Если сайт внезапно стал недоступен или очень медленным, а в логах сервера — лавина запросов с тысяч адресов, скорее всего, это DDoS-атака. В первый час главное: подтвердить атаку, сообщить хостингу, включить фильтрацию трафика (через хостинг или сервис защиты), переключить клиентов на запасные каналы и зафиксировать всё, что происходит. Не пытайтесь «перебороть» атаку блокировкой адресов вручную — против распределённой атаки это почти не работает.
Что такое DDoS простыми словами
DDoS (распределённая атака типа «отказ в обслуживании») — это попытка завалить сайт или сервер таким количеством запросов, что он перестаёт отвечать реальным посетителям. Запросы идут одновременно с множества устройств: заражённых компьютеров, роутеров, камер, арендованных серверов.
Атаки бывают разные:
- На канал связи — забивают сетевую полосу мусорным трафиком. С такими справляется только провайдер или специализированный сервис защиты.
- На сетевой уровень сервера — исчерпывают ресурсы сетевого стека, например, массой незавершённых соединений.
- На уровень приложения — шлют «обычные» на вид запросы к тяжёлым страницам: поиску, каталогу с фильтрами, корзине. Такие атаки могут положить сайт даже небольшим числом запросов.
Причины атак — недобросовестная конкуренция, вымогательство, хулиганство, а иногда ваш сайт просто оказался рядом с целью на том же сервере.
Признаки атаки: как отличить от обычного сбоя
Сайт может тормозить и падать по десятку причин, поэтому важно не поставить диагноз раньше времени.
| Симптом | Что это может быть | Как проверить |
|---|---|---|
| Сайт то открывается, то нет, нагрузка на сервер на максимуме | DDoS на уровне приложения или наплыв ботов | Логи веб-сервера: число запросов в минуту, адреса, страницы |
| Недоступен весь сервер, включая почту и панель | Атака на канал или сбой у хостинга | Спросить у поддержки хостинга, видят ли они аномальный трафик |
| Резкий рост посещений в Метрике без роста заказов | Боты, парсинг или начало атаки | Отчёты по источникам, географии, времени на сайте |
| Сайт медленный после обновления плагина или темы | Не атака, а ошибка в коде | Откатить изменения, проверить логи ошибок |
| Наплыв посетителей после рекламы или упоминания в СМИ | Реальный трафик, а не атака | Источники трафика, конверсии |
Если по логам видно, что запросы идут с огромного числа адресов, однотипны, бьют в одни и те же URL и не похожи на поведение людей, — с высокой вероятностью это атака. Если же сервер просто не справляется, начните с разбора почему сайт тормозит.
Первые 15 минут: подтвердить и сообщить
- Проверьте доступность снаружи. Откройте сайт с мобильного интернета и через сервис проверки доступности из разных регионов.
- Посмотрите нагрузку и логи. В панели хостинга — графики процессора, памяти и трафика. Если есть доступ к серверу, оцените, кто делает больше всего запросов.
- Напишите в поддержку хостинга. Укажите домен, время начала, что видите, приложите фрагменты логов. Хостинг часто первым видит атаку и может включить фильтрацию на своей стороне.
- Назначьте ответственного. Один человек координирует действия и общение с хостингом, чтобы не было параллельных противоречивых шагов.
Пример команды для сервера на Linux с Nginx, которая покажет адреса с наибольшим числом запросов в журнале доступа (путь к журналу может отличаться):
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20А эта покажет, какие адреса страниц запрашивают чаще всего:
awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20
15–40 минут: включить защиту
Защита на стороне хостинга или провайдера
У многих хостингов есть встроенная защита от DDoS или платная опция её подключения. Уточните у поддержки, что доступно на вашем тарифе и можно ли включить её сейчас. При мощной атаке на канал провайдер может временно ограничить трафик к вашему адресу, чтобы защитить соседей, — это неприятно, но ожидаемо.
Сервис защиты от DDoS перед сайтом
Специализированные сервисы фильтрации ставятся «перед» сайтом: трафик идёт через их сеть, мусор отсекается, к серверу доходят только нормальные запросы. Подключение обычно сводится к смене DNS-записей домена. Учтите, что:
- смена DNS расходится не мгновенно;
- если атакующие уже знают реальный IP-адрес сервера, они могут бить в обход защиты — в идеале адрес нужно сменить и закрыть прямой доступ;
- для сайтов, работающих с персональными данными россиян, выбирайте сервис с учётом требований к хранению и обработке данных.
Временные меры на сервере
При атаке на уровень приложения помогают ограничение частоты запросов, кэширование тяжёлых страниц, временное отключение ресурсоёмких функций (поиск, фильтры), проверка браузера для подозрительных посетителей. Пример ограничения частоты запросов в Nginx:
limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
server {
location / {
limit_req zone=perip burst=20 nodelay;
}
}Значения подбираются под сайт: слишком жёсткие лимиты заблокируют реальных посетителей и поисковых роботов. Вносить такие изменения должен специалист, знающий ваш сервер.
Совет: не блокируйте вручную адреса по одному — при распределённой атаке их тысячи, и вы потратите час впустую. Блокировка по подсетям или странам допустима только после анализа и как временная мера.
40–60 минут: клиенты, реклама, документы
- Клиенты. Опубликуйте в соцсетях и мессенджерах короткое сообщение о технических работах и альтернативных способах заказа: телефон, мессенджер, маркетплейсы.
- Реклама. Если сайт не открывается, приостановите кампании, ведущие на него, чтобы не тратить бюджет впустую.
- Фиксация. Сохраняйте скриншоты графиков, фрагменты логов, переписку с хостингом, время событий. Это пригодится для разбора, для обращения в полицию и в случае вымогательства.
- Вымогательство. Если вам пишут с требованием заплатить за прекращение атаки, не платите и не вступайте в переговоры: оплата не гарантирует прекращения и делает вас мишенью снова. Сохраните сообщения и обратитесь в правоохранительные органы.
После атаки: проверка и выводы
Когда трафик нормализовался, пройдите по списку:
- Проверьте работу сайта, форм, оплаты и личного кабинета.
- Убедитесь, что DDoS не был прикрытием для взлома: посмотрите новые файлы, пользователей в админке, подозрительные изменения. Если есть сомнения — изучите признаки вируса на сайте.
- Проверьте Яндекс Вебмастер на ошибки доступности страниц.
- Оставьте фильтрацию включённой ещё на некоторое время: атаки часто повторяются.
- Обновите план реагирования с учётом того, что сработало и что нет.
Как подготовиться заранее
Мы в Pear Advert советуем клиентам с заметным онлайн-оборотом не ждать первой атаки. Подготовка обходится дешевле простоя:
- хостинг с защитой от DDoS или заранее настроенный сервис фильтрации;
- скрытый реальный IP-адрес сервера и закрытый прямой доступ к нему;
- кэширование и оптимизация тяжёлых страниц;
- мониторинг доступности с уведомлениями;
- актуальные резервные копии вне основного сервера;
- письменный план: кто, куда и в каком порядке обращается.
Частые вопросы
Можно ли остановить DDoS самому, без хостинга?
Небольшую атаку на уровне приложения иногда удаётся сдержать настройками сервера. Атаку на канал связи изнутри сервера не остановить: мусорный трафик забивает канал раньше, чем доходит до ваших правил. Нужна помощь провайдера или сервиса защиты.
Повлияет ли атака на позиции сайта?
Короткая недоступность обычно проходит без заметных последствий. Долгий или повторяющийся простой может привести к временному выпадению страниц из индекса.
Сколько стоит защита от DDoS?
Зависит от провайдера, объёма трафика и уровня защиты. Есть базовые бесплатные или недорогие варианты и корпоративные решения. Сравнивайте не только цену, но и то, от каких типов атак защищает тариф.
Куда обращаться, кроме хостинга?
При вымогательстве или серьёзном ущербе — в полицию с заявлением и собранными доказательствами. Сохраняйте логи и переписку с первых минут.
Итог
При DDoS-атаке подтвердите её по логам, сразу подключите хостинг, включите фильтрацию через провайдера или сервис защиты, переведите клиентов на запасные каналы и всё документируйте. После атаки проверьте сайт на взлом и закройте слабые места заранее, не дожидаясь следующего раза.
Если не хотите разбираться сами — переходите на хостинг с администрированием от Pear Advert или подключите техническую поддержку сайта: настроим защиту, мониторинг и план реагирования.
