Šta je DDoS napad i kako se zaštititi

Šta je DDoS napad?

DDoS (Distributed Denial of Service) napad je pokušaj da se sajt ili online servis ucini nedostupnim tako što se preplavi ogromnom količinom laznog saobraćaja. Zamislite da hiljadama ljudi istovremeno pokusa da uđe u malu prodavnicu - pravi kupci ne mogu da uđu jer su vrata blokirana. Na isti način, DDoS napad zatrpava vaš server zahtevima tako da legitimni posetioci ne mogu da pristupe vašem sajtu.

Reč "Distributed" je ključna - napad ne dolazi iz jednog izvora, već iz hiljada ili miliona kompromitovanih uređaja (botnet) širom sveta. To otezava blokiranje jer ne možete jednostavno blokirati jednu IP adresu.

Tipovi DDoS napada

Volumetrijski napadi (Layer 3/4)

Ovi napadi pokusavaju da zasute vaš server ili mrežnu infrastrukturu ogromnom količinom podataka. Cilj je potrošiti sav raspoloživi bandwidth tako da legitimni saobraćaj ne može da prođe.

• UDP Flood: Šalje ogromne količine UDP paketa na nasumične portove servera. Server trosi resurse pokusavajuci da obradi svaki paket.
• ICMP Flood (Ping Flood): Zatrpava server ICMP echo request paketima. Jednostavan ali efektivan za manje sajtove.
• DNS Amplification: Koristi otvorene DNS servere da pojača napad - mali zahtev generiše veliki odgovor koji se šalje žrtvi.

Protokolski napadi (Layer 3/4)

Ovi napadi eksploatišu slabosti u mrežnim protokolima da bi iscrpeli serverske resurse ili mrežnu opremu poput firewall-a i load balancer-a.

• SYN Flood: Šalje ogromnu količinu TCP SYN zahteva bez završavanja handshake-a. Server drži poluotvorene konekcije koje troše memoriju.
• Ping of Death: Šalje deformisane ili prevelike pakete koji mogu da sruše server.
• Smurf Attack: Koristi broadcast adrese da pojača ICMP saobraćaj ka žrtvi.

Aplikacijski napadi (Layer 7)

Najsofisticiraniji tip napada koji targetira web aplikacije. Ovi napadi imitiraju legitimni saobraćaj i teško ih je razlikovati od pravih posetilaca.

• HTTP Flood: Šalje legitimne HTTP GET ili POST zahteve u ogromnom broju. Svaki zahtev izgleda normalno, ali zajedno preopterećuju server.
• Slowloris: Otvara mnogo konekcija ka serveru i drži ih otvorenim šaljući nepotpune zahteve. Server drži sve konekcije aktivnim dok ne ostane bez resursa.
• Application-specific napadi: Targetiraju konkretne funkcionalnosti sajta - pretraga, login, API endpoint-i - koje zahtevaju više serverskih resursa za obradu.

Kako prepoznati DDoS napad?

DDoS napadi se manifestuju kroz više simptoma koje treba prepoznati što ranije:

• Sajt je izuzetno spor: Stranice se učitavaju mnogo sporije nego obično ili uopšte ne mogu da se učitaju.
• Server je nedostupan: Dobijate 502 Bad Gateway, 503 Service Unavailable ili timeout greške.
• Neuobičajen skok u saobraćaju: Analytics pokazuje ogroman skok u possetama koji ne može da se objasni normalnim razlozima.
• Visok CPU/RAM na serveru: Serverski resursi su na 100% bez ociglednog razloga.
• Zahtevi sa neuobičajenih lokacija: Ako je vaš sajt na srpskom, a odjednom dobijate hiljade poseta iz zemalja poput Kine ili Brazila, to je sumnjivo.

Zaštita putem Cloudflare-a

Cloudflare je najistaknutiji servis za DDoS zaštitu i dostupan je sa besplatnim planom koji pokriva osnovnu zaštitu. Evo kako funkcioniše:

Kako Cloudflare stiti vaš sajt

Cloudflare radi kao posrednik između vašeg sajta i posetilaca. Sav saobraćaj prolazi kroz Cloudflare mrežu koja ima više od 300 data centara širom sveta. Zlonameran saobraćaj se filtrira pre nego što stigne do vašeg servera.

• Anycast mreža: Distribuira napad na mnogo lokacija umesto da sav saobraćaj ide na jedan server.
• WAF (Web Application Firewall): Filtrira zlonamerne zahteve na aplikacijskom nivou.
• Rate Limiting: Ogranicava broj zahteva sa jedne IP adrese u određenom vremenskom periodu.
• Bot Management: Koristi machine learning za razlikovanje legitimnih posetilaca od botova.
• Under Attack Mode: Poseban režim koji prikazuje JavaScript challenge stranicu pre pristupa sajtu, što blokira većinu automatizovanih napada.

Podešavanje Cloudflare-a

• Kreirajte besplatan nalog na cloudflare.com.
• Dodajte vaš domen i promenite nameservere kod registrara na Cloudflare nameservere.
• Uključite "Proxy" status (narandzasti oblak) za sve DNS zapise koje želite da zaštitite.
• Postavite SSL mode na "Full (strict)" za HTTPS enkripciju.
• Konfigurisite Security Level na "Medium" ili "High" za osetljive sajtove.

Hosting-level zaštita

Kvalitetan hosting provajder je vaša prva linija odbrane od DDoS napada. Evo šta da tražite:

• Mrezni firewall: Hardverski firewall koji filtrira zlonamerni saobraćaj pre nego što stigne do servera.
• DDoS mitigation: Automatska detekcija i blokiranje DDoS napada na mrežnom nivou.
• Izolacija naloga: Na shared hostingu, CloudLinux/CageFS osigurava da napad na jedan nalog ne utice na ostale.
• ModSecurity/WAF: Web Application Firewall na nivou servera koji stiti od Layer 7 napada.
• Rate limiting: Ogranicavanje broja konekcija po IP adresi na nivou web servera (LiteSpeed/Apache).

Dodatne mere zaštite

Na nivou aplikacije

• CAPTCHA na formama: Sprecava automatizovano slanje formi. Google reCAPTCHA ili hCaptcha su besplatne opcije.
• Login rate limiting: Ogranicite broj pokušaja logovanja (Wordfence za WordPress, Fail2ban na serveru).
• Keesiranje: Kesirane stranice trose mnogo manje resursa po zahtevu. Saznajte više u našem vodicu za ubrzanje sajta, što vaš sajt čini otpornijim na napade.
• Disable XML-RPC: Na WordPress sajttovima, xmlrpc.php je česta meta napada. Onemogućite ga ako ga ne koristite.

Na nivou servera

• Fail2ban: Automatski blokira IP adrese koje pokazuju zlonamerano ponašanje (previše neuspelih logovanja, previše zahteva).
• iptables/nftables pravila: Postavite osnovna pravila za blokiranje ociglednog zlonamernog saobraćaja.
• TCP SYN cookies: Zaštita od SYN Flood napada na nivou kernela.
• Connection limits: Ogranicite maksimalan broj istovremenih konekcija po IP adresi.

Šta raditi tokom DDoS napada?

• Ne panicite: Većina DDoS napada traje od nekoliko minuta do nekoliko sati. Retko traju duže od jednog dana.
• Aktivirajte Cloudflare Under Attack Mode: Ako koristite Cloudflare, uključite ovaj režim odmah.
• Kontaktirajte hosting provajdera: Obavestite ih o napadu - oni mogu primeniti dodatne mere na mrežnom nivou.
• Analizirajte logove: Pogledajte access logove da identifikujete paterne napada (IP opsezi, user-agent stringovi, targetirani URL-ovi).
• Dokumentujte napad: Zabelesite vreme pocetka, trajanje, tip napada i preuzete mere za buducu referencu.

Zaključak

DDoS napadi su realnost modernog interneta i nijedan sajt nije potpuno imun. Međutim, sa pravim merama zaštite - Cloudflare, kvalitetan hosting, WAF i osnovne bezbednosne prakse - možete značajno smanjiti rizik i minimizirati uticaj napada. Prevencija je uvek jeftinija od lecenja - postavite zaštitu pre nego što vam zatreba. Pročitajte i naš kompletni vodič za zaštitu sajta.