rozkładają żądania na tyle źródeł, że żadne z nich nie osiąga limitu. Ale zmniejsza obciążenie przy większych atakach i w całości radzi sobie z próbami zalewania na mniejszą skalę.
Rozkładanie ruchu na wiele serwerów
Sieci dostarczania treści rozkładają treści strony na wiele serwerów w różnych lokalizacjach. Gdy atak celuje w stronę, ruch jest rozkładany na wszystkie te serwery, a nie uderza w jeden. Wolumen ataku, który położyłby jeden serwer, musi być na tyle duży, żeby przeciążyć wiele naraz, żeby dać ten sam efekt.
Zapora aplikacji internetowej działająca razem z CDN dodaje kolejną warstwę i filtruje szkodliwe żądania, zanim w ogóle dotrą do serwerów. Więcej o tym, jak to działa, znajdziesz w artykule o tym, czym jest zapora aplikacji internetowej i jak chroni Twoją stronę.
Co robić podczas ataku DDoS
- Od razu skontaktuj się z dostawcą hostingu. Ma narzędzia na poziomie sieci, które potrafią wykryć i odfiltrować ruch atakujący znacznie szybciej niż cokolwiek, co da się zrobić z panelu strony
- Zanotuj, kiedy atak się zaczął i co obserwujesz. To pomaga zespołowi hostingu zrozumieć, z czym ma do czynienia i skąd pochodzi ruch
- Nie wprowadzaj większych zmian w konfiguracji strony, gdy atak trwa. Poczekaj, aż sytuacja się ustabilizuje, zanim cokolwiek zmienisz
- Upewnij się, że kopie zapasowe strony są nienaruszone. Atak DDoS nie zmienia ani nie usuwa treści, ale wiedza, że kopie są bezpieczne, jest przydatna
Jak ustawić kopie zapasowe, żeby były gotowe, gdy będą potrzebne, wyjaśnia artykuł o tym, jak tworzyć kopie zapasowe strony. Pełny przewodnik po ochronie strony przed wszystkimi typowymi rodzajami ataków znajdziesz w artykule o tym, jak chronić stronę przed hakerami.
Jak WEMASY obsługuje ochronę przed DDoS
Hosting WEMASY zawiera ochronę przed DDoS i filtrowanie ruchu na poziomie sieci. Ataki są wykrywane i filtrowane, zanim dotrą do poszczególnych stron na platformie. Ta ochrona jest wbudowana w każdy plan i nie wymaga konfiguracji ze strony właścicieli stron.
Strony w WEMASY nie muszą kupować osobnych usług ochrony przed DDoS. Filtrowanie na poziomie sieci radzi sobie z zalewami ruchu o dużym wolumenie, które wyłączyłyby stronę na niezabezpieczonym hostingu, i jest domyślnie aktywne dla każdej strony na platformie.
Zobacz, co jest w zestawie, na stronie kreatora stron WEMASY albo sprawdź plany na stronie z cennikiem.
Najczęściej zadawane pytania
Czym jest atak DDoS?
Atak DDoS, czyli Distributed Denial of Service, to atak, który zalewa serwer strony tak wieloma żądaniami naraz, że kończy mu się moc i przestaje odpowiadać prawdziwym odwiedzającym. Żądania pochodzą z tysięcy różnych urządzeń jednocześnie, więc trudno je zablokować u źródła. Strona przestaje działać lub staje się bardzo wolna na czas ataku. W odróżnieniu od włamania atak DDoS nie próbuje uzyskać dostępu do strony ani niczego z niej ukraść. Celem jest po prostu jej wyłączenie. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czym atak DDoS różni się od włamania?
Włamanie polega na znalezieniu sposobu na ominięcie zabezpieczeń strony, żeby uzyskać dostęp do czegoś w jej wnętrzu, to zmienić lub ukraść. Atak DDoS nie robi nic z tego. Zalewa serwer ruchem, aż strona nie może odpowiedzieć nikomu. Treści, pliki i dane strony nie są naruszone. Prawdziwi odwiedzający po prostu nie mogą wejść na stronę, dopóki trwa atak. Oba są zagrożeniami, ale działają zupełnie inaczej i wymagają różnych rodzajów ochrony.
Czy mała strona może być celem ataku DDoS?
Tak. Duża część ataków DDoS jest zautomatyzowana i nie wybiera konkretnych celów. Narzędzia szukają stron, które można przeciążyć, i uderzają w to, co znajdą. Mała strona z ograniczoną mocą serwera może zostać wyłączona łatwiej niż duża, która ma więcej zasobów do wchłonięcia ruchu. Wielkość nie daje ochrony. Liczą się zabezpieczenia na poziomie hostingu i sieci.
Jak długo trwa atak DDoS?
Zależy to od atakującego. Niektóre ataki trwają kilka minut. Inne godzinami, a nawet dniami. Atak trwa tak długo, jak długo atakujący zdecyduje się go podtrzymywać. Dzięki ochronie na poziomie sieci ruch atakujący można odfiltrować, zanim dotrze do strony, co oznacza, że strona działa nawet podczas ataku. Bez takiej ochrony strona jest wyłączona przez cały czas jego trwania.
Co zrobić, jeśli moja strona jest atakowana przez DDoS?
Od razu skontaktuj się z dostawcą hostingu. Ma narzędzia na poziomie sieci, które potrafią wykryć i odfiltrować ruch atakujący znacznie szybciej niż cokolwiek dostępnego z panelu strony. Zanotuj, kiedy atak się zaczął i co widzisz. Unikaj większych zmian w konfiguracji, gdy atak trwa. Gdy sytuacja się ustabilizuje, sprawdź, czy Twój plan hostingowy zawiera ochronę przed DDoS i czy warto wprowadzić dodatkowe środki.
Czy ochrona przed DDoS jest w moim hostingu?
Zależy to od dostawcy i planu. Niektórzy dostawcy hostingu zawierają ochronę przed DDoS na poziomie sieci we wszystkich planach jako standard. Inni oferują ją jako dodatek lub tylko w wyższych planach. Sprawdź dokumentację hostingu lub skontaktuj się z dostawcą, żeby potwierdzić, co jest w zestawie. Sieci dostarczania treści też zapewniają ochronę przed DDoS z założenia, bo rozkładanie ruchu na wiele serwerów zmniejsza wpływ ataku na jedną lokalizację.