Каковы уровни защиты от DDoS-атак и что обрабатывает каждый уровень?

Question

Accepted Answer

Защита от DDoS — это **многоуровневая защита**: ни один отдельный механизм не остановит каждую атаку, поэтому вы накладываете слои, которые поглощают, фильтруют или блокируют различные классы трафика. Порядок имеет значение — перемещайте как можно больше нагрузки на край сети, подальше от вашего origin-сервера.

## Уровни, от края внутрь

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — самый внешний слой. С **anycast**, один и тот же IP анонсируется со множества точек присутствия, поэтому объемная атака **распределяется по глобальной емкости** вместо одного дата-центра. Scrubbing centers поглощают наводнение трафика и пропускают только чистый трафик.
- **WAF (Web Application Firewall)** — проверяет HTTP-запросы и блокирует вредоносные паттерны: плохие сигнатуры, подозрительные user agents, известные вредоносные IP и **Layer 7** атаки, которые имитируют реальные запросы.
- **Rate limiting** — ограничивает количество запросов с IP, API-ключа или пользователя за временное окно, возвращая `429 Too Many Requests`. Останавливает агрессивных клиентов без вреда для обычных.
- **Upstream / ISP blackhole (null-route)** — последняя линия защиты от сырого объема. Провайдер отбрасывает весь трафик на целевой IP (**remotely-triggered blackhole, RTBH**), жертвуя одним IP, чтобы защитить все остальное.
- **Autoscaling + overprovisioning** — дополнительная емкость origin-сервера, чтобы **поглотить** то, что прошло сквозь фильтры, выигрывая время пока другие уровни включаются.

## Как они работают вместе

Модель мышления — **поглотить -> отфильтровать -> заблокировать**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Объемные атаки гибнут на уровне CDN/scrubbing; атаки на уровне приложения, которые выглядят как реальный трафик, отфильтровываются WAF и rate limiter.

## Почему это важно

Полагаться на один уровень предсказуемо не работает: WAF не может остановить наводнение в 1 Tbps (канал насыщается в первую очередь), а один CDN с радостью пропустит хитрую HTTP-атаку до вашего origin-сервера. Многоуровневость означает, что каждый класс атак встречает контроль, разработанный специально для него, и origin видит только трафик, который внешние уровни не смогли обработать самостоятельно.