DDoS-атака — это когда к сайту одновременно «приходят» сотни тысяч заражённых устройств, и настоящие клиенты просто не могут протолкнуться к кассе. Защититься от неё своими силами почти невозможно, но можно сделать так, чтобы удар приняла на себя инфраструктура, рассчитанная на терабиты: CDN, фильтрующий провайдер или хостинг с защитой. Ниже — как такие атаки устроены изнутри, какие истории сделали их знаменитыми и что реально стоит сделать владельцу небольшого сайта.
Пробка у магазина: DDoS одной метафорой
Представьте небольшой магазин на тихой улице. В обычный день к нему подъезжает десяток машин, все паркуются, покупают и уезжают. А теперь представьте, что кто-то за деньги нанял тысячу пустых такси, и все они одновременно встали у входа, перекрыв улицу. Ни одно такси ничего не покупает, но настоящий покупатель до двери не доберётся. Магазин при этом цел, товар на месте, касса работает — просто к ней нет проезда.
Ровно так выглядит распределённая атака типа «отказ в обслуживании» (Distributed Denial of Service). Сайт никто не взламывает, данные не крадут. Его просто заваливают запросами, пока у сервера или канала связи не закончатся ресурсы. Слово «распределённая» здесь ключевое: «такси» приезжают не из одного гаража, а с сотен тысяч разных адресов по всему миру, поэтому заблокировать их одним правилом нельзя.
Три уровня, на которых бьют
- Канал. Объёмная атака: трубу, ведущую к серверу, забивают мусорным трафиком. Измеряется в гигабитах и терабитах в секунду.
- Сетевое оборудование и протоколы. Атакующие эксплуатируют особенности сетевых протоколов, заставляя сервер держать тысячи «полуоткрытых» соединений.
- Приложение. Самый хитрый вариант: запросы выглядят как обычные посещения страниц — поиск по каталогу, корзина, форма. Трафика немного, но каждый запрос заставляет сайт трудиться: обращаться к базе, собирать страницу. Небольшому сайту на WordPress иногда хватает нескольких сотен таких запросов в секунду.
История, с которой всё стало серьёзно: Mirai и умные камеры
До 2016 года для крупной атаки нужен был армейский масштаб: заражённые компьютеры, сложное управление. Потом выяснилось, что солдат можно набрать среди вещей, о которых никто не думает, — IP-камер, домашних роутеров и видеорегистраторов.
Ботнет Mirai работал до обидного просто: он сканировал интернет в поисках устройств с открытым удалённым доступом (telnet, SSH) и пробовал заводские логины и пароли или легко угадываемые комбинации. Камера, которую владелец повесил на склад и ни разу не перенастроил, становилась частью армии. Владелец ничего не замечал: картинка показывается, всё работает.
В сентябре 2016 года атака такого масштаба обрушилась на блог журналиста по безопасности Брайана Кребса — около 620 Гбит/с, на тот момент рекорд. Удар был настолько сильным, что затронул других клиентов Akamai, защищавшей сайт. Следом под удар попал французский хостинг OVH — в публикациях фигурировало около 1 Тбит/с.
21 октября 2016: день, когда «сломался интернет»
Самая известная серия ударов пришлась на пятницу, 21 октября 2016 года. Целью стал Dyn — DNS-провайдер, который служит для интернета чем-то вроде телефонного справочника: переводит понятное имя сайта в IP-адрес. Атаковать сами Twitter, Spotify или GitHub не пришлось. Достаточно было «вырвать страницы из справочника», и пользователи просто не могли найти эти сервисы. По оценке самого Dyn, в атаке участвовало до 100 тысяч вредоносных устройств.
Финал истории неожиданно приземлённый. По данным судебных документов, раскрытых в декабре 2017 года, авторами Mirai были трое молодых американцев 20–21 года. Один из них под ником Anna-senpai выложил исходный код ботнета в открытый доступ — и после этого клоны Mirai расплодились по всему миру.
Совет: если у вас в офисе или на складе есть IP-камеры и роутеры, смените на них заводские пароли и отключите удалённый доступ, которым не пользуетесь. Так вы хотя бы не станете чужим «такси».
Гонка рекордов: от 1,35 Тбит/с до 31 Тбит/с
Каждые пару лет рекорд DDoS обновляется, и цифры растут быстрее, чем интуиция успевает за ними следить.
28 февраля 2018 года GitHub получил атаку пиковой мощностью 1,35 Тбит/с. Атакующим даже не понадобился большой ботнет: они использовали плохо настроенные серверы memcached, которые на маленький запрос отвечали огромным ответом, и направляли эти ответы на жертву. Это называется атакой с усилением — как если бы вы отправили открытку в тысячу компаний от чужого имени с просьбой «пришлите каталог», и всем им пришлось бы ответить. GitHub переключил трафик на защиту Akamai, и атака была подавлена примерно за восемь минут.
Дальше счёт пошёл на десятки терабит. В 2025 году Cloudflare по очереди сообщала о рекордах в 7,3 Тбит/с и 11,5 Тбит/с, а в отчёте за четвёртый квартал 2025 года — об атаке пиком 31,4 Тбит/с. Длилась она всего 35 секунд. Источником, по данным Cloudflare, был ботнет Aisuru-Kimwolf, собранный в основном из заражённых Android-приставок для телевизоров. История Mirai повторилась: снова бытовые устройства, о которых владельцы не думают.
| Год | Цель | Пиковая мощность | Чем запомнилась |
|---|---|---|---|
| 2016 | Блог KrebsOnSecurity | около 620 Гбит/с | Первый громкий удар ботнета из камер и роутеров |
| 2016 | DNS-провайдер Dyn | до 100 тыс. устройств в атаке | Недоступны крупные сервисы, хотя атаковали не их |
| 2018 | GitHub | 1,35 Тбит/с | Атака с усилением через memcached, отбита за минуты |
| 2025 | Клиенты Cloudflare | 31,4 Тбит/с | Длилась 35 секунд, ботнет из ТВ-приставок |
Масштаб виден и в общей статистике: по данным Cloudflare, за 2025 год она отразила 47,1 млн DDoS-атак — более чем вдвое больше, чем годом ранее.
Зачем атакуют маленький сайт, если есть GitHub
Рекорды попадают в новости, но подавляющее большинство атак — скромные и прицельные. И малый бизнес в них — частая мишень, потому что его сайт обычно не защищён вообще.
Конкуренты
Самый приземлённый мотив. Сайт службы доставки, салона, интернет-магазина лежит в пятничный вечер или в сезон распродаж — клиенты уходят к соседу. Если простой затягивается, может пострадать и видимость в поиске: робот, несколько раз не дождавшийся ответа, начинает считать сайт ненадёжным. Подробнее о том, почему падают позиции, мы писали в статье «Почему упали позиции сайта».
Вымогатели
Схема «заплати, и мы прекратим» существует столько же, сколько сами DDoS. Кстати, по материалам того же дела, автор Mirai требовал деньги за прекращение атак. Владельцу малого бизнеса может прийти письмо с угрозой и короткой «демонстрацией». Платить не стоит: оплата не гарантирует ничего, кроме того, что вас запишут в список тех, кто платит.
«Стресс-тестеры» за копейки
Самый неприятный факт: атаку не нужно уметь делать. Её можно купить. Существуют сервисы, которые маскируются под «нагрузочное тестирование» (booter, stresser), а на деле сдают ботнет в аренду. В 2018 году Европол закрыл крупнейший из них, WebStresser: подписка начиналась примерно от 15 евро в месяц, у сервиса было около 136 тысяч пользователей и более 4 млн атак. С тех пор правоохранители регулярно закрывают подобные площадки, но на их месте появляются новые.
Отсюда вывод: для атаки на ваш сайт не нужен злой гений. Хватит обиженного бывшего сотрудника, недобросовестного конкурента или школьника с карманными деньгами.
Как работает защита: фильтрация простыми словами
Вернёмся к магазину. Бороться с тысячей такси силами одного охранника у двери бесполезно — улица всё равно забита. Нужно перекрыть поток раньше, на въезде в район, где дорога широкая, и пропускать дальше только тех, кто действительно едет за покупками. Ровно это и делает защита от DDoS.
- Широкая труба. Трафик к сайту сначала идёт не на ваш сервер, а в сеть фильтрующего сервиса, у которой ёмкость каналов на порядки больше. Мусор «растекается» по десяткам дата-центров, не доходя до вас.
- Отсев очевидного мусора. Пакеты, которые ни один браузер не стал бы отправлять, отбрасываются сразу. Это массовая автоматическая фильтрация.
- Проверка «живой ли посетитель». Для подозрительных запросов включаются проверки: умеет ли клиент выполнять JavaScript, ведёт ли себя как браузер, не шлёт ли сто одинаковых запросов в секунду. Человек этого почти не замечает, бот спотыкается.
- Ограничение частоты. Один адрес не может бесконечно долбить страницу поиска или формы — после порога он получает отказ или проверку.
- Чистый трафик на сервер. До вашего хостинга доходят только «очищенные» посетители, и сайт работает в обычном режиме.
Важный нюанс: защита работает, только если атакующие не знают настоящий IP-адрес сервера. Если он «засвечен» (например, в старых DNS-записях или в заголовках писем с сайта), атаку пустят в обход фильтра, напрямую.
Мифы о защите от DDoS
«Мой сайт слишком маленький, кому он нужен»
Как раз маленький сайт без защиты проще всего уронить. Стоимость атаки на него ничтожна, а ущерб для бизнеса в разгар сезона вполне ощутимый.
«Поставлю плагин безопасности — и всё»
Плагин работает внутри сайта. Когда до него доходит атака, сервер уже перегружен: это как поставить охранника внутри магазина, когда улица забита. Плагины полезны против взлома и спама, но не против объёмного DDoS.
«Купим сервер помощнее»
Помогает против совсем мелких атак на уровне приложения. Против потока в десятки гигабит не поможет никакой тариф: закончится канал, а не процессор.
«Защита замедлит сайт»
Нормально настроенный CDN, наоборот, часто ускоряет сайт: статические файлы отдаются с ближайшего к посетителю узла.
«Атака закончится — и всё вернётся»
Не всегда. Атаки повторяются, иногда служат отвлекающим манёвром, пока кто-то перебирает пароли к админке. После инцидента стоит проверить сайт — пригодится наша инструкция «Что делать, если сайт взломали».
Что реально стоит сделать владельцу сайта
Хорошая новость: для малого и среднего бизнеса защита не требует собственного отдела безопасности. Достаточно нескольких решений, которые делаются один раз.
- Подключите защиту на уровне сети. Это либо CDN с защитой от DDoS, либо хостинг/облако, где фильтрация трафика встроена в инфраструктуру. Например, в есть защита от DDoS для облачных серверов — условия и уровни защиты лучше уточнить в актуальной документации провайдера перед подключением.
- Спрячьте настоящий IP. После подключения фильтра смените IP сервера или закройте прямой доступ к нему для всех, кроме адресов защиты. Проверьте, что почта сайта не отправляется с того же адреса.
- Ограничьте «тяжёлые» страницы. Поиск, фильтры каталога, формы и вход в админку — первые цели атак на уровне приложения. На них стоит включить ограничение частоты запросов и капчу.
- Настройте мониторинг. О проблеме лучше узнать от робота за минуту, а не от клиента через час. Как это сделать, мы рассказали в статье «Мониторинг доступности сайта».
- Держите резервные копии и план. Заранее запишите, кому звонить, где доступы к DNS и хостингу и кто принимает решение о переключении на защиту.
- Наведите порядок в своих устройствах. Смените заводские пароли на камерах и роутерах офиса — чтобы не стать частью чужого ботнета.
Если хочется глубже разобраться в технической стороне, загляните в нашу статью «Защита сайта и сервера от DDoS». А если атака уже идёт прямо сейчас — открывайте пошаговую инструкцию «DDoS-атака на сайт: признаки и что делать в первый час».
Совет: подключайте защиту заранее, в спокойный день. Во время атаки смена DNS и перенос трафика занимают время, а каждая минута простоя стоит заказов.
Как понять, что это DDoS, а не просто сбой
| Что видите | Вероятная причина | Что делать |
|---|---|---|
| Сайт недоступен, хостинг сообщает о перегрузке канала | Объёмная атака | Связаться с хостингом, включить сетевую фильтрацию |
| В логах тысячи запросов к поиску или фильтрам с разных IP | Атака на уровне приложения | Ограничение частоты, проверка браузера, капча |
| Резкий всплеск «посетителей» в Метрике без заказов | Боты или начало атаки | Проверить источники трафика, включить защиту |
| Сайт падает после обновления, трафик обычный | Ошибка в коде или плагине | Откатить изменения, это не DDoS |
Частые вопросы
Можно ли защититься от DDoS бесплатно?
Базовую защиту от простых атак дают бесплатные тарифы некоторых CDN и встроенная фильтрация у части хостингов. Для бизнеса, который зарабатывает через сайт, разумнее платный уровень с поддержкой и понятными гарантиями.
Сколько длится атака?
По-разному: от секунд до дней. Даже рекордная атака в 31,4 Тбит/с длилась 35 секунд. Короткие удары часто используют, чтобы проверить, есть ли у жертвы защита.
Может ли атака повредить данные сайта?
Сам по себе DDoS данные не крадёт и не портит — он делает сайт недоступным. Но под его прикрытием иногда пытаются взломать админку, поэтому после атаки стоит проверить сайт и сменить пароли.
Нужно ли обращаться в полицию?
Если атака сопровождается вымогательством или наносит заметный ущерб — да, сохраните письма, логи и уведомления хостинга. Атаки по заказу преследуются, и площадки DDoS-по-подписке регулярно закрывают.
Поможет ли переезд на другой хостинг?
Только если новый хостинг умеет фильтровать трафик и вы смените IP. Просто переезд без защиты лишь откладывает следующую атаку.
Коротко
DDoS — это не взлом, а пробка у вашего магазина, которую можно купить за цену обеда. Истории Mirai, Dyn и рекордных атак последних лет показывают одно: армия атакующих состоит из обычных незащищённых устройств, а отбиться в одиночку невозможно. Поэтому главное решение — поставить между сайтом и интернетом фильтр с широкой трубой, спрятать настоящий IP и заранее знать, что делать в первый час.
Если не хотите разбираться сами — мы в Pear Advert подключим защиту, настроим мониторинг и возьмём сайт на техническую поддержку, чтобы атака стала для вас рабочей ситуацией, а не катастрофой.
Ссылка на Timeweb Cloud в статье — партнёрская: при регистрации по ней мы можем получить вознаграждение. На цену для вас это не влияет.
