Почему атака распределена
Название DDoS расшифровывается как «распределённый отказ в обслуживании». Распределённый — потому что трафик приходит не из одного источника, а сразу со множества устройств. Злоумышленники могут объединить заражённые компьютеры, роутеры и другие подключённые к интернету устройства в ботнет — сеть, которой они управляют удалённо.
Для сайта это осложняет фильтрацию: запросы поступают с разных адресов и могут выглядеть по-разному. Сервер не всегда способен заранее отличить их от обращений обычных людей.
Где именно возникает перегрузка
Атаке не обязательно «сломать» сервер. Достаточно истощить один из ресурсов, от которых зависит работа сайта. Если забит канал связи, новые данные не могут вовремя попасть к серверу. Если перегружены его процессор, память или программное обеспечение, он медленно обрабатывает запросы и отправляет ответы.
Поэтому сайт может открываться с задержкой или быть недоступен, хотя его файлы и база данных остаются целыми. Перегрузка затрагивает не только страницу для посетителей: если сайт и другие сервисы пользуются общей инфраструктурой, проблема может распространиться и на них.
Почему защита требует нескольких уровней
Защитные системы пытаются распознать подозрительный поток и отсеять его до того, как он исчерпает ресурсы сайта. Часть трафика можно остановить на сетевом уровне — ещё до обработки самим сервером; другие фильтры оценивают характер запросов и ограничивают подозрительные обращения.
Но универсального признака атаки нет: резкий наплыв может быть и настоящим всплеском интереса. Поэтому важны масштабирование инфраструктуры и несколько уровней фильтрации. Если защита справляется, обычные посетители продолжают попадать на сайт, даже когда часть его ресурсов занята обработкой вредоносного потока.
