Захист від DDoS-атак Hetzner: як працює AntiDDoS
У наш час масштабні DDoS-атаки — один із найпоширеніших способів негативно вплинути на сайт або цілу інфраструктуру. Зловмисник надсилає тисячі чи мільйони фейкових запитів, перевантажуючи канал і ресурси сервера. У результаті реальні користувачі не можуть відкрити сайт або постійно стикаються з проблемами підключення.
Ми надаємо послуги на базі Hetzner (виділені сервери, аукціонні сервери, Cloud VPS). Для кожної з цих послуг за замовчуванням передбачено захист від DDoS (входить у вартість). Він автоматично відстежує підозрілий трафік, блокує атаки й захищає сайти та сервери від перевантаження — і все це без додаткової оплати для наших клієнтів.
#Що таке DDoS-атака
DDoS (Distributed Denial of Service) — це розподілена атака, спрямована на відмову в обслуговуванні.
- На ваш сервіс надходить безліч запитів не з одного компʼютера, а з цілих мереж заражених серверів та інших пристроїв (ботнетів).
- Мережа та обчислювальні ресурси сервера опиняються зайнятими сміттєвим трафіком.
- За такого сценарію запити реальних користувачів обробляються з величезними затримками або взагалі не доходять до сервера.
Мета зловмисника проста — зробити ваш сайт або сервіс недоступним.
#Як працює DDoS-захист від Hetzner
Система Anti-DDoS розгорнута в мережі дата-центрів і реалізована на професійному обладнанні Arbor та Juniper. Аналіз трафіку відбувається безперервно.
#Передавання даних у звичайному режимі
У звичайній ситуації трафік від користувачів проходить безпосередньо через мережеве обладнання до ваших серверів. Усі запити обробляються як зазвичай, без додаткового фільтрування та затримок.
#Передавання даних під час атаки
Коли система фіксує аномалію (стрибок обсягу трафіку, кількості пакетів або підозрілі шаблони трафіку), вмикається механізм захисту:
- Увесь вхідний трафік перенаправляється через фільтрувальні вузли (scrubbing-центри).
- Сміттєвий трафік виявляється та відсіюється.
- До сервера доходять лише легітимні запити реальних користувачів.
#Етапи та методи фільтрації
#Автоматичне визначення типу атаки
Система реагує не лише на сухі цифри (обсяг і кількість пакетів), а й на характер самого трафіку. Наприклад:
- потужний UDP-потік у сотні тисяч пакетів за секунду часто є безпечним для добре налаштованого сервера
- а такий самий обсяг SYN-пакетів може призвести до відмови в обслуговуванні
Система Anti-DDoS розрізняє такі сценарії та по-різному на них реагує, обираючи відповідний тип фільтрації.
#Блокування відомих шаблонів атак
Частина атак має добре вивчені патерни. Для них використовуються заздалегідь налаштовані фільтри та система очищення трафіку. Система ефективно справляється, зокрема, з такими видами атак:
- DNS-reflection
- NTP-reflection
- UDP-флуди на порту 80/UDP
Такі потоки виявляються та блокуються ще до того, як досягають сервера.
#Challenge-response та динамічні фільтри
На завершальному етапі вмикаються більш "тонкі" механізми захисту:
- фільтрація SYN-flood та DNS-flood
- відсікання некоректних і очевидно фейкових пакетів
- гнучка реакція на нестандартні атаки
Система підтримує високий рівень автоматизації: кожен новий інцидент аналізується, а набір фільтрів і правил постійно вдосконалюється та доповнюється фахівцями Hetzner.
#Як це позначається на клієнтах
- Захист увімкнено за замовчуванням. Жодних прихованих платежів чи доплат — Anti-DDoS уже входить до наших тарифів на базі Hetzner (виділені сервери, аукціонні сервери та Cloud VPS).
- Постійний моніторинг. Трафік аналізується цілодобово. У міру накопичення статистики система все краще розпізнає атаки.
- Мінімальний вплив на легітимний трафік. У звичайному режимі трафік іде безпосередньо до серверів. Під час атак фільтрується лише шкідлива частина потоку, тому звичайні користувачі часто навіть не помічають, що в цей момент відбувається атака.
- Захист не лише сайтів. Під захистом перебувають вебзастосунки, API, ігрові та корпоративні сервери, а також будь-яка інша інфраструктура.
Джерело: https://www.hetzner.com/unternehmen/ddos-schutz
Аукціонні сервери Hetzner (безкоштовне встановлення)
Не знайшли відповідь? Ми на звязку 24/7.Написати в підтримку