У наш час масштабні DDoS-атаки — один із найпоширеніших способів негативно вплинути на сайт або цілу інфраструктуру. Зловмисник надсилає тисячі чи мільйони фейкових запитів, перевантажуючи канал і ресурси сервера. У результаті реальні користувачі не можуть відкрити сайт або постійно стикаються з проблемами підключення.

Ми надаємо послуги на базі Hetzner (виділені сервери, аукціонні сервери, Cloud VPS). Для кожної з цих послуг за замовчуванням передбачено захист від DDoS (входить у вартість). Вона автоматично відстежує підозрілий трафік, блокує атаки й захищає сайти та сервери від перевантаження — і все це без додаткової оплати для наших клієнтів.

Що таке DDoS-атака

DDoS (Distributed Denial of Service) — це розподілена атака, спрямована на відмову в обслуговуванні.

На Ваш сервіс надходить безліч запитів не з одного комп’ютера, а з цілих мереж заражених серверів та інших пристроїв (ботнетів).
Мережа та обчислювальні ресурси сервера опиняються зайнятими сміттєвим трафіком.
За такого сценарію запити реальних користувачів обробляються з величезними затримками або взагалі не доходять до сервера.

Мета зловмисника проста — зробити Ваш сайт або сервіс недоступним.

Як працює DDoS-захист від Hetzner

Система Anti-DDoS розгорнута в мережі дата-центрів і реалізована на професійному обладнанні Arbor та Juniper. Аналіз трафіку відбувається безперервно.

Передавання даних у звичайному режимі

У звичайній ситуації трафік від користувачів проходить безпосередньо через мережеве обладнання до Ваших серверів.
Усі запити обробляються як зазвичай, без додаткового фільтрування та затримок.

(На схемі: зелені стрілки між інтернетом, маршрутизатором і серверами позначають чистий трафік.)

Передавання даних під час атаки

Коли система фіксує аномалію (стрибок обсягу трафіку, кількості пакетів або підозрілі шаблони трафіку), вмикається механізм захисту:

Увесь вхідний трафік перенаправляється через фільтрувальні вузли (scrubbing-центри).
Сміттєвий трафік виявляється та відсіюється.
До сервера доходять лише легітимні запити реальних користувачів.

(На схемі: частина трафіку позначена червоним і спрямовується на щит Anti-DDoS, тоді як зелений трафік продовжує рух до сервера.)

Етапи та методи фільтрації

1. Автоматичне визначення типу атаки

Система реагує не лише на сухі цифри (обсяг і кількість пакетів), а й на характер самого трафіку.
Наприклад:

потужний UDP-потік у сотні тисяч пакетів за секунду часто є безпечним для добре налаштованого сервера,
а такий самий обсяг SYN-пакетів може призвести до відмови в обслуговуванні.

Система Anti-DDoS розрізняє такі сценарії та по-різному на них реагує, обираючи відповідний тип фільтрації.

2. Блокування відомих шаблонів атак

Частина атак має добре вивчені патерни. Для них використовуються заздалегідь налаштовані фільтри та система очищення трафіку.
Система ефективно справляється, зокрема, з такими видами атак:

DNS-reflection
NTP-reflection
UDP-флуди на порту 80/UDP

Такі потоки виявляються та блокуються ще до того, як досягають сервера.

3. Challenge-response та динамічні фільтри

На завершальному етапі вмикаються більш "тонкі" механізми захисту:

фільтрація SYN-flood та DNS-flood,
відсікання некоректних і очевидно фейкових пакетів,
гнучка реакція на нестандартні атаки.

Система підтримує високий рівень автоматизації: кожен новий інцидент аналізується, а набір фільтрів і правил постійно вдосконалюється та доповнюється фахівцями Hetzner.

Як це позначається на клієнтах

Захист увімкнено за замовчуванням
Жодних прихованих платежів чи доплат — Anti-DDoS уже входить до наших тарифів на базі Hetzner (виділені сервери, аукціонні сервери та Cloud VPS).
Постійний моніторинг
Трафік аналізується цілодобово. У міру накопичення статистики система все краще розпізнає атаки.
Мінімальний вплив на легітимний трафік
У звичайному режимі трафік іде безпосередньо до серверів. Під час атак фільтрується лише шкідлива частина потоку, тому звичайні користувачі часто навіть не помічають, що в цей момент відбувається атака.
Захист не лише сайтів
Під захистом перебувають вебзастосунки, API, ігрові та корпоративні сервери, а також будь-яка інша інфраструктура.

Джерело: https://www.hetzner.com/unternehmen/ddos-schutz
Виділені сервери Hetzner: https://spacecore.pro/dedicated-servers/
Аукціонні сервери Hetzner (безкоштовне встановлення): https://spacecore.pro/dedicated-servers-no-install/
Hetzner Cloud VPS: https://spacecore.pro/hetzner-cloud/