Ochrana před DDoS pro malé firmy: co potřebujete vědět

Distribuovaný útok typu odepření služby je jednou z nejstarších a nejvytrvalejších hrozeb na internetu, přesto zůstává ničivě účinný. Jednoduše řečeno, DDoS útok zaplaví váš web nebo server takovým množstvím provozu, že se na něj legitimní návštěvníci už nedostanou. Provoz přichází ze stovek nebo tisíců kompromitovaných zařízení, botnetu rozprostřeného po celém světě, což prakticky znemožňuje zablokování filtrováním jedné IP adresy nebo regionu.

Rozsah moderních DDoS útoků roste exponenciálně. V roce 2019 mohl velký útok dosáhnout špičky 500 Gbps. Do roku 2025 byly zaznamenány útoky přesahující 3 Tbps a botnety složené z kompromitovaných IoT zařízení, jako jsou kamery, routery a chytré termostaty, dokážou generovat ohromující objemy falešného provozu. Pro malou firmu provozující jediný cloudový server stačí i skromný 10Gbps útok k tomu, aby byl celý web na hodiny offline.

Finanční dopad přesahuje ztracené prodeje během výpadku. Podle výzkumu společnosti Kaspersky přesahují průměrné náklady na DDoS útok pro malou firmu 120 000 USD, vezmeme-li v úvahu ztracené příjmy, náklady na obnovu, poškození pověsti a odliv zákazníků. Pro e-shopy nebo poskytovatele služeb, kteří spoléhají na svůj web při získávání poptávek, může i třicet minut výpadku ve špičce zničit měsíce investic do marketingu.

Přetrvává mylná představa, že DDoS útoky cílí pouze na velké korporace a vládní agentury. Opak je pravdou. Podle zprávy společnosti Cloudflare z roku 2025 bylo přes 45 % DDoS útoků zaměřeno na firmy s méně než 250 zaměstnanci. Malé firmy jsou atraktivním terčem právě proto, že mívají slabší obranu, menší IT rozpočty a menší redundanci infrastruktury.

Útočníci cílí na malé firmy z několika důvodů. Konkurenti v nelítostných odvětvích si údajně najímají služby DDoS na zakázku, dostupné na dark webu už od 30 USD za hodinu, aby vyřadili rivala v kritickém prodejním období. Vyděrači posílají výhrůžky útokem, pokud nedojde k platbě v kryptoměně. A někdy jsou malé firmy prostě vedlejší škodou při útocích namířených na poskytovatele sdíleného hostingu, kterého náhodou využívají.

V GRADAX jsme to zažili na vlastní kůži u našich klientů. Regionální advokátní kancelář měla web offline šest hodin během sledovaného případu, když protistrana spustila vytrvalý volumetrický útok. Místní restaurační skupina přišla o celý víkend online objednávek během 48hodinového útoku, který její předchozí poskytovatel webhostingu nebyl vůbec schopen zvládnout. To nejsou hypotetické scénáře, to je stále běžnější realita.

Pochopení různých kategorií DDoS útoků je zásadní pro výběr správné ochrany. Volumetrické útoky jsou nejběžnějším typem a tvoří přibližně 65 % všech incidentů. Cílem těchto útoků je saturovat vaši šířku pásma zaplavením sítě obrovským množstvím dat. Do této kategorie patří UDP flood, DNS amplification a ICMP flood. Cílem je prostá hrubá síla, zahltit vaše připojení větším provozem, než dokáže zvládnout.

Protokolové útoky zneužívají slabiny v implementaci síťových protokolů k vyčerpání prostředků serveru. Klasickým příkladem jsou SYN flood útoky: útočník zašle záplavu požadavků na navázání TCP spojení, ale nikdy nedokončí handshake, takže na serveru zůstanou tisíce polootevřených spojení, která vyčerpají jeho tabulku spojení. Patří sem také Smurf útoky a varianty ping-of-death. Tyto útoky nevyžadují obrovskou šířku pásma, fungují na principu vyčerpání omezených prostředků serveru, jako jsou cykly CPU, paměť nebo sloty pro spojení.

Útoky na aplikační vrstvě jsou nejsofistikovanější a nejhůře odhalitelné. Místo záplavy surového provozu tyto útoky napodobují chování legitimního uživatele a posílají platné HTTP požadavky na stránky náročné na zdroje, jako jsou výsledky vyhledávání, přihlašovací formuláře nebo API endpointy. Například útok Slowloris otevírá spojení a posílá HTTP hlavičky zoufale pomalým tempem, čímž donekonečna blokuje vlákna serveru. Protože každý jednotlivý požadavek vypadá normálně, tradiční omezování rychlosti je často nezachytí, dokud není server již zahlcen.

Moderní ochrana proti DDoS funguje na principu pohlcení a filtrování útočného provozu dříve, než se vůbec dostane na váš originální server. Nejúčinnější řešení využívají globální síť scrubbing center, která stojí mezi internetem a vaším serverem. Když provoz dorazí, prochází těmito centry, kde sofistikované algoritmy rozlišují legitimní návštěvníky od útočného provozu. Čistý provoz je předán vašemu serveru, zatímco škodlivé pakety jsou zahozeny na okraji sítě.

Proces filtrování využívá několik metod detekce, které spolupracují. Detekce na základě signatur porovnává vzory provozu se známými signaturami útoků a zachytí dobře zdokumentované typy útoků téměř okamžitě. Behaviorální analýza sleduje základní hodnoty provozu a označuje anomálie, například náhlý desetinásobný nárůst požadavků z jednoho autonomního systému. Omezování rychlosti zastropuje počet požadavků z jednoho zdroje v daném časovém okně. A ověřování pomocí výzev předkládá podezřelému provozu JavaScriptové výzvy nebo CAPTCHA, které boti obvykle nedokážou vyřešit.

Pro firmy využívající naše služby zabezpečení webu implementujeme ochranu současně na několika vrstvách. Filtrování na síťové úrovni řeší volumetrické a protokolové útoky dříve, než spotřebují šířku pásma. Inspekce na aplikační úrovni zachytí útoky na 7. vrstvě, které napodobují legitimní provoz. A ochrana originu zajišťuje, že i když útočník objeví skutečnou IP adresu vašeho serveru, přímá spojení jsou blokována, pokud neprojdou nejprve ochrannou vrstvou.

Ne všechny ochrany proti DDoS jsou stejné a výběr nesprávného poskytovatele vám může vyvolat falešný pocit bezpečí. Prvním faktorem k posouzení je kapacita sítě. Síť vašeho poskytovatele musí být výrazně větší než největší útok, který by musela absorbovat. Poskytovatel s kapacitou pro čištění provozu (scrubbing) 1 Tbps může působit impozantně, dokud si neuvědomíte, že více-terabitové útoky jsou dnes běžnou záležitostí. Doporučujeme poskytovatele s alespoň 10 Tbps globální kapacity pro čištění provozu.

Druhým kritickým faktorem je latence způsobená ochranou. Některé ochranné služby přidávají ke každému požadavku 50 až 100 milisekund latence, protože provoz musí cestovat do vzdáleného centra pro čištění provozu a zpět. Pro aplikace citlivé na výkon je to nepřijatelné. Nejlepší poskytovatelé udržují centra pro čištění provozu v desítkách globálních lokalit, což zajišťuje filtrování provozu v nejbližším okrajovém uzlu s minimálním dopadem na latenci, obvykle pod 5 milisekund během běžného provozu.

Nakonec posuďte garanci doby zmírnění útoku u poskytovatele. Někteří poskytovatelé slibují zmírnění útoku během sekund díky trvale aktivní ochraně, která provoz neustále filtruje. Jiní nabízejí ochranu na vyžádání, která se aktivuje až při detekci útoku, což může váš web vystavit riziku několik minut během fáze detekce a přesměrování. Pro každou firmu, pro kterou je výpadek nepřijatelný, se trvale aktivní ochrana vyplatí i za vyšší cenu. Požádejte poskytovatele o písemné závazky SLA a ověřte si jejich referenční projekty u nezávislých zdrojů.

Content Delivery Networks se vyvinuly daleko za jednoduché ukládání dat do mezipaměti (cachování). Moderní CDN jako Cloudflare, AWS Shield a Akamai nabízejí integrovanou ochranu proti DDoS jako základní funkci, což zpřístupňuje obranu na podnikové úrovni firmám všech velikostí. Například bezplatná úroveň Cloudflare zahrnuje neomezené zmírňování DDoS bez měření objemu, což je pozoruhodná nabídka, která demokratizovala základní ochranu pro miliony webů.

Ochrana založená na CDN funguje tak, že distribuuje váš obsah po globální síti okrajových serverů. Když útok cílí na vaši doménu, provoz je absorbován celou sítí, místo aby se soustředil na jediný původní server. Síť Cloudflare přesahuje kapacitu 300 Tbps, což znamená, že i ty největší zaznamenané útoky představují zlomek jejich dostupné šířky pásma. Protože legitimní provoz je také obsluhován z mezipaměti na okraji sítě, vaši uživatelé zažívají rychlejší načítání a váš původní server celkově zvládá menší zátěž.

Pro mnoho našich klientů v GRADAX konfigurujeme ochranu založenou na CDN a integrujeme ji s naší infrastrukturou cloudových serverů pro obranu do hloubky. CDN řeší volumetrické útoky na okraji sítě, zatímco naše ochrany na úrovni originu zachytí jakýkoli provoz, který proklouzne. Tento vrstvený přístup se ukázal jako vysoce účinný, u všech klientů používajících naši doporučenou konfiguraci jsme za posledních osmnáct měsíců udrželi 100% dostupnost během každého útoku. Pro firmy připravené toto nastavení implementovat se obraťte na náš tým pro individuální posouzení.

I s robustní ochranou na místě potřebuje každá firma zdokumentovaný plán reakce na DDoS. Uprostřed útoku je nejhorší čas zjišťovat, komu volat, co kontrolovat a jak komunikovat se zákazníky. Dobrý plán reakce pokrývá čtyři fáze: příprava, detekce, reakce a obnova. Každá fáze by měla mít jasné odpovědné osoby, konkrétní kroky a kritéria pro eskalaci.

Ve fázi přípravy zdokumentujte své běžné hodnoty provozu, sepište všechny kritické IP adresy a domény a nastavte komunikační kanály se svým poskytovatelem hostingu a dodavatelem ochrany proti DDoS. Během detekce definujte, co představuje útok oproti legitimnímu nárůstu provozu, virální příspěvek na sociálních sítích může ve vaší analytice vypadat pozoruhodně podobně jako DDoS útok. Fáze reakce by měla zahrnovat kroky pro aktivaci dalších ochranných vrstev, přepnutí na údržbovou stránku, pokud je to nutné, a komunikaci aktuálního stavu zákazníkům prostřednictvím sociálních sítí nebo e-mailu.

Fáze obnovy je často přehlížena, ale je stejně důležitá. Po ustoupení útoku ověřte, že všechny služby fungují správně, projděte logy pro pochopení vektoru útoku a aktualizujte ochranná pravidla na základě získaných poznatků. Časovou osu a dopad zdokumentujte pro účely pojištění a pro budoucí plánování. Doporučujeme provádět tabletop cvičení vašeho plánu reakce na DDoS alespoň dvakrát ročně, simulací různých scénářů útoků ověřit, že každý člen týmu zná svou roli.

Kromě specializovaných služeb ochrany proti DDoS může několik osvědčených postupů dramaticky snížit vaši útočnou plochu a zlepšit odolnost. Za prvé nikdy veřejně neodhalujte IP adresu svého originálního serveru. Pro veškerý provoz používejte reverzní proxy nebo CDN a nakonfigurujte firewall serveru tak, aby přijímal spojení pouze z IP rozsahů poskytovatele ochrany. Pokud útočník dokáže obejít ochrannou vrstvu přímým připojením k originálu, stává se drahá infrastruktura pro zmírňování útoků bezcennou.

Za druhé zaveďte omezení rychlosti na úrovni aplikace pro náročné koncové body. Přihlašovací stránky, vyhledávací funkce a koncové body API by měly omezit počet požadavků na IP na rozumnou úroveň, například 10 pokusů o přihlášení za minutu nebo 60 volání API za minutu. Distribuovaný útok to sice zcela nezastaví, ale omezí škody způsobené jednotlivým botem a zajistí infrastruktuře čas na detekci a reakci. Pokud vaše firma obsluhuje pouze konkrétní regiony, zkombinujte toto opatření s geografickým filtrováním, nemá smysl přijímat provoz ze zemí, kde nemáte zákazníky.

Za třetí udržujte redundanci infrastruktury a mějte plán převzetí při selhání. Aplikaci provozujte na více cloudových serverech v různých zónách dostupnosti, aby útok na jeden uzel nevyřadil celý váš provoz. Udržujte nízké hodnoty TTL DNS, abyste mohli v případě potřeby rychle přesměrovat provoz na záložní infrastrukturu. Zajistěte také, aby databáze a úložiště souborů zvládly rychlé převzetí bez ztráty dat. Tato opatření zlepšují nejen odolnost proti DDoS, ale i celkovou bezpečnost webu a schopnost kontinuity podnikání. Pokud si nejste jisti, kde se nacházejí vaše zranitelná místa, kontaktujte nás pro bezplatné posouzení infrastruktury.