Kaj je DDoS napad in kako se zaščititi

Kaj je DDoS napad?

DDoS (Distributed Denial of Service) napad je poskus, da se spletna stran ali spletna storitev naredi nedostopna tako, da se preplavi z ogromno količino lažnega prometa. Predstavljajte si, da tisoče ljudi hkrati poskuša vstopiti v majhno trgovino - pravi kupci ne morejo vstopiti, ker so vrata blokirana. Na enak način DDoS napad zatrpa vaš strežnik z zahtevami, tako da legitimni obiskovalci ne morejo dostopati do vaše spletne strani.

Beseda "Distributed" je ključna - napad ne prihaja iz enega vira, temveč iz tisočev ali milijonov kompromitiranih naprav (botnet) po vsem svetu. To otežuje blokiranje, ker ne morete preprosto blokirati enega IP naslova.

Tipi DDoS napadov

Volumetrični napadi (Layer 3/4)

Ti napadi poskušajo zasuti vaš strežnik ali omrežno infrastrukturo z ogromno količino podatkov. Cilj je porabiti vso razpoložljivo pasovno širino, tako da legitimni promet ne more priti skozi.

• UDP Flood: Pošilja ogromne količine UDP paketov na naključne porte strežnika. Strežnik troši vire, ko poskuša obdelati vsak paket.
• ICMP Flood (Ping Flood): Zatrpa strežnik z ICMP echo request paketi. Preprosto, vendar učinkovito za manjše strani.
• DNS Amplification: Uporablja odprte DNS strežnike za ojačanje napada - majhna zahteva generira velik odgovor, ki se pošlje žrtvi.

Protokolski napadi (Layer 3/4)

Ti napadi izkoriščajo slabosti v omrežnih protokolih, da bi izčrpali strežniške vire ali omrežno opremo, kot so požarni zidovi in load balancerji.

• SYN Flood: Pošlje ogromno količino TCP SYN zahtev brez dokončanja handshake-a. Strežnik drži polodprte povezave, ki trošijo pomnilnik.
• Ping of Death: Pošilja deformirane ali prevelike pakete, ki lahko sesujejo strežnik.
• Smurf Attack: Uporablja broadcast naslove za ojačanje ICMP prometa proti žrtvi.

Aplikacijski napadi (Layer 7)

Najbolj sofisticirana vrsta napadov, ki cilja na spletne aplikacije. Ti napadi posnemajo legitimen promet in jih je težko ločiti od pravih obiskovalcev.

• HTTP Flood: Pošilja legitimne HTTP GET ali POST zahteve v ogromnem številu. Vsak zahtev je videti normalen, vendar skupaj preobremenijo strežnik.
• Slowloris: Odpre veliko povezav s strežnikom in jih ohrani odprte s pošiljanjem nepopolnih zahtev. Strežnik drži vse povezave aktivne, dokler ne ostane brez virov.
• Application-specific napadi: Ciljajo na konkretne funkcionalnosti strani - iskanje, prijavo, API endpointe - ki zahtevajo več strežniških virov za obdelavo.

Kako prepoznati DDoS napad?

DDoS napadi se manifestirajo skozi več simptomov, ki jih je treba prepoznati čim prej:

• Spletna stran je izjemno počasna: Strani se nalagajo veliko počasneje kot običajno ali pa se sploh ne morejo naložiti.
• Strežnik je nedostopen: Dobite 502 Bad Gateway, 503 Service Unavailable ali timeout napake.
• Nenavaden skok v prometu: Analitika kaže ogromen skok v obiskih, ki ga ni mogoče pojasniti z običajnimi razlogi.
• Visok CPU/RAM na strežniku: Strežniški viri so na 100 % brez očitnega razloga.
• Zahteve z nenavadnih lokacij: Če je vaša stran v slovenščini, naenkrat pa dobivate tisoče obiskov iz držav, kot sta Kitajska ali Brazilija, je to sumljivo.

Zaščita prek Cloudflare-a

Cloudflare je najbolj uveljavljena storitev za DDoS zaščito in je na voljo z brezplačnim načrtom, ki pokriva osnovno zaščito. Tukaj je, kako deluje:

Kako Cloudflare ščiti vašo spletno stran

Cloudflare deluje kot posrednik med vašo spletno stranjo in obiskovalci. Ves promet teče skozi Cloudflare mrežo, ki ima več kot 300 podatkovnih centrov po vsem svetu. Zlonameren promet se filtrira, preden doseže vaš strežnik.

• Anycast mreža: Distribuira napad na veliko lokacij namesto, da gre ves promet na en strežnik.
• WAF (Web Application Firewall): Filtrira zlonamerne zahteve na aplikacijski ravni.
• Rate Limiting: Omejuje število zahtev z enega IP naslova v določenem časovnem obdobju.
• Bot Management: Uporablja machine learning za razlikovanje legitimnih obiskovalcev od botov.
• Under Attack Mode: Poseben način, ki prikazuje JavaScript challenge stran pred dostopom do strani, kar blokira večino avtomatiziranih napadov.

Nastavitev Cloudflare-a

• Ustvarite brezplačen račun na cloudflare.com.
• Dodajte svojo domeno in spremenite imenske strežnike pri registrarju na Cloudflare imenske strežnike.
• Vklopite "Proxy" status (oranžni oblak) za vse DNS zapise, ki jih želite zaščititi.
• Nastavite SSL mode na "Full (strict)" za HTTPS šifriranje.
• Konfigurirajte Security Level na "Medium" ali "High" za občutljive strani.

Hosting-level zaščita

Kakovosten hosting ponudnik je vaša prva linija obrambe pred DDoS napadi. Tukaj je, kaj iskati:

• Omrežni požarni zid: Strojni požarni zid, ki filtrira zlonameren promet, preden doseže strežnik.
• DDoS mitigation: Samodejno zaznavanje in blokiranje DDoS napadov na omrežni ravni.
• Izolacija računov: Na shared gostovanju CloudLinux/CageFS zagotavlja, da napad na en račun ne vpliva na ostale.
• ModSecurity/WAF: Web Application Firewall na ravni strežnika, ki ščiti pred Layer 7 napadi.
• Rate limiting: Omejevanje števila povezav na IP naslov na ravni spletnega strežnika (LiteSpeed/Apache).

Dodatni varnostni ukrepi

Na ravni aplikacije

• CAPTCHA na obrazcih: Preprečuje avtomatizirano pošiljanje obrazcev. Google reCAPTCHA ali hCaptcha sta brezplačni možnosti.
• Login rate limiting: Omejite število poskusov prijave (Wordfence za WordPress, Fail2ban na strežniku).
• Predpomnjenje: Predpomnjene strani trošijo veliko manj virov na zahtevek. Več izveste v našem vodniku za pospešitev spletne strani, kar naredi vašo stran bolj odporno na napade.
• Disable XML-RPC: Na WordPress straneh je xmlrpc.php pogosta tarča napadov. Onemogočite ga, če ga ne uporabljate.

Na ravni strežnika

• Fail2ban: Samodejno blokira IP naslove, ki kažejo zlonamerno vedenje (preveč neuspelih prijav, preveč zahtev).
• iptables/nftables pravila: Nastavite osnovna pravila za blokiranje očitnega zlonamernega prometa.
• TCP SYN cookies: Zaščita pred SYN Flood napadi na ravni jedra.
• Connection limits: Omejite največje število hkratnih povezav na IP naslov.

Kaj storiti med DDoS napadom?

• Ne paničite: Večina DDoS napadov traja od nekaj minut do nekaj ur. Redko trajajo dlje kot en dan.
• Aktivirajte Cloudflare Under Attack Mode: Če uporabljate Cloudflare, ta način vklopite takoj.
• Kontaktirajte hosting ponudnika: Obvestite ga o napadu - na omrežni ravni lahko uporabi dodatne ukrepe.
• Analizirajte dnevnike: Oglejte si access dnevnike, da prepoznate vzorce napada (IP razponi, user-agent stringi, ciljani URL-ji).
• Dokumentirajte napad: Zabeležite čas začetka, trajanje, vrsto napada in sprejete ukrepe za prihodnjo referenco.

Zaključek

DDoS napadi so realnost sodobnega interneta in nobena spletna stran ni popolnoma imuna. Vendar pa lahko s pravimi zaščitnimi ukrepi - Cloudflare, kakovostno gostovanje, WAF in osnovne varnostne prakse - bistveno zmanjšate tveganje in minimizirate vpliv napada. Preprečevanje je vedno cenejše od zdravljenja - nastavite zaščito, preden jo boste potrebovali. Preberite tudi naš popolni vodnik za zaščito spletne strani.