Що робити під час DDoS-атаки на сайт

Раптове падіння вебсайту, коли він найбільше потрібен клієнтам — один із найгірших сценаріїв для будь-якого онлайн-бізнесу. Коли замість звичного інтерфейсу користувачі бачать помилку з'єднання, а сервер перестає відповідати на запити, виникає логічне запитання: що робити під час DDoS-атаки? Головне в такий момент — відкинути паніку та діяти за чітким технічним алгоритмом. Кожна хвилина простою коштує грошей, репутації та позицій у пошуковій видачі, тому швидкість реакції та правильність захисних рішень визначають, наскільки швидко ресурс повернеться до нормальної роботи.

Симптоми DDoS-атаки та відмінність від звичайного піку трафіку

Перш ніж розпочинати будь-які захисні дії, необхідно переконатися, що проблема полягає саме у зловмисній атаці типу «відмова в обслуговуванні» (Distributed Denial of Service), а не у внутрішньому збої сервера чи програмній помилці після чергового оновлення коду.

Головні ознаки перевантаження сервера

Коли ресурс перебуває під впливом скоординованого потоку сміттєвих запитів, інфраструктура починає подавати чіткі тривожні сигнали:

• Поява специфічних помилок HTTP. Найчастіше користувачі та адміністратори стикаються з помилками класу 5xx. Зокрема, 502 Bad Gateway (сервер-посередник не отримав відповіді від основного сервера), 503 Service Unavailable (сервер тимчасово не може обробити запит через перевантаження) та 504 Gateway Timeout (час очікування відповіді виачерпано).

• Критичне сповільнення роботи. Сторінки сайту, які раніше завантажувалися за частки секунди, відкриваються хвилинами або завантажуються лише частково (без зображень та стилів).

• Максимальне завантаження апаратних ресурсів. У панелі керування хостингом або через консоль (команди top, htop) спостерігається 100% завантаження процесора (CPU) та вичерпання оперативної пам'яті (RAM).

• Втрата зв'язку з базою даних. Через величезну кількість запитів СКБД (наприклад, MySQL) перестає приймати нові з'єднання, через що сайт видає помилку підключення до бази даних.

Як відрізнити легальний наплив користувачів від атаки зловмисників

Зростання трафіку може бути викликане приємною подією — наприклад, запуском успішної рекламної кампанії, згадкою у відомого блогера чи сезонним розпродажем (Black Friday). Проте інструменти аналітики та логування дозволяють чітко розмежувати ці дві події.

Цікавий факт: Однією з перших задокументованих DDoS-атак вважається подія 1999 року, коли за допомогою утиліти Trinoo було виведено з ладу мережу Університету Міннесоти. Відтоді інструменти зловмисників еволюціонували від простих утиліт до гігантських ботнетів, що складаються з мільйонів інфікованих пристроїв інтернету речей (IoT) — розумних камер, телевізорів та навіть холодильників.

✨ Лайфхак
Налаштуйте зовнішній моніторинг доступності сайту за допомогою безкоштовних інструментів, таких як UptimeRobot або Pingdom. Вони миттєво надішлють сповіщення у Telegram чи на електронну пошту, якщо ваш сервер перестане відповідати. Це дозволить виявити проблему на самому початку, не чекаючи скарг від перших відвідувачів.

Основні типи DDoS-атак та їхня специфіка

Щоб ефективно захистити вебресурс, необхідно розуміти природу загрози. Усі мережеві взаємодії відбуваються за багаторівневою моделлю OSI. Зловмисники зазвичай цілять у різні рівні цієї моделі, що вимагає абсолютно різних підходів до оборони. Спроба боротися з атакою прикладного рівня методами очищення каналу просто не спрацює, і навпаки.

Мережевий рівень (L3) та транспортний рівень (L4)

Атаки на цих рівнях є класичними «об'ємними» (volumetric) загрозами. Їхня головна мета — повністю забити інтернет-канал, що веде до сервера, або перевантажити мережеве обладнання хостинг-провайдера.

• SYN flood (L4): Зловмисник надсилає мільйони запитів на встановлення з'єднання (SYN-пакети), але ігнорує відповіді сервера. Як результат, черга напіввідкритих з'єднань переповнюється, і сервер перестає приймати запити від звичайних відвідувачів.

• UDP flood (L3/L4): Сервер засипають безліччю пакетів UDP на випадкові порти. Машина змушена перевіряти кожен порт і надсилати у відповідь повідомлення про помилку, що миттєво вичерпує її ресурси.

• Атаки посилення (Amplification): Використовують уразливості відкритих сторонніх служб (наприклад, DNS чи NTP). Зловмисник надсилає короткий запит із підробленою зворотною адресою (адресою вашого сервера), а у відповідь ваш сервер отримує лавину гігабайт «важких» даних.

При таких атаках трафік може вимірюватися десятками й сотнями гігабітів на секунду. Самостійно впоратися з цим на рівні одного сервера неможливо — пропускна здатність каналу просто фізично заблокується.

Прикладний рівень (L7): атака на логіку вебдодатка

Це найбільш підступний тип загрози. Об'єм трафіку при атаці L7 (HTTP flood) може бути невеликим, але кожен окремий запит змушує сервер виконувати складні обчислення.

Зловмисники імітують поведінку реальних користувачів: вони завантажують головну сторінку, роблять запити до внутрішнього пошуку сайту, намагаються завантажувати великі файли чи надсилати форми.

Важливе попередження: Спроба заблокувати весь вхідний трафік поспіль під час атаки L7 — це фатальна помилка. Без детального аналізу логів ви ризикуєте разом із ботами заблокувати реальних покупців, постійних читачів і навіть пошукових роботів Google, що миттєво зруйнує SEO-показники сайту.

Головна небезпека прикладних атак полягає в тому, що вони проходять крізь стандартні мережеві фільтри, адже виглядають як абсолютно легітимні HTTP/HTTPS-запити. Для боротьби з ними потрібен інтелектуальний аналіз поведінки.

📝 Порада
Якщо ви підозрюєте атаку типу UDP flood або SYN flood, не намагайтеся фільтрувати пакети за допомогою локального утиліти iptables на самому сервері. Коли гігабіти сміттєвого трафіку вже дійшли до вашого мережевого інтерфейсу, процесор сервера все одно витрачатиме ресурси на обробку та відхилення кожного пакету. У таких випадках захист має відбуватися на рівні магістрального провайдера або CDN.

Що робити під час DDoS-атаки: перші та невідкладні кроки

Коли сервер починає «тонути» під лавиною запитів, діяти потрібно миттєво. Кожна хвилина зволікання збільшує час простою сайту та дратує користувачів. Якщо ви раптово опинилися під прицілом кіберзлочинців, чіткий алгоритм того, що робити під час DDoS-атаки, допоможе мінімізувати збитки та швидко повернути ресурс до життя.

Нижче наведено покроковий план дій для екстреної стабілізації роботи сайту.

Крок 1. Аналіз логів і швидка діагностика

Перш ніж вмикати радикальні інструменти захисту, необхідно зрозуміти, звідки йде удар. Для цього аналізують лог-файли вебсервера (найчастіше це access.log для Nginx або Apache).

Адміністратору або технічному фахівцю слід звернути увагу на такі аномалії:

• Однотипні запити. Наприклад, тисячі звернень до однієї конкретної сторінки (на кшталт /search/?query=... або /wp-login.php).

• Підозрілі User-Agent. Ботнети часто використовують застарілі або однакові ідентифікатори браузерів.

• Концентрація IP-адрес. Якщо величезна кількість запитів надходить з одного діапазону IP-адрес чи конкретної країни, яка не є вашим цільовим ринком, це головний маркер атаки.

Для швидкого аналізу в консолі сервера можна використовувати прості команди. Наприклад, команда для виведення списку IP-адрес із найбільшою кількістю запитів:

tail -n 10000 /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 20

Крок 2. Звернення до хостинг-провайдера та технічної підтримки

Багато власників сайтів намагаються вирішити проблему самостійно, забуваючи про хостинг. Це помилка. Ваш провайдер першим бачить аномальну активність на мережевому рівні.

1. Створіть терміновий тикет або зателефонуйте на гарячу лінію підтримки.

2. Повідомте про атаку. Надайте інформацію про симптоми (помилки 502/504, недоступність панелі керування).

3. Запитайте про захист. Багато сучасних хостингів мають вбудовані системи фільтрації трафіку (Anti-DDoS), які вони можуть активувати для вашого тарифного плану.

Важливе застереження: Якщо атака занадто потужна і загрожує роботі інших клієнтів на спільному сервері (shared hosting), провайдер може застосувати метод Null Routing (тимчасово заблокувати весь трафік до вашої IP-адреси). Це вимушений крок, який робить сайт повністю недоступним, але рятує сусідні ресурси. Щоб цього уникнути, варто заздалегідь переходити на VPS/VDS або виділені сервери із захищеним IP.

Крок 3. Активація захисту через CDN та WAF

Найефективніший спосіб зупинити атаку прикладного та транспортного рівнів — «прикрити» реальну IP-адресу вашого сервера за допомогою хмарного фільтра. Для цього використовуються сервіси доставки контенту (CDN) та фаєрволи вебдодатків (WAF).

Найвідомішим і найдоступнішим інструментом тут є Cloudflare:

• Режим «Under attack». Увімкнення цього режиму (I'm Under Attack Mode) змушує кожного відвідувача пройти швидку автоматичну перевірку браузера (JS challenge) або розв'язати CAPTCHA перед входом на сайт. Боти не можуть подолати цей бар'єр і відсіюються на підступах.

• Зміна DNS-записів. Переведіть домен під керування Cloudflare (чи аналогів, таких як Sucuri або Akamai). Тепер весь трафік спочатку йтиме через їхні гігантські очисні центри, і лише «чисті» запити потраплятимуть на ваш сервер.

Крок 4. Фільтрація трафіку (rate limiting, блокування за геоIP, IP, user-agent)

Якщо атака продовжує прориватися через базові фільтри, необхідно налаштувати точкові правила блокування (firewall rules):

• Геоблокування (Geo-IP). Якщо ваш бізнес працює виключно в Україні, заблокуйте або увімкніть обов’язкову CAPTCHA для вхідного трафіку з усіх інших країн. Це миттєво відсіче до 90% ботнетів.

• Обмеження частоти запитів (Rate Limiting). Встановіть ліміт на кількість запитів з однієї IP-адреси за секунду (наприклад, не більше 5-10 запитів). Усіх, хто перевищує цей ліміт, сервер автоматично блокуватиме на певний час.

• Блокування за User-Agent. Якщо в логах видно, що атака йде з нестандартних або застарілих браузерів, пропишіть правило для їх блокування на рівні WAF чи конфігурації вебсервера.

Крок 5. Оптимізація та агресивне кешування ресурсів

Щоб допомогти серверу вистояти під підвищеним навантаженням, необхідно максимально знизити споживання його ресурсів (процесора та оперативної пам'яті):

• Увімкніть агресивне кешування. Налаштуйте CDN так, щоб він віддавав відвідувачам статичні копії сторінок (HTML, CSS, JS, зображення) без звернення до вашого сервера. Навіть якщо боти засипатимуть сайт запитами, їх оброблятиме хмарна мережа CDN, а не ваш хостинг.

• Вимкніть ресурсомісткі функції. Тимчасово вимкніть внутрішній пошук по сайту, складні фільтри товарів, модулі рекомендацій та будь-які інтерактивні AJAX-віджети. Саме ці функції генерують найважчі запити до бази даних.

📝 Порада
Завжди тримайте реальну IP-адресу вашого сервера (origin IP) в таємниці. Якщо зловмисники дізнаються її, вони зможуть атакувати сервер напряму, оминаючи будь-який захист CDN чи WAF. Якщо ви підключили Cloudflare вже під час атаки, обов'язково попросіть хостинг-провайдера змінити IP-адресу вашого сервера, щоб повністю «заховати» його за хмарою захисту.

Специфіка захисту для різних типів сайтів

Методи протидії зловмисникам сильно залежать від архітектури вашого вебресурсу. Те, що легко налаштувати на простому сайті-візитці, може повністю заблокувати роботу великого інтернет-магазину. Тому захисні заходи мають враховувати специфіку платформи та бізнес-логіку.

Особливості порятунку сайтів на WordPress

Сайти на WordPress є найчастішою мішенню для кібератак через свою популярність та велику кількість вразливих плагінів. Під час DDoS-атаки зловмисники зазвичай б'ють у слабкі місця цієї CMS:

• Атаки на XML-RPC. Файл xmlrpc.php використовується для віддаленого доступу та додатків. Боти надсилають тисячі запитів до нього, що миттєво перевантажує базу даних. Його слід заблокувати за допомогою файлу .htaccess або конфігурації Nginx.

• Перевантаження сторінки авторизації. Запити до /wp-login.php змушують сервер постійно перевіряти паролі, що вимагає великих ресурсів процесора. Допоможе обмеження доступу до адмін-панелі за допомогою IP-адреси адміністратора або встановлення додаткової HTTP-авторизації на рівні сервера (Basic Auth).

• Атаки на адмін-ajax. Запити до /wp-admin/admin-ajax.php часто використовуються плагінами в реальному часі й не кешуються. Їх потрібно обмежувати за допомогою rate limiting.

Реагування на атаки на інтернет-магазини (e-commerce)

Для онлайн-магазинів кожен час простою — це втрачені замовлення. Проте тут складніше налаштувати агресивне кешування, адже користувачі постійно взаємодіють із динамічним контентом: кошиком, особистим кабінетом, платіжними шлюзами та фільтрами товарів.

При захисті e-commerce платформ (WooCommerce, Magento, OpenCart) важливо:

• Не заблокувати платіжні системи. Переконайтеся, що IP-адреси платіжних шлюзів (наприклад, LiqPay, Stripe, PayPal) додані до «білого списку» вашого фаєрволу. Інакше клієнти не зможуть оплатити замовлення, навіть якщо сайт відкриється.

• Захистити сторінку пошуку та кошика. Саме ці сторінки боти намагаються завантажувати найчастіше, щоб викликати помилку бази даних. Налаштуйте суворі ліміти на кількість пошукових запитів за секунду для одного користувача.

Захист великих корпоративних порталів

Корпоративні сайти часто мають складну структуру з багатьма піддоменами, внутрішніми API-інтерфейсами та CRM-системами.

Для їх захисту використовують комплексні рішення:

• Розділення інфраструктури. Публічний сайт і внутрішні сервіси (пошта, CRM, бази даних) мають працювати на різних серверах та IP-адресах. Тоді навіть успішна атака на публічний сайт не паралізує роботу компанії.

• Захист API. Якщо портал використовує мобільні додатки чи сторонні інтеграції через API, ці endpoint-адреси потребують окремого захисту (наприклад, перевірки сертифікатів або спеціальних токенів авторизації на рівні WAF).

Поширені помилки під час відбиття DDoS-атаки

У стані стресу адміністратори та власники сайтів часто припускаються помилок, які не лише не допомагають подолати кризу, але й погіршують ситуацію.

Хаотичне блокування та «ефект випаленої землі»

Намагаючись швидко зупинити наплив сміттєвого трафіку, недосвідчені фахівці починають масово блокувати цілі підмережі провайдерів або навіть країни без глибокого аналізу.

• Блокування пошукових роботів. Разом із ботнетом під гарячу руку часто потрапляють роботи Google. Якщо тривалий час віддавати пошуковим павукам помилку 403 (Forbidden) або 503, сайт може швидко втратити свої позиції в пошуковій видачі, на відновлення яких підуть місяці.

• Блокування цільової аудиторії. Повністю закривши доступ для певних регіонів, ви можете відсікти частину своїх реальних клієнтів, які користуються VPN або мобільним інтернетом із динамічними IP-адресами.

Паніка, запуск неперевірених скриптів та ігнорування комунікацій

Коли сайт лежить, виникає спокуса спробувати будь-які методи, знайдені на першому-ліпшому форумі.

• Копіювання сумнівного коду. Завантаження та запуск неперевірених скриптів оптимізації чи «суперзахисних» bash-команд із невідомих джерел може призвести до повного падіння операційної системи сервера, витоку конфіденційних даних або зараження вірусами.

• Залишення проблеми без нагляду. Сподівання на те, що «атака сама скоро припиниться», зазвичай призводить до багатоденного простою сайту. Сучасні зловмисники можуть підтримувати атаки тижнями, якщо бачать, що власник ресурсу ніяк не реагує і не чинить опору.

✨ Лайфхак
Створіть і заздалегідь протестуйте правило у вашому WAF (наприклад, у Cloudflare), яке дозволяє безперешкодний доступ для перевірених пошукових ботів (це робиться через опцію Known Bots). Це гарантує, що навіть під час найсильнішого шторму та увімкненого режиму «Under attack» робот Googlebot зможе спокійно сканувати ваші сторінки без проходження CAPTCHA.

Комунікація під час інциденту: клієнти, технічна команда та хостинг

Кризовий менеджмент під час кібератаки — це не лише технічне налаштування серверів, а й правильне вибудовування комунікації. Коли сайт «лежить», інформаційний вакуум породжує паніку серед клієнтів і хаос усередині компанії. Щоб цього не сталося, взаємодія з усіма учасниками процесу має бути чіткою та структурованою.

Взаємодія з хостингом та провайдером захисту

Спілкуючись із технічною підтримкою, уникайте емоційних повідомлень на кшталт «Усе пропало, підніміть сайт!». Фахівцям потрібні конкретні факти.

Надайте їм таку інформацію:

• Точний час початку аномальної активності (бажано вказати часовий пояс).

• Симптоми (наприклад, помилки 504 Gateway Timeout під час спроби відкрити сторінку /checkout).

• Посилання на завантажені лог-файли або скриншоти з графіками навантаження.

• Заходи, які ви вже вжили самостійно (наприклад, увімкнення проксі-сервера CDN або блокування певних гео-IP).

Координація технічної команди

Усередині компанії має бути чіткий розподіл ролей. Якщо кожен почне хаотично змінювати налаштування конфігурації, це лише заплутає ситуацію. Призначте одну людину відповідальною за координацію (incident manager), яка вестиме текстовий лог дій (що було зроблено, коли й ким) у закритому робочому чаті.

Комунікація з клієнтами та збереження репутації

Найгірше, що можна зробити під час технічного збою — це вдавати, що нічого не відбувається, або мовчки видаляти коментарі обурених користувачів у соцмережах. Чесність і відкритість рятують репутацію бренду.

Якщо сайт недоступний понад 15-30 хвилин, опублікуйте офіційне повідомлення на зовнішніх майданчиках (Facebook, Telegram, Instagram).

Шаблон швидкого повідомлення для клієнтів:

«Друзі! Наразі наша ІТ-інфраструктура зазнає потужної зовнішньої атаки (DDoS). Наша технічна команда вже локалізувала загрозу та спільно з провайдерами безпеки працює над відновленням повної доступності ресурсу. Усі ваші персональні дані та кошти перебувають у повній безпеці. Дякуємо за терпіння, ми повернемося до роботи найближчим часом!»

Профілактика та підготовка інфраструктури до майбутніх інцидентів

Найкраща битва — це та, якої вдалося уникнути, або до якої ви підготувалися заздалегідь. Коли гостра фаза атаки мине, у вас з'явиться час для спокійної та системної роботи над помилками. Побудова відмовостійкої архітектури дозволить вашому ресурсу витримувати значні навантаження в майбутньому без залучення екстрених служб.

Налаштування резервних DNS та регулярних бекапів

Уся робота вашого сайту починається з DNS (Domain Name System) — системи, яка перетворює зрозуміле ім'я домену на IP-адресу сервера. Якщо зловмисники атакують DNS-сервери вашого реєстратора, сайт стане недоступним, навіть якщо сам хостинг працює ідеально.

Для захисту цієї ланки використовуйте такі заходи:

• Перехід на Anycast DNS. Провайдери з технологією Anycast (наприклад, Cloudflare DNS, Google Cloud DNS або HE.net) дублюють ваші DNS-записи на сотнях серверів по всьому світу. Завалити таку мережу практично неможливо.

• Резервне копіювання за правилом «3-2-1». Майте щонайменше 3 копії даних, зберігайте їх на 2 різних типах носіїв (або хмарних сховищах) і обов'язково тримайте 1 копію поза межами основного хостингу. Бекапи мають створюватися автоматично щодня. Якщо під час атаки відбудеться апаратний збій або пошкодження бази даних, ви зможете розгорнути чисту копію сайту на новому сервері за лічені хвилини.

Постійний моніторинг та налаштування лімітів запитів (rate limiting)

Профілактичний захист на рівні конфігурації сервера здатний зупинити до 80% дрібних і середніх атак автоматично, ще до того, як вони створять проблеми.

1. Обмеження на рівні вебсервера (Nginx/Apache). Налаштуйте модулі лімітування з'єднань. Наприклад, у конфігураційному файлі Nginx за допомогою директив limit_req_zone та limit_conn можна чітко вказати, що одна IP-адреса може робити не більше, ніж, до прикладу, 5 запитів на секунду до динамічних скриптів.

2. Системи моніторингу трафіку. Встановіть інструменти аналізу поведінки користувачів (наприклад, Zabbix, Prometheus або хоча б базовий аналізатор логів GoAccess). Вони дозволять вам бачити аномальні сплески трафіку в реальному часі та налаштувати автоматичні сповіщення про перевищення порогових значень.

Коли без професійної допомоги не обійтися

Іноді масштаби інциденту виходять за межі стандартних налаштувань вебсервера та можливостей базових безкоштовних тарифів хмарного захисту. Якщо атака триває годинами, потужність сміттєвого трафіку перевищує десятки гігабітів на секунду, а прості налаштування CDN не допомагають — це ознака того, що проти вашого бізнесу працюють професіонали, які використовують кастомні методи обходу фільтрів.

Особливу небезпеку становлять комбіновані атаки. Часто перевантаження інфраструктури використовується зловмисниками як «димова завіса». Поки ІТ-відділ намагається загасити пожежу з доступністю сервера, хакери непомітно зламують базу даних, шукають уразливості в коді або намагаються викрасти конфіденційну інформацію клієнтів.

Залучати зовнішніх експертів із кібербезпеки та спеціалізовані сервіси реагування на інциденти необхідно у таких випадках:

• Атака супроводжується листами з вимогами викупу (Ransom DDoS).

• Виникла обґрунтована підозра на паралельний несанкціонований доступ до панелі керування сервером чи бази даних.

• Інструменти самостійної фільтрації повністю блокують легітимних відвідувачів, а будь-яке послаблення правил миттєво призводить до повторного падіння сервера.

• Ваша команда вичерпала всі технічні ідеї, а сайт залишається недоступним понад кілька годин.

У таких критичних ситуаціях головне правило безпеки — не намагатися виконувати сумнівні команди, знайдені на тематичних форумах, і не запускати автоматизовані скрипти з неперевірених джерел. Це може остаточно пошкодити операційну систему вашого сервера або відкрити прихований бекдор для зловмисників.

📝 Порада
Складіть і запишіть контакти кількох компаній, що спеціалізуються на кібербезпеці та екстреному відбитті DDoS-атак, ще до того, як виникне реальна криза. У момент активної атаки у вас не буде часу на вивчення ринку та порівняння умов, тому завчасно підготовлений список із перевіреними контактами збереже ваші нерви, час та бюджет.

Цифрова стійкість: як зберегти спокій та вберегти бізнес від шторму

Будь-яка атака на вебресурс — це неприємне випробування для бізнесу, але водночас це чудовий безкоштовний аудит і тест на міцність вашої цифрової інфраструктури. Сучасні технології дозволяють успішно відбивати навіть найпотужніші атаки, якщо підійти до питання захисту системно, технічно грамотно та без зайвих емоцій.

Розуміння того, як влаштовані мережеві процеси, вміння оперативно аналізувати лог-файли та знання базових алгоритмів фільтрації трафіку перетворюють некеровану кризу на звичайне технічне завдання. Головне — пам'ятати, що кібербезпека не є разовою дією. Це безперервний процес моніторингу, оптимізації та адаптації до нових викликів цифрового середовища. Інвестуйте в надійний хостинг, налаштовуйте хмарні фільтри, тримайте свіжі копії даних у безпечному місці, і ваш сайт залишатиметься стабільним та доступним для клієнтів за будь-якої погоди в інтернеті.