Очистка трафика: как работают современные технологии фильтрации при DDoS-атаках

Сценарии DDoS-атак (распределённых атак типа «отказ в обслуживании») становятся разнообразнее. Классический метод — забить канал мусорным трафиком. Но злоумышленники могут действовать и более изощрённо — например, маскировать вредоносный трафик под легитимный при атаках на уровне приложений (L7) или комбинировать векторы атак на разных уровнях модели OSI. А ещё в игру вступил ИИ, с помощью которого хакеры обучают ботов и меняют тактики в реальном времени.     

По данным StormWall, в 2025 году было заблокировано 19,4 млн DDoS-атак — на 198% больше, чем годом ранее. В 2026-м мощность отдельных инцидентов нередко превышает 2 Тбит/с. Инструменты для организации атак продаются по модели DDoS-as-a-service («DDoS как услуга»). 

Без профессиональной защиты противостоять DDoS-атакам всё сложнее, а часто невозможно. Как устроен antiDDoS-сервис? Что происходит с трафиком в центре очистки провайдера? Рассказываем, какие технологии «под капотом» обеспечивают высокую эффективность фильтрации.

Коротко о главном

Фильтрация входящего трафика — это анализ запросов на разных уровнях сетевой модели OSI для отделения легитимных от вредоносных. Облачные antiDDoS-решения становятся рубежом на защите инфраструктуры клиента: трафик не идёт напрямую на его серверы, а проходит через распределённую сеть провайдера защиты.

Типовой набор технологий включает в себя несколько функциональных модулей: фильтрация L3-L4, глубокая инспекция пакетов (DPI), поведенческий анализ с машинным обучением, проверка «запрос — ответ» и другие. Многие antiDDoS-провайдеры используют собственные наработки. 

Что такое фильтрация входящего трафика

Фильтрация входящего трафика в контексте защиты от DDoS — это многоуровневый анализ по набору сетевых, транспортных и, при необходимости, прикладных параметров. Легитимные запросы проходят к серверам с минимальной задержкой. Аномальные или специально сформированные для атаки пакеты, вредоносный трафик с отражением и усилением, а также мусорные запросы отсеиваются.

Облачные antiDDoS-решения становятся рубежом на защите инфраструктуры клиента. Входящий трафик не идёт напрямую на его серверы, а проходит через распределённую сеть провайдера защиты и возвращается уже очищенным. Это принципиально иная архитектура, чем устройства на периметре: когда атака измеряется сотнями гигабит, канал забивается раньше, чем локальное оборудование успевает отреагировать.

Как трафик попадает на очистку

Защита может работать в двух режимах:

1. Постоянная (always-on) — весь трафик всегда проходит через инфраструктуру провайдера. При атаке фильтрация начинается с первой секунды.
2. По требованию (on-demand) — трафик в штатном режиме идёт напрямую, а перенаправление включается при обнаружении атаки. Переключение может происходить либо вручную, либо автоматически: во втором случае DDoS-сенсор детектирует превышение порогового значения атаки в контуре заказчика. Такой вариант экономичнее, но требует дополнительных ресурсов для мониторинга. Время переключения зависит от используемого механизма перенаправления трафика и настроек маршрутизации или DNS и может занимать от 30 секунд до 15 минут. В некоторых случаях возникает риск пропустить первые волны атаки. 

Выбор режима зависит от критичности сервиса и допустимого времени реакции. Для платёжных систем и онлайн-игр обычно выбирают постоянную защиту. Включения по требованию достаточно для менее чувствительных ресурсов, которые атакуют редко или только на небольшую часть префиксов, либо для резервных antiDDoS-сервисов: они подключаются при особо мощных атаках или технических работах у основного поставщика. 

Для перенаправления трафика в центр очистки используют: 

• BGP-анонсирование позволяет перенаправить маршрутизацию IP-префикса через инфраструктуру провайдера, поэтому такой способ подходит для защиты на сетевом уровне. После фильтрации очищенный трафик возвращается к ресурсам клиента по GRE-туннелю или выделенному каналу. В сетях очистки BGP часто используется вместе с anycast (геораспределённой маршрутизацией), которая позволяет анонсировать один и тот же префикс из нескольких точек присутствия (PoP) в разных географических локациях. Каждый пользователь попадает на ближайший узел, и очистка при атаке включается там же;
• Подключение через DNS. Клиент меняет A-запись домена на защищённый IP-адрес провайдера или делегирует свой домен на его NS-серверы. После этого весь трафик проходит через облачные фильтры подрядчика. Этот способ проще в подключении, но сложнее в управлении при большом количестве доменов и не защищает, если реальный IP можно обнаружить и атаковать напрямую. 

Что внутри центра очистки

Состав платформы и порядок обработки трафика зависят от архитектуры провайдера. Типовой набор технологий для многоуровневой очистки включает в себя несколько функциональных модулей, каждый из которых решает свои задачи.

Модуль	За что отвечает	От каких атак защищает
Фильтрация L3-L4 (сетевой и транспортный уровни)	Применение правил по протоколам, портам, размерам пакетов и географии источников; ограничение скорости и количества пакетов или соединений (rate limiting); списки контроля доступа (ACL);блокировка сетей с плохой репутацией.	Объёмные флуды (потоки мусорных пакетов): UDP- и ICMP-флуд, атаки с усилением (амплификация)
Глубокая инспекция пакетов (DPI)	Анализ структуры пакетов и протоколов, включая прикладные данные при наличии доступа.	SYN-пакеты с некорректными полями, невалидные HTTP-запросы, аномально крупные или не соответствующие ожидаемому протоколу DNS-ответы
Поведенческий анализ и машинное обучение	Профили нормального трафика: география, автономные системы, характеристики сессий, частота запросов. Выявление отклонений от исторической нормы.	Новые векторы без сигнатур, L7-атаки, маскирующиеся под легитимный трафик
Проверка «запрос — ответ» (challenge-response)	На сетевом уровне используется SYN-прокси для проверки установления TCP-соединения, на прикладном — JavaScript-проверки для оценки поведения HTTP-клиента	SYN-флуд, атаки ботов на приложения
Доставка очищенного трафика	Возврат трафика клиенту через GRE-туннели, ZeroNAT-туннели,  выделенные каналы или прямой обмен трафиком с операторами (пиринг).	—
Панель управления и API	Графики в реальном времени, журналы блокировок, интеграция защиты с системами мониторинга клиента.	—

Модуль «запрос — ответ» стоит пояснить: центр очистки сам завершает установление TCP-соединения с клиентом и устанавливает отдельное соединение с сервером только после успешного прохождения проверки. Такие проверки позволяют отсечь часть автоматизированного трафика, однако современные боты могут эмулировать браузер, поэтому challenge обычно используется вместе с другими сигналами. Легитимный пользователь этой проверки не замечает.

Технологии для умной очистки

За несколько лет центры очистки прошли путь от «коробок» с сигнатурами к адаптивным платформам. В этом помогли три направления:

1. Машинное обучение поверх сетевой телеметрии анализирует не отдельные пакеты, а закономерности трафика: поведение групп источников, временные ряды, корреляции между потоками. Правила автоматически адаптируются по мере изменения характеристик атаки и затем корректируются или отключаются  после её завершения.
2. Адаптивные правила фильтрации обновляются автоматически в ходе атаки. Система строит «портрет» атакующего трафика и создаёт временные правила блокировки — они действуют ровно столько, сколько нужно, и не затрагивают легитимных пользователей со схожими параметрами.
3. Глобальная база знаний об угрозах (threat intelligence) содержит большой объём данных об атаках — как размещённых в открытом доступе, так и собранных провайдером за годы работы. Эти данные дополняют поведенческий анализ: информация об известных вредоносных IP-адресах, сетях, автономных системах и других индикаторах используется при принятии решения о блокировке. 

Кроме того, многие antiDDoS-провайдеры используют собственные наработки. Например, в наших решениях реализованы такие технологии:

• Triple Filter (тройная очистка трафика). На пути к серверу он проходит 3 точки очистки. Пограничные маршрутизаторы защищают от объёмных атак, TCP- и UDP‑амплификации. Аппаратные фильтры обрабатывают основной поток TCP/UDP‑флуда с высокой скоростью. Stateful-фильтры блокируют самые сложные DDoS-атаки, включая атаки через ботнеты; 
• фильтр HTTP-флуда. На уровне приложений дополнительно подключается система BanHammer, которая использует поведенческий и сигнатурный анализ трафика. Это позволяет минимизировать ложные срабатывания и максимально блокировать  вредоносные запросы;
• интеллектуальный мониторинг StormFlow анализирует потоки данных, выявляет аномалии и автоматически подстраивает параметры защиты через BGP FlowSpec (RFC 5575) и API нашей системы. Это обеспечивает точную реакцию на любые DDoS-атаки;
• SpeedRoute. Трафик от ближайшей точки фильтрации до сервера идёт по собственным каналам между дата‑центрами. Это снижает пинг, обеспечивает стабильные задержки и защищает от шейпинга; 
• сохранение активных сессий (Global Session). В случае технического сбоя или отказа одного из узлов фильтрации пользовательское соединение не разрывается. Трафик автоматически перенаправляется на ближайший доступный узел сети;
• ускорение загрузки (HyperCache). Кэширование крупных статических файлов непосредственно в оперативной памяти серверов очистки, что снижает нагрузку на целевой веб-сервер и ускоряет отклик для пользователей.  

Что происходит при атаке

Рассмотрим два распространённых сценария, как работает фильтрация трафика.

1. UDP-амплификация через DNS. 

Злоумышленник формирует DNS-запросы, в поле источника подменяет свой IP на адрес жертвы и рассылает их на тысячи открытых DNS-серверов (резолверов). Те возвращают объёмные ответы: усиление достигает 50 раз и выше. В центре очистки на границе сети фиксируется аномальный рост UDP-трафика на порт 53 с сотен тысяч источников одновременно. 

Фильтр L3-L4 ограничивает частоту и блокирует UDP-ответы аномального размера, поведенческий анализ подтверждает расхождение с историческим профилем. Через несколько секунд основная волна поглощена на периметре — до серверов клиента доходит только проверенный трафик.

2. SYN-флуд. 

Злоумышленник генерирует большое количество TCP SYN-пакетов, в том числе может использовать поддельные IP-адреса источника. Сервер жертвы ждёт подтверждений, которые никогда не придут: таблица полуоткрытых соединений переполняется, ресурсы заканчиваются. 

Центр очистки перехватывает весь TCP-трафик и выступает SYN-прокси — реальное соединение с сервером открывается только после проверки клиента. Для бота это глухая стена, для легитимного пользователя — несколько лишних миллисекунд, которые он не заметит.

Фильтрация в связке с другими технологиями

Очистка трафика — важный, но не единственный слой. Архитектура безопасности может дополняться ещё несколькими компонентами.

WAF (Web Application Firewall, межсетевой экран для защиты веб-приложений) защищает от хакерских атак на прикладном уровне: инъекций, эксплуатации уязвимостей, атак на логику приложений. Там, где очистка фиксирует аномальный HTTP-поток, WAF разбирает конкретные запросы и блокирует точечные угрозы.

CDN (сеть доставки контента) кэширует статический контент, снижает нагрузку на исходный сервер и может дополнительно участвовать в фильтрации вредоносного трафика. 

Антибот-системы распознают автоматизированные угрозы по комплексу признаков, включая характеристики устройства, браузера и поведения пользователя. 

Журналы событий (логи) и телеметрия замыкают контур: данные о заблокированных атаках поступают в SIEM (систему сбора и анализа событий безопасности) и превращаются в структурированные знания о характеристиках атаки, её источниках и векторах.

Не менее важна экспертиза провайдера. Атаки эволюционируют постоянно: появляются новые векторы усиления, меняется инструментарий ботнетов, всё изощрённее имитация легитимного трафика на уровне приложений. 

Полноценная фильтрация входящего трафика требует узкой специализации, непрерывного мониторинга угроз и постоянной адаптации. Именно этим antiDDoS-сервис отличается от решения, которое просто однажды настроили и оставили без сопровождения.

Если вы хотите понять, выдержит ли ваша инфраструктура атаку, — напишите нам: поможем подобрать оптимальную схему защиты.

Автор: Юлия Ильина, технический эксперт StormWall