Коротко:
- DDoS-атака — це спроба зробити онлайн-сервіс недоступним, затоплюючи його трафіком з тисяч пристроїв одночасно.
- Працює через ботнет: зловмисник керує зараженими комп’ютерами, роутерами чи IoT-пристроями.
- Три основні типи: об’ємні (volumetric), протокольні та атаки на рівні додатків.
- У 2025 році Cloudflare зафіксувала рекордну атаку на 31,4 Тбіт/с, яка тривала лише десятки секунд.
- Захист будується на фільтрації, CDN, rate limiting і хмарних scrubbing-центрах. Для українських організацій — CERT-UA.
- Без попередньої підготовки навіть середній сайт може впасти за кілька хвилин.
DDoS-атака (Distributed Denial of Service) — це кібератака, під час якої зловмисник навмисно перевантажує цільовий сервер, сайт чи мережу величезною кількістю запитів. Мета проста: зробити ресурс недоступним для звичайних користувачів. На відміну від звичайної DoS-атаки, яка йде з одного джерела, DDoS використовує десятки, сотні чи навіть мільйони пристроїв одночасно.
Уявіть собі вхід до магазину, який блокує натовп людей. Справжні покупці просто не можуть зайти. Приблизно так само працює і DDoS: легітимний трафік не проходить, бо канал або ресурси сервера зайняті сміттєвими пакетами. Атака не краде дані напряму. Вона просто «вибиває» сервіс з гри.
За спостереженнями, найчастіше під удар потрапляють сайти електронної комерції, банківські сервіси, державні ресурси та ігрові платформи. В українських умовах додатковий ризик створює постійний тиск на цифрову інфраструктуру. CERT-UA регулярно фіксує подібні інциденти й допомагає організаціям реагувати.
Як саме працює DDoS-атака
Все починається з ботнету. Зловмисник заражає звичайні пристрої — домашні комп’ютери, камери відеоспостереження, роутери, навіть смарт-телевізори — спеціальним шкідливим ПЗ. Ці пристрої стають «зомбі» і чекають команди. Коли команда надходить з сервера управління (C2), вони одночасно починають слати запити на ціль.
Трафік може бути різним: UDP-пакети, SYN-запити, HTTP-запити, DNS-запити. Головне — щоб його було дуже багато. Сервер починає витрачати ресурси на обробку сміття і врешті-решт перестає відповідати нормальним користувачам. Іноді атака триває хвилини, іноді — години. Короткі, але дуже потужні атаки зараз зустрічаються частіше: вони встигають нашкодити до того, як спрацює ручна реакція.
У практиці бачив, як невеликий інтернет-магазин без захисту падав вже на 5–7 Гбіт/с. Для сучасних ботнетів це дрібниця. Найбільші атаки вимірюються вже терабітами.
Основні типи DDoS-атак
Атаки класифікують за тим, який шар моделі OSI вони б’ють. Найпоширеніший поділ — на три великі групи.
Об’ємні (volumetric) атаки
Мета — заповнити весь канал між ціллю та інтернетом. Вимірюються в гігабітах або терабітах на секунду. Класичні приклади: UDP-flood, ICMP-flood, DNS-amplification, NTP-amplification. Атакуючий часто використовує відкриті рекурсивні DNS-сервери чи інші сервіси з підсиленням, щоб з невеликого запиту отримати величезну відповідь, спрямовану на жертву.
Такі атаки найпростіше помітити за різким стрибком вхідного трафіку. Але якщо канал у провайдера вузький, сайт просто «зникає».
Протокольні атаки
Вони б’ють по мережевому (L3) та транспортному (L4) шарах. Найвідоміший приклад — SYN-flood. Атакуючий надсилає величезну кількість запитів на встановлення TCP-з’єднання, але ніколи не завершує рукостискання. Сервер тримає напіввідкриті з’єднання в таблиці станів, поки вона не заповниться. Після цього нові легітимні клієнти вже не можуть підключитися.
Подібні атаки часто менші за обсягом, ніж volumetric, але ефективно виснажують міжмережеві екрани, балансувальники навантаження та самі сервери.
Атаки на рівні додатків (Layer 7)
Найпідступніші. Вони виглядають майже як звичайний трафік користувачів. HTTP-flood, HTTP/2 Rapid Reset, атаки на API чи пошук — усе це змушує сервер виконувати важкі обчислення. Навіть кілька тисяч запитів на секунду можуть покласти сайт, якщо кожен запит вимагає звернення до бази даних чи генерації складної сторінки.
Такі атаки важче відфільтрувати, бо вони використовують реальні протоколи і часто йдуть з реальних IP-адрес заражених пристроїв.
Сучасні кампанії майже завжди мультивекторні: одночасно б’ють і по каналу, і по протоколах, і по додатку. Це ускладнює захист.
Чому DDoS-атаки стали такими потужними
Головна причина — IoT. Мільйони слабко захищених камер, роутерів і «розумних» пристроїв легко заражаються. Ботнети на кшталт Aisuru (також відомий як Kimwolf) налічують сотні тисяч або навіть мільйони хостів. У 2025 році саме такі ботнети відповідали за рекордні атаки.
За даними Cloudflare, у 2025 році компанія відбила в середньому понад 5 тисяч атак щогодини. Загальна кількість за рік перевищила 47 мільйонів. Мережевий шар атак зріс більш ніж утричі порівняно з попереднім роком. Найбільша публічно зафіксована атака досягла 31,4 Тбіт/с і тривала лише близько 35 секунд. Попередній рекорд того ж ботнету становив 29,7 Тбіт/с.
Короткі, але дуже інтенсивні атаки зараз норма. Вони встигають створити хаос, поки команда реагування ще тільки отримує сповіщення.
Як захиститися від DDoS
Повного імунітету не існує, але правильна архітектура значно знижує ризик простою.
- Збільшення пропускної здатності каналу — базовий, але недостатній крок.
- Використання CDN і anycast-мереж. Трафік розподіляється по багатьох точках світу, і атака «розмивається».
- Хмарні scrubbing-центри. Спеціалізовані провайдери (Cloudflare, Akamai, AWS Shield та інші) фільтрують шкідливий трафік до того, як він дійде до вашого дата-центру.
- Rate limiting і WAF. Обмеження кількості запитів з однієї IP-адреси чи сесії + правила, що відсікають підозрілу поведінку.
- Моніторинг аномалій у реальному часі. Система повинна вміти автоматично перемикатися в режим захисту.
- Геоблокування та чорні списки, якщо атака йде переважно з певних регіонів.
Після кожного списку варто перевірити, чи працюють ці механізми разом. Окремий rate limiting без scrubbing-центру часто не рятує від volumetric-атаки на сотні гігабіт.
Для українських компаній і державних установ важливо мати попередній контакт із CERT-UA. Команда реагування допомагає аналізувати інцидент, ділитися індикаторами компрометації через MISP і давати рекомендації. Звертатися варто одразу, як тільки сайт або сервіс стає недоступним без очевидної причини.
| Тип атаки | Основна ціль | Типові приклади | Ключовий захист |
|---|---|---|---|
| Об’ємна | Канал і пропускна здатність | UDP flood, DNS amplification | Scrubbing, CDN, anycast |
| Протокольна | Таблиці станів, firewall | SYN flood, ACK flood | SYN cookies, stateful inspection |
| Рівень додатків | CPU, пам’ять, БД | HTTP flood, API abuse | WAF, rate limiting, поведінковий аналіз |
Таблиця показує, що один інструмент рідко закриває всі вектори. Потрібна багаторівнева схема.
Що робити, якщо атака вже йде
Перше — не панікувати і не намагатися «відбити» її самостійно блокуванням IP-адрес. При розподіленій атаці адрес тисячі, і вони постійно змінюються.
Зв’яжіться з хостинг-провайдером або з постачальником DDoS-захисту. Якщо сайт стоїть на Cloudflare чи подібному сервісі — увімкніть режим «Under Attack». Для критичної інфраструктури повідомте CERT-UA на incidents@cert.gov.ua.
Зберігайте логи. Вони допоможуть потім розібрати вектор атаки і покращити захист. Після закінчення атаки обов’язково проведіть аналіз: звідки йшов трафік, які протоколи домінували, чи не було спроб використати атаку як прикриття для інших дій (наприклад, спроб проникнення).
У практиці помічав, що компанії, які заздалегідь тестували сценарії атаки і мали готові playbook-и, відновлювалися за хвилини. Ті, хто сподівався «якось розберемося», могли бути офлайн годинами.
Типові помилки новачків
Багато хто думає, що достатньо купити «анти-DDoS» у хостера і забути. Насправді потрібна правильна конфігурація: які IP-адреси оголошувати через anycast, які пороги rate limiting ставити, як розрізняти легітимний сплеск від атаки.
Інша поширена помилка — ігнорувати IoT у власній мережі. Одна незахищена камера може стати частиною чужого ботнету і навіть атакувати ваш же сервіс.
Не варто також покладатися лише на географічне блокування. Сучасні ботнети розподілені по всьому світу.
DDoS-атака — це вже не екзотика, а звичайний інструмент тиску, шантажу чи просто «послуги» на чорному ринку. Захист від неї має бути частиною базової архітектури будь-якого публічного сервісу. Якщо ви відповідаєте за сайт чи API, перевірте прямо зараз, чи є у вас план на випадок раптового стрибка трафіку в десятки чи сотні разів. І чи знає команда, кому дзвонити о третій годині ночі.
Краще витратити час на підготовку зараз, ніж потім пояснювати клієнтам, чому сервіс лежав кілька годин.
About the Author
