DDoS-атака – это отправка большого объема запросов на ресурс. Мощность DDoS-атаки — это показатель интенсивности воздействия, которое она оказывает на ИТ-инфраструктуру (сеть, сервер или приложение). В частности это относится к сети, к серверу или к приложению. Она указывает на то, какой объем нелегитимного трафика существует в данный момент и как быстро он нарастает. В соответствии с этим принимается решение по поводу того, приглашать ли специалиста или можно справиться своими силами.
Как измеряется мощность DDoS-атаки
Ее принято оценивать одновременно по нескольким параметрам:
- объему трафика. Объем показывает в битах, сколько данных отправляется в секунду. Этот показатель важен при оценке DDoS-атак, забивающих каналы связи и блокирующих легитимный трафик;
- скорости передачи пакетов. Она отражает, сколько отдельных пакетов атакующий узел направляет за секунду. Высокая скорость может перегрузить сетевое оборудование;
- интенсивности запросов. Это ключевой показатель для DDoS-атак на прикладном уровне, он означает количество запросов к веб-серверу или API в секунду. Запросы нацелены на исчерпание вычислительных ресурсов не только конкретного канала, но и сервера в целом.
Часто DDoS-атака бывает многовекторной, то есть злоумышленники одновременно вредят и объему, и числу запросов. Соответственно, это усложняет защиту, поскольку нужно перекрывать одновременно несколько векторов.
Несколько нюансов
Во-первых, истинную мощность установить непросто. Во-вторых, измерять объем трафика лучше всего по так называемым восходящим потокам по отношению к сети, которая атакована. В-третьих, при анализе объема атаки надо учитывать ее длительность, координацию и другие особенности. В частности, не имитировала ли она действия реальных пользователей.
Скорость атаки (PPS)
PPS (пакеты в секунду) – это единица измерения скорости DDoS-атак, в частности DDoS-атаки на сетевом уровне. Чем выше частота отправки пакетов, тем выше нагрузка на сетевое оборудование, межсетевые экраны и сетевой стек сервера, отвечающие за их разбор и обработку. И, соответственно, выше шанс того, что сайт быстро выйдет из строя.
Объем атаки (BPS)
BPS (биты в секунду) – это единица измерения объема DDoS-атаки. Также может измеряться в мегабитах в секунду (Mbps) и даже в сотнях гигабит (Gbps).
Количество запросов (RPS)
RPS (Requests Per Second) – это метрика, которая показывает, сколько запросов во время атаки система обрабатывает за одну секунду. По сути, это основной показатель пропускной способности: он помогает понять, с какой нагрузкой сервис справится. При этом важно помнить, что это не количество пользователей. Один человек вполне способен отправить за короткое время много запросов. Например, открыть страницу, вызвать фоновые процессы, обновить данные без перезагрузки и так далее.
RPS помогает найти проблемные места в сервере. По мере роста нагрузки система может работать с перебоями: задержка, ошибки и многое другое. Именно поэтому важен частый мониторинг: если наблюдается резкий скачок RPS (без явных причин), то это в большинстве случаев может указывать на DDoS-атаку.
Как определить силу DDoS
Помимо анализа основных показателей (пропускной способности, скорости передачи пакетов и интенсивности запросов) следует:
- сравнивать текущие показатели с базовым уровнем;
- учитывать тип возможной атаки;
- использовать специализированные инструменты (NetFlow, sFlow, IPFIX) для сбора статистики по потокам трафика. Если же требуется глубокий анализ, то применяются решения NTA (Network Traffic Analysis)проверять логи на наличие аномалий (рост ошибок, увеличение числа недействительных запросов).
Возможны практические сложности, например, фильтрация трафика. Если вредоносные запросы были заблокированы, то расчет реальной силы атаки усложняется. Или же при достижении пределов пропускной способности установить исходный объем атаки тоже трудно. При таком раскладе фиксируется только сам факт перегрузки, следовательно, измерительные системы ничего сделать не смогут. Не говоря уже о том, что отличить легитимный и вредоносный трафики бывает сложно: современные DDoS-атаки часто маскируются под пользовательский трафик. Обнаружить их из-за этого сложно, хотя при необходимости реально.
На что влияет мощность DDoS-атаки при защите
В первую очередь – на отражение DDoS-атаки и на ее нейтрализацию (выбор правильной стратегии защиты сервера). Тут все понятно: чем мощнее DDoS-атак, тем более сильные ресурсы требуются для ее остановки и блокировки.
Также она напрямую влияет на сложность ее отражения и выбор стратегии защиты. Сложные DDoS-атак, например, на прикладной уровне с высоким числом запросов в секунду требуют использования продвинутых алгоритмов. Только они способны выявить легитимных пользователей среди вредоносного трафика.
Мощность также определяет, какие инструменты будут эффективными:
- базовые (качественный хостинг или стандартные сетевые фильтры);
- специализированные. Подойдут для атак 10-100 Гбит/с и выше. Тут нужны особые облачные скрабинг-сервисы (центры очистки трафика), глобальные сети распределения (Anycast). Все эти онлайн-инструменты фильтруют трафик до того, как он достигнет цели и обрушит работу сайта;
- архитектурные изменения. Это понадобится при очень высокой мощности. Тут нужна геораспределенная инфраструктура (CDN), балансировка нагрузки и изоляция критических сервисов.
Комбинация DDoS-атак на разные уровни (L3/L4 и L7) с динамической сменой векторов делает статические правила защиты менее эффективными. То есть происходит следующее: пока система блокирует один вектор, атака может мгновенно переключиться на другой. Поэтому тут важно комбинировать способы защиты, ориентируясь на конкретный тип DDoS-атаки.
Еще один важный момент – это время реакции на вредоносный трафик. Чем раньше алгоритмы его обнаружат, тем лучше: можно быстро выявить DDoS-атаку и заблокировать ее. Системы защиты должны своевременно реагировать на аномалии — фильтровать паразитный трафик «на лету» (в схемах Always-On / Inline) либо оперативно активировать перенаправление потоков в специализированные центры очистки (On-Demand).
Мощность атаки определяет не только техническую, но и бизнес-угрозу, а её критичность напрямую зависит от запаса прочности инфраструктуры:
- Локальные атаки (единицы Гбит/с): могут быть незаметны для крупных платформ, но способны полностью парализовать небольшие компании со стандартными каналами связи без выделенной защиты;
- Масштабные атаки (десятки и сотни Гбит/с): легко перегружают каналы большинства провайдеров и дата-центров, требуя распределённой защиты операторского уровня или облачных сервисов очистки;
- Сверхмощные терабитные атаки: нацелены на исчерпание аплинков магистральных операторов и крупных облачных платформ, создавая риски каскадных сбоев для целых сегментов сети.
Мощность DDoS-атаки – это ключевой фактор, определяющий архитектуру защиты, используемые технологии и готовность к отражению инцидента. С ее ростом более актуальными и действенными становятся облачные решения с продвинутой аналитикой и возможностью перераспределять трафик.