Как защищают сайты от атак: пять подходов и их пределы
Универсального решения нет: каждый способ закрывает свой класс угроз. Ниже — честное сравнение, чтобы вы понимали, за что платите и чего не получите.
| Подход | Хорошо защищает от | Не защищает от | Цена ошибки |
|---|---|---|---|
| Настройки сервера (лимиты nginx, fail2ban) | Небольших переборов и простых ботов | Любой серьёзной атаки: сервер тратит ресурсы на каждый запрос | Сервер падает вместе с защитой |
| Плагин безопасности CMS | Перебора паролей, части уязвимостей | Флуда: плагин работает внутри того же PHP, который атакуют | Ещё больше нагрузки во время атаки |
| CDN | Нагрузки на статику, части флуда по кэшируемым страницам | Атак на динамические страницы, API и формы, если нет бот-защиты | Атака идёт в обход кэша |
| Сетевая защита хостинга (L3/L4) | Объёмных атак на канал | HTTP-флуда, ботов, перебора — это «нормальный» трафик для сети | Сайт падает при чистом канале |
| Фильтрация L7 | HTTP-флуда, ботов, перебора, парсинга, атак на API | Объёмных атак на канал без сетевой защиты под узлами | Ложные срабатывания при плохой настройке |
Как сочетать
Надёжная схема для большинства сайтов: сетевая защита дата-центра закрывает канал, фильтр L7 — приложение, а на сервере остаются разумные лимиты и таймауты как последний рубеж. Плагины безопасности CMS полезны для контроля целостности файлов и уведомлений, но не как защита от нагрузки.
Своя защита или сервис
Собрать фильтр L7 самостоятельно можно — для этого есть хорошие открытые компоненты. Но атака приходит на тот сервер, где работает фильтр, а значит, нужна отдельная инфраструктура в дата-центре с защитой канала, база репутации адресов, круглосуточное дежурство и постоянное обновление правил. Для большинства компаний это дороже, чем подписка.
На что смотреть при выборе сервиса
Мы собрали 12 вопросов, которые стоит задать любому провайдеру, — в руководстве как выбрать защиту.
Читайте также
Ранний доступ
Подключим ваш сайт одним из первых
Сервис готовится к запуску. Оставьте заявку: проверим, от чего нужно защищать ваш проект, и подключим его в числе первых на условиях раннего доступа.