Первые 15 минут
- Убедитесь, что это атака, а не сбой: проверьте журналы и нагрузку по этому руководству.
- Сообщите хостингу: возможно, атаку на канал они уже фильтруют или ограничивают.
- Определите, что атакуют: весь сайт, конкретный адрес, API, форму входа.
- Сохраните выдержки из журналов — они понадобятся для анализа и, при необходимости, для обращения в полицию.
Временные меры на сервере
- Ограничьте частоту запросов к атакуемым адресам средствами веб-сервера — см. настройку limit_req.
- Временно отключите тяжёлые функции: поиск, фильтры, генерацию отчётов.
- Заблокируйте явно атакующие сети на уровне файрвола.
- Включите статическую заглушку для неважных разделов.
Подключение фильтрации во время атаки
Подключить защиту можно и во время атаки: меняются DNS-записи домена, и по мере обновления DNS трафик начинает идти через фильтр. Но атакующие часто уже знают IP сервера, поэтому одновременно нужно закрыть прямой доступ к серверу или сменить его адрес — см. как скрыть IP сервера.
Общение с клиентами
Коротко сообщите в соцсетях и мессенджерах, что сайт временно недоступен и заказы можно оформить по телефону. Не называйте это «техническими работами», если идёт атака: клиенты поймут, когда узнают правду.
Если требуют выкуп
Иногда атаке предшествует или сопутствует письмо с требованием заплатить. Платить не стоит: это не гарантирует прекращения атаки и делает вас целью для повторов. Сохраните письмо и обратитесь в полицию — подробнее в отдельном руководстве.
После атаки
- Разберите журналы: что атаковали, сколько длилось, что сработало.
- Смените IP сервера, если он был известен атакующим.
- Пройдите чек-лист устойчивости, чтобы следующая атака не застала врасплох.
Вопросы и ответы
Стоит ли срочно переезжать на другой хостинг?
Как правило, нет. Переезд занимает время, а атакующие быстро найдут новый адрес, если он не скрыт за фильтром. Полезнее закрыть прямой доступ к серверу и поставить фильтрацию перед ним.
Сколько обычно длится атака?
По-разному: от нескольких минут до нескольких дней, нередко волнами. Поэтому временные меры не стоит снимать сразу после спада — повторная волна часто приходит в течение суток.