DDoS zaštita za mala poduzeća: Što trebate znati

Napad distribuiranog odbijanja usluge (DDoS) jedan je od najstarijih i najupornijih prijetnji na internetu, no i dalje je razorno učinkovit. Pojednostavljeno rečeno, DDoS napad preplavljuje vašu web stranicu ili poslužitelj toliko velikim prometom da legitimni posjetitelji više ne mogu do njega. Promet dolazi sa stotina ili tisuća kompromitiranih uređaja, botneta, raširenih širom svijeta, što ga čini gotovo nemogućim blokirati filtriranjem jedne IP adrese ili regije.

Razmjer modernih DDoS napada porastao je eksponencijalno. Godine 2019., veliki napad mogao je doseći vrhunac od 500 Gbps. Do 2025. godine zabilježeni su napadi veći od 3 Tbps, a botnetovi izgrađeni od kompromitiranih IoT uređaja poput kamera, usmjernika i pametnih termostata mogu generirati zapanjujuće volumene smećeg prometa. Za malo poduzeće koje radi na jednom cloud poslužitelju, čak i umjereni napad od 10 Gbps dovoljan je da cijelu stranicu ugasi na satima.

Financijski utjecaj ide dalje od izgubljene prodaje tijekom prekida rada. Istraživanje tvrtke Kaspersky procjenjuje da prosječni trošak DDoS napada za malo poduzeće premašuje 120.000 USD kada se uračunaju izgubljeni prihodi, troškovi oporavka, reputacijska šteta i odlazak kupaca. Za e-commerce tvrtke ili pružatelje usluga koji se oslanjaju na svoju web stranicu za generiranje leadova, čak i trideset minuta prekida rada tijekom vršnih sati može uništiti mjesece ulaganja u marketing.

Postoji uporna zabluda da DDoS napade ciljaju samo velike korporacije i državne agencije. Stvarnost je suprotna. Prema izvješću Cloudflarea iz 2025. godine, preko 45% DDoS napada ciljalo je poduzeća s manje od 250 zaposlenika. Mala poduzeća su privlačne mete upravo zato što imaju slabiju zaštitu, manje IT budžete i manju redundanciju u svojoj infrastrukturi.

Napadači ciljaju mala poduzeća iz nekoliko razloga. Natjecatelji u oštro konkurentnim industrijama poznato je da angažiraju DDoS-for-hire usluge, dostupne na tamnom webu za svega 30 USD po satu, kako bi onemogućili rad rivala tijekom kritičnog prodajnog razdoblja. Izvršitelji ucjene šalju zahtjeve za otkupnju prijetnjom napada ako se ne plati u kriptovaluti. Ponekad su mala poduzeća jednostavno kolateralna šteta u napadima usmjerenima na pružatelja zajedničkog hostinga kojeg slučajno koriste.

U GRADAX-u smo ovo vidjeli iz prvih ruku kod naših klijenata. Regijska odvjetnička kancelarija imala je svoju web stranicu ugašenu šest sati tijekom visoko profiliranog slučaja kada su suprotne strane pokrenule održivi volumetrijski napad. Lokalna skupina restorana izgubila je cijeli vikend online narudžbi tijekom 48-satnog napada kojeg njihov prethodni web hosting provider nije bio u stanju obraditi. Ovo nisu hipotetski scenariji, to su sve češće stvarnosti.

Razumijevanje različitih kategorija DDoS napada ključno je za odabir prave zaštite. Volumetrijski napadi najčešća su vrsta, čineći otprilike 65% svih incidenata. Ovi napadi ciljaju zasićenje vaše propusnosti preplavljivanjem vaše mreže ogromnim količinama podataka. UDP poplave, DNS amplifikacija i ICMP poplave spadaju u ovu kategoriju. Cilj je jednostavno brutalna sila, preopteretiti vašu vezu prometom koji ona ne može podnijeti.

Napadi na protokol iskorištavaju slabosti u implementacijama mrežnih protokola kako bi iscrpili resurse poslužitelja. SYN floodovi su klasičan primjer: napadač šalje valove TCP zahtjeva za uspostavu veze, ali nikada ne dovrši rukovanje (handshake), ostavljajući vašem poslužitelju tisuće poluotvorenih veza koje iscrpljuju tablicu veza. Smurf napadi i varijante ping-of-death također spadaju u ovu kategoriju. Ovi napadi ne zahtijevaju masovnu propusnost; djeluju tako da iscrpe konačne resurse poslužitelja poput CPU ciklusa, memorije ili slotova za vezu.

Napadi na sloju aplikacije najsufinisticiraniji su i najteže ih je detektirati. Umjesto da preplave promet sirovim podacima, ovi napadi oponašaju ponašanje legitimnih korisnika, šaljući ispravne HTTP zahtjeve na stranice intenzivno opterećene resursima, kao što su rezultati pretraživanja, obrasci za prijavu ili API endpointi. Napad Slowloris, na primjer, otvara veze i šalje zaglavlja HTTP-a iznimno sporom brzinom, trajno zauzimajući nitove poslužitelja. Budući da svaki pojedinačni zahtjev izgleda normalno, tradicionalno ograničavanje stope (rate limiting) često ne uspijeva ih uhvatiti sve dok poslužitelj nije već preopterećen.

Modernu DDoS zaštitu pokreće princip apsorpcije i filtriranja napadnog prometa prije nego što on uopće stigne do vašeg izvornog poslužitelja. Najučinkovitija rješenja koriste globalnu mrežu centara za čišćenje prometa (scrubbing centers) koji se nalaze između interneta i vašeg poslužitelja. Kada promet pristigne, prolazi kroz ove centre gdje sofisticirani algoritmi razlikuju legitimne posjetitelje od napadnog prometa. Očišćeni promet prosliđuje se na vaš poslužitelj, dok se zlonamjerni paketi odbacuju na rubu mreže.

Proces filtriranja koristi više metoda detekcije koje rade zajedno. Detekcija temeljena na potpisima uparuje obrasce prometa s poznatim potpisima napada, gotovo trenutno hvatajući dobro dokumentirane vrste napada. Analiza ponašanja prati osnovne linije prometa i označava anomalije, na primjer, nagli deseterostruki porast zahtjeva s jednog autonomnog sustava. Ograničavanje stope ograničava broj zahtjeva s bilo kojeg izvora unutar vremenskog okvira. A verifikacija temeljena na izazovima postavlja JavaScript izazove ili CAPTCHA nepouzdanim prometom, koje botovi obično ne mogu riješiti.

Za tvrtke koje koriste naše usluge sigurnosti web stranica, provodimo zaštitu na više slojeva istovremeno. Filtriranje na mrežnoj razini obrađuje volumetrijske i protokolne napade prije nego što iscrpe propusnost. Inspekcija na razini aplikacije hvata napade 7. sloja koji oponašaju legitiman promet. A zaštita izvora (origin shielding) osigurava da čak i ako napadač otkrije stvarnu IP adresu vašeg poslužitelja, izravne veze budu blokirane osim ako prođu kroz sloj zaštite prvo.

Nije sva DDoS zaštita jednaka, a odabir pogrešnog pružatelja može vam dati lažni osjećaj sigurnosti. Prvi faktor koji treba procijeniti je kapacitet mreže. Mreža vašeg pružatelja mora biti značajno veća od najvećeg napada koji bi trebala apsorbirati. Pružatelj s 1 Tbps kapaciteta čišćenja može se činiti impresivnim, sve dok ne shvatite da su višeterabitni napadi sada rutinski. Preporučujemo pružatelje s najmanje 10 Tbps globalnog kapaciteta čišćenja.

Kašnjenje (latency overhead) drugi je kritičan faktor. Neke usluge zaštite dodaju 50 do 100 milisekundi kašnjenja svakom zahtjevu jer promet mora putovati do udaljenog centra za čišćenje i natrag. Za aplikacije osjetljive na performanse, to je neprihvatljivo. Najbolji pružatelji održavaju centre za čišćenje na desetke lokacija širom svijeta, osiguravajući da se promet filtrira na najbližem rubnom čvoru s minimalnim utjecajem na kašnjenje, obično ispod 5 milisekundi tijekom normalnog rada.

Na kraju, procijenite garanciju vremena ublažavanja pružatelja. Neki pružatelji obećavaju ublažavanje unutar sekundi putem stalno aktivne zaštite koja kontinuirano filtrira promet. Drugi nude zaštitu po potrebi koja se aktivira samo kada se detektira napad, što može ostaviti vašu stranicu izloženu nekoliko minuta tijekom faze detekcije i preusmjeravanja. Za svaku tvrtku za koju je nedostupnost neprihvatljiva, stalno aktivna zaštita vrijedi dodatka. Zatražite od pružatelja njihova SLA obećanja u pisanoj formi i verificirajte njihovu povijest s nezavisnim referencama.

Mreže za dostavu sadržaja (CDN) evoluirale su daleko izvan jednostavnog predmemoriranja. Moderni CDN-ovi poput Cloudflarea, AWS Shielda i Akamaija nude integriranu DDoS zaštitu kao osnovnu značajku, čineći obranu enterprise razine dostupnom tvrtkama svih veličina. Besplatna razina Cloudflarea, na primjer, uključuje neograničenu nemjerljivu DDoS mitigaciju, što je zapažena ponuda koja je demokratizirala osnovnu zaštitu za milijune web stranica.

Zaštita temeljena na CDN-u radi tako što distribuira vaš sadržaj preko globalne mreže rubnih poslužitelja. Kada napad cilja vašu domenu, promet se apsorbira kroz cijelu mrežu umjesto da se koncentrira na jedan izvorni poslužitelj. Mreža Cloudflare-a premašuje 300 Tbps kapaciteta, što znači da čak i najveći zabilježeni napadi predstavljaju samo dio njihove dostupne propusnosti. Budući da se legitiman promet također poslužuje iz rubnih predmemorija, vaši korisnici doživljavaju brže vrijeme učitavanja, a vaš izvorni poslužitelj ima manje opterećenja u cjelini.

Konfiguriramo zaštitu temeljenu na CDN-u za mnoge naše klijente u GRADAXU, integrirajući je s našom infrastrukturom oblak poslužitelja za obranu u dubinu. CDN obrađuje volumetrijske napade na rubu, dok naše zaštite na razini izvora hvataju bilo koji promet koji propadne. Ovaj slojeviti pristup pokazao se izuzetno učinkovitim; kod svih klijenata koji koriste našu preporučenu konfiguraciju, održali smo 100% dostupnost tijekom svakog događaja napada u proteklih osamnaest mjeseci. Za tvrtke spremne implementirati ovaj postav, kontaktirajte naš tim za prilagođenu procjenu.

Čak i uz jaku zaštitu na snazi, svaka tvrtka treba dokumentirani plan odgovora na DDoS. Sredina napada najgora je situacija za utvrđivanje koga nazvati, što provjeriti i kako komunicirati s kupcima. Dobar plan odgovora pokriva četiri faze: pripremu, detekciju, odgovor i oporavak. Svaka faza treba imati jasne vlasnike, specifična djelovanja i kriterije eskalacije.

U fazi pripreme, dokumentirajte svoje normalne osnovne linije prometa, navedite sve kritične IP adrese i domene te uspostavite komunikacijske kanale sa svojim pružateljem hostinga i dobavljačem DDoS zaštite. Tijekom detekcije, definirajte što se smatra napadom naspram legitimnog skoka prometa, viralna objava na društvenim medijima može se u vašoj analitici činiti nevjerojatno sličnom DDoS napadu. Faza odgovora treba uključivati korake za aktiviranje dodatnih slojeva zaštite, prebacivanje na stranicu za održavanje ako je potrebno i komuniciranje ažuriranja statusa kupcima putem društvenih medija ili e-pošte.

Faza oporavka često se zanemaruje, ali je jednako važna. Nakon što napad splasne, verificirajte da svi servisi ispravno funkcioniraju, pregledajte dnevnike kako biste razumjeli vektor napada i ažurirajte svoja pravila zaštite na temelju naučenog. Dokumentirajte vremensku crtu i utjecaj radi osiguranja i za informiranje budućeg planiranja. Preporučujemo provođenje stolne vježbe vašeg plana odgovora na DDoS najmanje dvaput godišnje, simulirajući različite scenarije napada i verificirajući da svaki član tima poznaje svoju ulogu.

Osim posvećenih usluga DDoS zaštite, nekoliko najboljih praksi može drastično smanjiti površinu napada i poboljšati vašu otpornost. Prvo, nikada ne izlažite javno IP adresu svog izvornog poslužitelja. Koristite obrnuti proxy ili CDN za sav promet i konfigurirajte vatrozaslon svog poslužitelja da prihvaća veze samo iz raspona IP adresa vašeg pružatelja zaštite. Ako napadač može zaobići sloj vaše zaštite izravnim povezivanjem na vaš izvorni poslužitelj, sav taj skupi infrastruktura za ublažavanje postaje beskorisna.

Drugo, implementirajte ograničavanje brzine (rate limiting) na razini aplikacije za resursno zahtjevne krajnje točke. Stranice za prijavu, funkcije pretraživanja i API krajnje točke trebaju ograničiti broj zahtjeva po IP adresi na razumne razine, primjerice 10 pokušaja prijave u minuti ili 60 API poziva u minuti. Ovo neće u potpunosti spriječiti distribuirani napad, ali ograničava štetu koju može nanijeti jedan bot i dobiva vašoj infrastrukturi vrijeme za detekciju i odgovor. Kombinirajte ovo s geografskim filtriranjem ako vaše poslovanje opslužuje samo određene regije; nema razloga prihvaćati promet iz zemalja gdje nemate klijente.

Treće, održavajte redundanciju infrastrukture i imajte plan prebacivanja na rezervni sustav (failover). Pokrećite svoju aplikaciju na više cloud servera u različitim zonama dostupnosti kako bi napad na jedan čvor ne oborio cijelo vaše poslovanje. Održavajte niske DNS TTL vrijednosti kako biste mogli brzo preusmjeriti promet na rezervnu infrastrukturu ako je potrebno. I osigurajte da vaša baza podataka i pohrana datoteka mogu podnijeti brzi prijelaz bez gubitka podataka. Ove mjere poboljšavaju ne samo vašu otpornost na DDoS napade, već i ukupni položaj sigurnosti web stranice te mogućnosti kontinuiteta poslovanja. Ako niste sigurni gdje su vaše ranjivosti, kontaktirajte nas za besplatnu procjenu infrastrukture.