DDoS и бот-трафик: в чём разница
Содержание
Поделиться
DDoS и бот-трафик легко смешать, потому что оба портят доступ к сайту. Это разные события. Распределённый отказ в обслуживании — приём, в котором участвует множество узлов. Автоматический трафик приложения может не быть отказом в обслуживании и всё же злоупотреблять сайтом: чужие пароли, сбор содержимого, скупка запаса, фальшивые отзывы. Скликивание в этом перечне стоит рядом с кликовым мошенничеством как злоупотребление приложением, а не как сетевой флуд.
Вам это нужно, если хостинг пишет «DDoS», а в заявках при этом растёт мусор, или наоборот: сайт открывается, а формы забиты. Ниже — где проходит граница и какой продукт закрывает какую сторону.
Отказ приложения не равен сетевому флуду
Каталог OWASP называет OAT-015 Denial of Service расходом ресурсов приложения или ударом по отдельным учётным записям, чтобы снизить доступность. Использование может быть похоже на обычное. Сначала замедление, затем исчерпание файловой системы, памяти, процессов, потоков, процессора, людей или денег. Ресурсы могут быть у веб-сервера, сервера приложения, базы или у чужих API, встроенного чужого содержимого и CDN.
Каталог прямо выносит за скобки HTTP-флуд, медленный HTTP, отказ на сетевом уровне 3 и на уровне TCP 4. Их покрывают другие классификации. Граница каталога автоматических угроз приложениям не отменяет, что сетевой DDoS существует. Она говорит: не ищите его определение внутри OAT-015.
Если корзина «просто тормозит», это может быть расход приложения, похожий на обычные заказы. Если канал забит пакетами до приложения, это уже другая классификация, и каталог OAT её не описывает.
Как NIST разделяет DoS и DDoS
Глоссарий NIST определяет отказ в обслуживании (DoS) как недопущение санкционированного доступа к ресурсам или задержку операций, где время критично. Критичный срок может быть миллисекундами или часами — как устроена услуга. Распределённый отказ (DDoS) тот же глоссарий определяет как приём отказа в обслуживании, в котором участвует множество узлов. Оба определения отнесены к документам NIST и CNSSI, а не к замеру какого-либо сайта. Глоссарий не говорит, какой продукт магазина от чего защищает, и не даёт стоимость простоя.
Из определений следует практическое: один источник, который задерживает критичную операцию, — это DoS. Много узлов в том же приёме — DDoS. Ни то ни другое не равно «любой бот на сайте».
Автоматический трафик, который отказом не является
OWASP начинает раздел о ботах с того, что у веб-приложений есть непрерывный автоматический трафик. Он не является распределённым отказом в обслуживании и всё же злоупотребляет приложением. В перечне: проверка украденных паролей, сбор содержимого, скупка ограниченного запаса, массовое создание записей, перебор подарочных карт, проверка карт, фальшивые отзывы, кликовое мошенничество и искажённая аналитика.
Это граница описания, не замер доли DDoS в вашем трафике. Сайт может быть доступен, а аналитика и заявки уже испорчены. Ждать «падения от DDoS», чтобы заняться кликами и формами, значит ждать другого события.
| Вопрос | Отказ приложения (OAT-015) | DDoS по NIST | Автоматический трафик не-DDoS |
|---|---|---|---|
| Что портят | Ресурсы приложения или отдельные учётки | Доступ или критичное время, много узлов | Логику: пароли, контент, запас, отзывы, клики, аналитику |
| Похоже на обычное использование | Может | Не обязательно | Часто да: запросы выглядят как клиентские |
| Сетевой флуд уровней 3–4 | Вынесен из этого события | Может быть способом отказа | Не требуется, чтобы вред уже был |
Где стоит защита Cloudflare от DDoS
Обзор Cloudflare DDoS Protection пишет, что продукт автоматически обнаруживает и смягчает распределённые отказы в обслуживании. Управляемые наборы покрывают уровни 3/4 (сеть) и уровень 7 (приложение). Обычная безлимитная защита на уровнях 3–7 указана для тарифов Free, Pro, Business и Enterprise. Надстройки Advanced TCP и Advanced DNS доступны клиентам Magic Transit, не всем тарифам подряд.
Это продукт Cloudflare, не определение всякого DDoS. Рекламные клики обзор не упоминает. Смягчение сетевого отказа не отвечает, кто скликивает рекламу, чем кликфрод отличается от скликивания, почему недействительный клик не всегда списывают и вернёт ли Яндекс деньги.
Порядок, если «нас атакуют»:
Отделите канал и пакеты (уровни 3–4) от приложения, которое ещё отвечает, но тратит память, людей или деньги.
Не называйте OAT-015 сетевым флудом: каталог этот флуд выносит.
Если узлов много и операция, где время критично, не выполняется — это DDoS в смысле NIST. Срок может быть миллисекунды или часы.
Если сайт открывается, а портятся пароли, цены, отзывы или клики — это автоматический трафик из перечня OWASP, и ждать обрыва канала не нужно.
Продукт вроде Cloudflare DDoS Protection закрывает распределённый отказ на заявленных уровнях. Клик в рекламном кабинете он по этому обзору не списывает.