Защита от HTTP-флуда: сайт открывается, даже когда на него идут десятки тысяч запросов в секунду

Почему HTTP-флуд опаснее, чем кажется

Чтобы положить канал в 1 Гбит/с, нужен ботнет и много трафика. Чтобы положить типичный интернет-магазин, бывает достаточно нескольких сотен запросов в секунду к странице поиска или фильтра каталога: каждый такой запрос выполняет тяжёлые SQL-запросы, и через минуту сервер перестаёт отвечать. Для провайдера связи это обычный трафик, поэтому сетевая защита дата-центра его не замечает.

Атакующие это знают и выбирают самые дорогие для сервера адреса: поиск с уникальной строкой, фильтры с перебором параметров, добавление в корзину, страницы входа. Часто запросы идут с тысяч домашних IP-адресов через резидентные прокси и выглядят как обычные посетители.

Как работает отражение

1. Базовая линия. Фильтр постоянно учит, сколько запросов обычно приходит на каждый раздел сайта в это время суток и с каких сетей.
2. Обнаружение. Когда интенсивность выходит за обычный диапазон, включается режим атаки — для конкретного домена и конкретных путей, а не для всего сайта целиком.
3. Сужение воронки. Запросы группируются по признакам: подсеть, автономная система, отпечаток TLS-клиента, набор заголовков, путь. Группы с аномальной долей получают проверку браузера или жёсткий лимит.
4. Сохранение живых посетителей. Пользователи, уже прошедшие проверку, продолжают работать без повторных проверок: их сессия подписана и не требует новой капчи.
5. Возврат в обычный режим. После спада правила ослабляются ступенчато, чтобы повторная волна не застала сайт врасплох.

Что видит сервер во время атаки

Вместо десятков тысяч запросов сервер получает примерно тот же поток, что и в обычный день: настоящих посетителей и разрешённых роботов поисковых систем. Нагрузка на базу данных не растёт, заказы продолжают оформляться.

Чем это отличается от защиты на сервере

Модуль лимитов в nginx или плагин в CMS тоже умеют резать запросы, но делают это на том же сервере, который атакуют. Каждый отклонённый запрос всё равно занимает соединение, процессор и память. При серьёзной атаке сервер падает раньше, чем его правила успевают помочь. Фильтр стоит перед сервером, поэтому атака расходует его ресурсы, а не ваши.