DDoS-атаки: почему иногда ломается интернет

Новости любят громкие заголовки: «Сайт такого-то банка взломали!» Но в большинстве случаев никто ничего не взламывал. Сайт просто перестал открываться, потому что на него обрушилась толпа нежелательных посетителей. Это и есть DDoS, и мы разберёмся, как он работает и почему такие атаки стали обычным делом.

Чем DDoS отличается от взлома

При взломе злоумышленник проникает внутрь системы, чтобы украсть данные или что-то испортить. DDoS работает иначе: никто не лезет внутрь, никто не ворует пароли. Злоумышленники просто забивают вход так плотно, что для обычных посетителей места не остаётся.

Представьте магазин с одной дверью. Обычные покупатели заходят, делают покупки, выходят. А теперь представьте, что перед входом собралась толпа в тысячи человек. Они не крадут товары, не ломают витрины. Они просто стоят в дверях. Настоящие покупатели не могут зайти, кассиры простаивают, магазин парализован. Примерно так выглядит DDoS-атака для сайта.

Нам часто задают вопрос: «Если данные не украли, значит, всё нормально?» Технически да, данные на месте. Но несколько часов недоступности для банка или магазина оборачиваются миллионными потерями и репутационным ущербом. Для онлайн-сервиса «лежать» = не работать.

Откуда берётся такая толпа

Один человек, сколько бы ни старался, не создаст толпу из миллиона посетителей. Здесь помогает ботнет: сеть из заражённых устройств, которые подчиняются чужим командам.

В ботнет может попасть что угодно: компьютер, телефон, умный телевизор, даже чайник с Wi-Fi. Владелец устройства обычно даже не подозревает, что его техника участвует в атаке. Вирус тихо работает в фоне и ждёт команды. Когда поступает сигнал, все заражённые устройства одновременно начинают обращаться к одному сайту. Сотни тысяч запросов в секунду, каждый выглядит как обычный посетитель.

Поймать и отключить каждое устройство почти нереально: их слишком много, и разбросаны они по всему миру. Ваш соседский принтер, камера наблюдения за подъездом, старый планшет в ящике: любое устройство с интернетом и без должной защиты может стать частью такой армии.

Мы всегда подчёркиваем: масштаб ботнетов поражает. Крупнейшие из них насчитывают сотни тысяч, а иногда и миллионы устройств. Арендовать такой ботнет на тёмной стороне интернета стоит удивительно дёшево: считанные доллары за минуту атаки.

Зачем вообще это делают

Причины бывают самые разные, и мы разберём основные.

Конкуренция. Кто-то нанимает атакующих, чтобы повалить сайт конкурента на пиковый день распродаж. Чёрная пятница, старт продаж, важная премьера: сайт падает именно тогда, когда нужен больше всего.

Вымогательство. Классическая схема: злоумышленники сначала показывают короткую атаку, сайт «ложится» на полчаса. Потом приходит письмо: заплатите, и мы вас не тронем. Заплатите, или завтра атака будет в десять раз сильнее. Многие компании платят молча, поэтому реальный масштаб вымогательства оценить трудно.

Политика. Сайты СМИ, госучреждений, банков и инфраструктурных компаний попадают под удар в моменты политических конфликтов. Мы наблюдали это многократно: обострение ситуации = волна атак.

Хулиганство и тренировка. Иногда атаковать просто дёшево и «прикольно». Анонимные группы устраивают атаки ради забавы или чтобы доказать что-то друг другу. Заказать DDoS-атаку может любой школьник с криптокошельком.

Как сайты защищаются

Полностью исключить DDoS невозможно: любой сайт должен быть доступен для посетителей, и отделить «настоящих» от «нападающих» в потоке трафика трудно. Но есть способы снизить ущерб, и мы расскажем о трёх основных.

Фильтрация трафика. Специальные сервисы, такие как Cloudflare, Qrator или Selectel DDoS Guard, встают между посетителями и сайтом. Они проверяют каждого «гостя»: настоящий ли это человек с браузером или заражённое устройство, которое строчит запросы по команде. Подозрительных разворачивают на входе, а реальные посетители проходят через.

Запас мощности. Крупные сайты арендуют серверы с большим «запасом прочности». Если трафик резко растёт, серверы успевают его переварить, пока защита разбирается с атакой. Это как расширить дверь магазина: чем она шире, тем больше толпа нужна, чтобы её заблокировать.

Распределение. Сайт размещают не на одном сервере, а на десятках по всему миру. Даже если часть из них падает под нагрузкой, остальные продолжают работать. Мы в своей практике видим, что сочетание этих трёх подходов: фильтрация, мощность и распределение, даёт лучший результат.

Случаи, которые были

В России DDoS-атаки стали привычными, особенно после 2022 года. Сайты крупных банков, Сбербанк и Альфа не раз испытывали проблемы с доступом именно из-за волн атак. Хабр, популярный IT-ресурс, регулярно отражал атаки и иногда на несколько часов уходил в «читаемый режим». Rutube после перезапуска в 2022 году фактически не работал несколько дней отчасти из-за мощных атак.

В мировом масштабе самая известная атака произошла в октябре 2016 года. Ботнет Mirai, собранный из заражённых камер наблюдения и умных видеорегистраторов, выбил из строя Dyn, компанию, которая управляет DNS для огромного числа сервисов. Результат: Twitter, Netflix, Reddit, PayPal, Spotify и десятки других сайтов были недоступны несколько часов по всей территории США. Тогда весь мир впервые понял, что умный чайник или камера за 2000 рублей могут принести миллиардный ущерб.

Стоит ли беспокоиться

Если вы не владеете крупным сайтом, для себя делать ничего не нужно. Ваш банк или любимый магазин справляются сами или с помощью защитных сервисов. Если сайт временно не открывается, обычно достаточно подождать.

Единственное полезное действие, которое мы рекомендуем: проверьте свои домашние устройства. Старый роутер с заводским паролем, умная камера без обновлений, забытый планшет с древней версией Android: любое такое устройство может стать частью ботнета без вашего ведома. Обновляйте прошивки, меняйте пароли по умолчанию, отключайте от интернета то, чем не пользуетесь. Простые действия, но они делают интернет чуть безопаснее для всех.