Клиент и проблема
Российский онлайн-сервис, входящий в топ-3 крупнейших сервисов по заказу и покупке лекарств в стране, обратился к DDoS-Guard для подключения защиты. Компания долгое время использовала услуги Cloudflare для обеспечения работы своих веб-ресурсов, однако ей все чаще приходилось сталкиваться с техническими проблемами, критическими для работы онлайн-бизнеса:
- Высокая задержка TTFB (Time to First Byte) из-за топологии сети западного провайдера негативно сказывалась на пользовательском опыте
- Медленная реакция на rerouting (изменение настроек маршрутизации) приводила к долгому восстановлению после сбоев
- Отсутствие гибкости в настройке защиты от DDoS-атак и парсинга делало ресурсы компании уязвимым для злоумышленников
Эти проблемы требовали срочного решения, так как они напрямую влияли на производительность, безопасность и, как следствие, доверие клиентов.
Требования
Клиент сформулировал список ключевых требований к новому решению:
- Отказ от западных провайдеров защиты из-за технических ограничений
- Защита от DDoS на L3-L4, с возможностью оперативного подключения L7-защиты
- Защита от парсинга и скрейпинга с помощью гибких правил Rate-limit (с условиями по Source, Host, Path, IP/ASN, HTTP Methods)
- REST API для интеграции с Terraform
- Минимальные задержки: TTFB не более 50 мс, быстрый DNS resolve
- DNS resolve на территории РФ
- Блокировка по IP, ASN, User-Agent и их комбинациям
- Фильтрация запросов по токенам (JWT) или другим заголовкам
- “Параноидальный режим” с автоматической валидацией CAPTCHA для всех пользователей
- Визуализация атак и блокировок через графики и дашборды
- Аналог Custom pages для уведомления пользователей о блокировках или превышении лимитов
Решение
1. Миграция с Cloudflare
Мы обеспечили миграцию сервиса клиента на защиту DDoS-Guard с минимальным даунтаймом. Стабильное соединение с сетью фильтрации и быстрый DNS resolve сразу значительно уменьшили показатель TTFB, обеспечив быструю загрузку для посетителей сайта.
2. Защита от DDoS на L3-4 и L7
Мы подключили веб-ресурсы клиента к защите сайта, которая включает в себя постоянную фильтрацию L3-4 трафика. Это обеспечивает как надежную защиту от сетевых атак, так и фильтрацию L7-запросов.
3. Защита от парсинга и скрейпинга
Мы предоставили клиенту набор инструментов управления трафиком, которые позволили создать кастомный каскад правил для защиты от нелегитимных запросов. Для этого использовали:
- Правила защиты — инструмент управления трафиком, позволяющий ограничивать конкретные типы запросов или добавлять исключения
- Сегментация сайта — разделение домена на сегменты по типу контента для более точного срабатывания алгоритмов защиты
- Лимит запросов (rate limiter) — модуль ограничения частоты запросов, который поддерживает 18 параметров запроса с гибкими настройками для каждого параметра, а группировка запросов по источникам может опираться на от 1 до 8 ключей группировки
4. Интеграция с Terraform
Весь функционал доступен через REST API, для которого доступна русифицированная документация в формате OpenAPI. Прямая интеграция с Terraform пока не реализована, но мы обсудили возможность ее внедрения в будущем.
5. Минимизация задержек
При проксировании трафика DDoS-Guard добавляет не более 50 мс задержки со своей стороны — конкретные показатели зависят от местоположения посетителя сайта.
Кроме того, узлы фильтрации DDoS-Guard работают как CDN-ноды, то есть кэшируют статический контент сайта, что позволяет отдавать кэшированный контент за 1-3 мс.
6. DNS resolve в РФ
Наличие собственных защищенных DNS-серверов позволило локализовать трафик, ускорив загрузку сайта.
7. Блокировка по IP, ASN, User-Agent
Возможность блокировки по IP, ASN и User-Agent и другим параметрам реализована за счет возможностей правил защиты.
8. Фильтрация запросов
DDoS-Guard определяет «мусорных» ботов с помощью проверок JS challenge и CAPTCHA, что позволяет эффективно фильтровать нежелательный трафик.
9. “Параноидальный режим”
Мы настроили правило защиты, которое принудительно проверяет все запросы к защищенному ресурсу с помощью CAPTCHA. В случае подозрительной активности на сайте правило можно быстро активировать через личный кабинет или API.
10. Визуализация и мониторинг
В личном кабинете DDoS-Guard доступны дашборды с общей статистикой: графиками по количеству запросов (RPS), трафику (BPS), кодам ответов, TTFB и другим метрикам защищаемых ресурсов.
Также предоставляются подробные отчеты по атакам и трафику, которые клиент может сформировать в личном кабинете за нужный период и сохранить в формате PDF.
11. Кастомные страницы
Мы настроили специальные страницы, которые показываются пользователям при блокировке или превышении лимита запросов.
Менять дизайн и наполнение страниц клиент может самостоятельно в личном кабинете (см. Кастомные страницы).
Результаты
Переход на наше решение принес следующие результаты:
- Скорость работы сайта увеличилась на 40% благодаря снижению TTFB и быстрому DNS resolve
- Защита от DDoS и парсинга стала более гибкой и эффективной
- Автоматизация процессов через REST API упростила управление правилами
- Пользовательский опыт улучшился за счет кастомных страниц и локализации IP в РФ
- Мониторинг и визуализация позволили оперативно реагировать на угрозы
