DDoS-védelem kisvállalkozásoknak: amit tudnia kell

Az elosztott szolgáltatásmegtagadási támadás az internet egyik legrégebbi és legkitartóbb fenyegetése, mégis pusztítóan hatékony maradt. Egyszerűen fogalmazva, a DDoS-támadás akkora forgalommal árasztja el a weboldalát vagy szerverét, hogy a valódi látogatók már nem érik el azt. A forgalom több száz vagy több ezer feltört eszközről érkezik, egy botnetről, amely a világ minden táján szétszóródott, így szinte lehetetlen egyetlen IP-cím vagy régió szűrésével blokkolni.

A modern DDoS-támadások mértéke exponenciálisan nőtt. 2019-ben egy nagy támadás csúcsa 500 Gbps lehetett. 2025-re már 3 Tbps-t meghaladó támadásokat is rögzítettek, és a feltört IoT-eszközökből, például kamerákból, routerekből és okos termosztátokból, épült botnetek elképesztő mennyiségű szemétforgalmat képesek generálni. Egyetlen felhőszerveren működő kisvállalkozás számára már egy szerény, 10 Gbps-os támadás is elég ahhoz, hogy az egész oldal órákra elérhetetlenné váljon.

A pénzügyi hatás túlmutat a leállás alatt elveszett eladásokon. A Kaspersky kutatása szerint egy kisvállalkozást érő DDoS-támadás átlagos költsége meghaladja a 120 000 dollárt, ha figyelembe vesszük az elveszett bevételt, a helyreállítási költségeket, a hírnévkárt és az ügyféllemorzsolódást. Az e-kereskedelmi vállalkozások vagy szolgáltatók számára, amelyek weboldalukra támaszkodnak az érdeklődők gyűjtésében, már harminc perc leállás is csúcsidőben tönkreteheti több hónap marketingbefektetését.

Kitartó tévhit, hogy a DDoS-támadások csak nagyvállalatokat és kormányzati szerveket céloznak. A valóság az ellenkezője. A Cloudflare 2025-ös jelentése szerint a DDoS-támadások több mint 45%-a 250 főnél kevesebbet foglalkoztató vállalkozásokat célzott. A kisvállalkozások pont azért vonzó célpontok, mert általában gyengébb védelemmel, kisebb IT-költségvetéssel és kevesebb redundanciával rendelkeznek az infrastruktúrájukban.

A támadók több okból célozzák a kisvállalkozásokat. A könyörtelen iparágakban működő versenytársakról ismert, hogy DDoS-bérszolgáltatásokat vesznek igénybe, amelyek a dark weben akár óránként 30 dollárért elérhetők, hogy egy kritikus értékesítési időszakban kiüssék a riválist. A zsarolók váltságdíjköveteléseket küldenek, amelyekkel támadással fenyegetőznek, hacsak nem fizetnek kriptovalutában. És néha a kisvállalkozások egyszerűen csak mellékes kárát szenvedik el azoknak a támadásoknak, amelyeket a közös tárhelyszolgáltatójuk ellen indítanak.

A GRADAX-nál ezt első kézből tapasztaltuk ügyfeleinknél. Egy regionális ügyvédi iroda weboldala hat órára elérhetetlenné vált egy nagy figyelmet kapó ügy idején, amikor ellenérdekelt felek tartós volumetrikus támadást indítottak. Egy helyi étteremlánc egy egész hétvégényi online rendelést veszített el egy 48 órás támadás során, amelyet a korábbi webtárhely szolgáltatójuk teljesen felkészületlenül fogadott. Ezek nem hipotetikus forgatókönyvek, hanem egyre gyakoribb valóságok.

A DDoS-támadások különböző kategóriáinak megértése elengedhetetlen a megfelelő védelem kiválasztásához. A volumetrikus támadások a leggyakoribb típus, az összes esemény körülbelül 65%-át teszik ki. Ezek a támadások arra irányulnak, hogy telítsék a sávszélességét azáltal, hogy hatalmas mennyiségű adattal árasztják el a hálózatát. Az UDP-árasztás, a DNS-amplifikáció és az ICMP-árasztás ebbe a kategóriába tartozik. A cél egyszerű nyers erő: elárasztani a kapcsolatát több forgalommal, mint amennyit kezelni képes.

A protokolltámadások a hálózati protokollok implementációinak gyengeségeit használják ki, hogy szervererőforrásokat emésszenek fel. Az SYN flood a klasszikus példa: a támadó TCP-kapcsolódási kérések özönét küldi, de soha nem fejezi be a kézfogást, így a szerveren több ezer félig nyitott kapcsolat marad, amelyek kimerítik a kapcsolattáblát. A Smurf-támadások és a ping-of-death változatok is ide tartoznak. Ezekhez a támadásokhoz nem kell hatalmas sávszélesség, a véges szervererőforrások, például CPU-ciklusok, memória vagy kapcsolódási helyek, kimerítésével működnek.

Az alkalmazásszintű támadások a legkifinomultabbak és a legnehezebben észlelhetők. A nyers forgalom elárasztása helyett ezek a támadások a legitim felhasználói viselkedést utánozzák, érvényes HTTP-kéréseket küldenek erőforrás-igényes oldalakra, például keresési eredményekre, bejelentkezési űrlapokra vagy API-végpontokra. A Slowloris támadás például kapcsolatokat nyit, és fájdalmasan lassú ütemben küldi a HTTP-fejléceket, határozatlan ideig lefoglalva a szerver szálait. Mivel minden egyes kérés normálisnak tűnik, a hagyományos sebességkorlátozás gyakran nem fogja el őket, amíg a szerver már túlterhelt nem lesz.

A modern DDoS-védelem azon az elven működik, hogy a támadó forgalmat még azelőtt elnyeli és szűri, hogy az elérné az eredeti szervert. A leghatékonyabb megoldások a tisztítóközpontok globális hálózatát használják, amelyek az internet és a szerver között helyezkednek el. Amikor a forgalom megérkezik, áthalad ezeken a központokon, ahol kifinomult algoritmusok megkülönböztetik a legitim látogatókat a támadó forgalomtól. A tiszta forgalmat továbbítják a szerverre, míg a rosszindulatú csomagokat a peremen eldobják.

A szűrési folyamat több észlelési módszert használ együtt. Az aláírás-alapú észlelés a forgalmi mintázatokat ismert támadási aláírásokhoz hasonlítja, és szinte azonnal elkapja a jól dokumentált támadástípusokat. A viselkedéselemzés figyeli a forgalmi alapszinteket és jelzi az anomáliákat, például amikor egyetlen autonóm rendszerszámból hirtelen tízszeresére nő a kérések száma. A sebességkorlátozás egy időablakon belül korlátozza az egyes forrásokból érkező kérések számát. A kihívásalapú ellenőrzés pedig JavaScript-kihívásokat vagy CAPTCHA-t mutat a gyanús forgalomnak, amelyeket a botok jellemzően nem tudnak megoldani.

Azoknak a vállalkozásoknak, amelyek a mi weboldal-biztonsági szolgáltatásainkat használják, egyszerre több szinten valósítjuk meg a védelmet. A hálózati szintű szűrés kezeli a volumetrikus és protokolltámadásokat, mielőtt azok sávszélességet emésztenének fel. Az alkalmazásszintű vizsgálat elkapja a legitim forgalmat utánzó 7. rétegbeli támadásokat. Az origin shielding pedig biztosítja, hogy még ha a támadó fel is fedezné a szerver valódi IP-címét, a közvetlen kapcsolódások blokkolva legyenek, hacsak előbb át nem haladnak a védelmi rétegen.

Nem minden DDoS-védelem egyforma, és a rossz szolgáltató választása hamis biztonságérzetet adhat. Az első értékelendő tényező a hálózati kapacitás. A szolgáltató hálózatának lényegesen nagyobbnak kell lennie, mint a legnagyobb támadás, amelyet el kell nyelnie. Az 1 Tbps tisztítási kapacitással rendelkező szolgáltató lenyűgözőnek tűnhet, amíg rá nem jön, hogy a több terabitnyi támadások ma már rutinszerűek. Legalább 10 Tbps globális tisztítási kapacitással rendelkező szolgáltatókat javasolunk.

A késleltetési többletterhelés a második kritikus tényező. Egyes védelmi szolgáltatások 50-100 milliszekundum késleltetést adnak minden kéréshez, mert a forgalomnak egy távoli tisztítóközpontba kell utaznia és vissza. A teljesítményérzékeny alkalmazások számára ez elfogadhatatlan. A legjobb szolgáltatók több tucat globális helyszínen tartanak fenn tisztítóközpontokat, biztosítva, hogy a forgalom a legközelebbi peremcsomóponton szűrődjön minimális késleltetési hatással, normál működés közben jellemzően 5 milliszekundum alatt.

Végül értékelje a szolgáltató mitigációs idejére vonatkozó garanciáját. Egyes szolgáltatók másodperceken belüli mitigációt ígérnek folyamatosan aktív védelemmel, amely folyamatosan szűri a forgalmat. Mások igény szerinti védelmet kínálnak, amely csak akkor aktiválódik, amikor támadást észlelnek, ami az észlelési és átirányítási fázisban több percig is védtelenül hagyhatja az oldalt. Minden olyan vállalkozás számára, ahol az állásidő elfogadhatatlan, a folyamatosan aktív védelem megéri a felárat. Kérje írásban a szolgáltatók SLA-vállalásait, és ellenőrizze referenciáikat független forrásokból.

A tartalomkézbesítő hálózatok messze túlfejlődtek az egyszerű gyorsítótárazáson. A modern CDN-ek, mint a Cloudflare, az AWS Shield és az Akamai integrált DDoS-védelmet kínálnak alapfunkcióként, így a vállalati szintű védelem minden méretű vállalkozás számára elérhetővé válik. A Cloudflare ingyenes csomagja például korlátlan, mérés nélküli DDoS-mitigációt tartalmaz, ami figyelemre méltó ajánlat, és demokratizálta az alapvédelmet több millió weboldal számára.

A CDN-alapú védelem úgy működik, hogy a tartalmat egy peremszerverekből álló globális hálózaton osztja el. Amikor egy támadás a domain ellen irányul, a forgalom az egész hálózaton oszlik el, ahelyett hogy egyetlen eredeti szerverre összpontosulna. A Cloudflare hálózata meghaladja a 300 Tbps kapacitást, ami azt jelenti, hogy még a valaha rögzített legnagyobb támadások is a rendelkezésre álló sávszélesség töredékét jelentik. Mivel a legitim forgalmat is perem-gyorsítótárakból szolgálják ki, a felhasználók gyorsabb betöltési időket tapasztalnak, az eredeti szerver pedig összességében kevesebb terhelést kezel.

A GRADAX-nál számos ügyfelünk számára konfigurálunk CDN-alapú védelmet, integrálva azt a felhőszerver infrastruktúránkkal a többrétegű védelem érdekében. A CDN a peremen kezeli a volumetrikus támadásokat, míg az origin szintű védelmünk elkapja az esetlegesen átcsúszó forgalmat. Ez a rétegezett megközelítés rendkívül hatékonynak bizonyult: az ajánlott konfigurációnkat használó összes ügyfélnél az elmúlt tizennyolc hónapban minden támadási esemény során 100%-os rendelkezésre állást tartottunk fenn. Azoknak a vállalkozásoknak, amelyek készen állnak ennek a beállításnak a bevezetésére, vegyék fel a kapcsolatot csapatunkkal egy személyre szabott elemzésért.

Még erős védelem mellett is minden vállalkozásnak szüksége van egy dokumentált DDoS-választervre. A támadás kellős közepén a legrosszabb kitalálni, kit hívjunk, mit ellenőrizzünk, és hogyan kommunikáljunk az ügyfelekkel. Egy jó választerv négy fázist fed le: felkészülés, észlelés, válasz és helyreállítás. Minden fázisnak világos felelősökkel, konkrét műveletekkel és eszkalációs kritériumokkal kell rendelkeznie.

A felkészülési fázisban dokumentálja a normál forgalmi alapszinteket, sorolja fel az összes kritikus IP-címet és domaint, és alakítson ki kommunikációs csatornákat a tárhelyszolgáltatóval és a DDoS-védelmi szolgáltatóval. Az észlelés során határozza meg, mi számít támadásnak, és mi egy legitim forgalmi csúcs, egy vírusként terjedő közösségi médiás bejegyzés feltűnően hasonlíthat egy DDoS-támadáshoz az analitikában. A válaszfázisnak tartalmaznia kell a további védelmi rétegek aktiválásának lépéseit, szükség esetén a karbantartási oldalra váltást, valamint az állapotfrissítések közlését az ügyfelekkel közösségi médián vagy e-mailben.

A helyreállítási fázist gyakran figyelmen kívül hagyják, pedig ugyanolyan fontos. Miután a támadás alábbhagy, ellenőrizze, hogy minden szolgáltatás megfelelően működik-e, tekintse át a naplókat a támadási vektor megértéséhez, és frissítse a védelmi szabályokat a tanultak alapján. Dokumentálja az idővonalat és a hatást biztosítási célokra és a jövőbeli tervezéshez. Javasoljuk, hogy évente legalább kétszer tartson asztali gyakorlatot a DDoS-választervből, különböző támadási forgatókönyveket szimulálva, és ellenőrizve, hogy minden csapattag ismeri a szerepét.

A dedikált DDoS-védelmi szolgáltatásokon túl számos bevált gyakorlat drámaian csökkentheti a támadási felületet és javíthatja az ellenálló képességet. Először is, soha ne tegye nyilvánosan elérhetővé az eredeti szerver IP-címét. Használjon fordított proxyt vagy CDN-t minden forgalomhoz, és állítsa be a szerver tűzfalát úgy, hogy csak a védelmi szolgáltató IP-tartományaiból fogadjon kapcsolatokat. Ha egy támadó közvetlenül az origin szerverhez csatlakozva megkerülheti a védelmi réteget, az összes drága mitigációs infrastruktúra értéktelenné válik.

Másodszor, vezessen be kéréskorlátozást alkalmazásszinten az erőforrás-igényes végpontokon. A bejelentkezési oldalak, a keresési funkciók és az API-végpontok korlátozzák az IP-nkénti kéréseket ésszerű szintre, például 10 bejelentkezési kísérlet percenként vagy 60 API-hívás percenként. Ez nem állítja meg teljesen az elosztott támadást, de korlátozza a kárt, amelyet egyetlen bot okozhat, és időt ad az infrastruktúrának a felismerésre és a reagálásra. Kombinálja ezt földrajzi szűréssel, ha vállalkozása csak bizonyos régiókat szolgál ki; nincs ok arra, hogy olyan országokból fogadjon forgalmat, ahol nincsenek ügyfelei.

Harmadszor, tartson fenn infrastruktúra-redundanciát és legyen átkapcsolási terve. Futtassa alkalmazását több felhőszerveren különböző rendelkezésre állási zónákban, hogy az egyik csomópont elleni támadás ne bénítsa meg a teljes működést. Tartsa alacsonyan a DNS TTL-értékeket, hogy szükség esetén gyorsan átirányíthassa a forgalmat a tartalék infrastruktúrára. És biztosítsa, hogy adatbázisa és fájltárolója adatvesztés nélkül tudja kezelni a gyors átkapcsolást. Ezek az intézkedések nemcsak a DDoS-ellenállóságot javítják, hanem a teljes weboldal-biztonsági helyzetet és az üzletmenet-folytonossági képességeket is. Ha nem biztos benne, hol vannak a sebezhetőségei, vegye fel velünk a kapcsolatot egy ingyenes infrastruktúra-felmérésért.