Ochrona Anty-DDoS dla e-commerce i SaaS
W sklepie internetowym i w SaaS przestój przelicza się wprost na pieniądze, a moment ataku rzadko bywa przypadkowy. Czarny piątek, premiera kolekcji, ostatni dzień cyklu rozliczeniowego: wtedy godzina niedostępności kosztuje wielokrotnie więcej niż w zwykły wtorek. Filtr, który już pracuje, likwiduje okno między wykryciem ataku a reakcją.
Klient sklepu, który trafi na niedziałającą stronę, nie czeka. Przechodzi do konkurencji i zwykle już nie wraca, a koszt jego pozyskania został poniesiony wcześniej, w kampanii, która właśnie kieruje ruch na martwy adres. W SaaS rachunek jest podobny: przerwa w dostępie do narzędzia, na którym klient pracuje, trafia potem do rozmowy o przedłużeniu umowy.
Co idzie nie tak
- Atak trafia w okno sprzedażowe, bo wtedy szantaż ma największą siłę
- Kampania reklamowa dalej kieruje ruch na adres, który nie odpowiada
- Ochrona uruchamiana po wykryciu ataku traci najcenniejsze pierwsze minuty
- Blackhole na adresie sklepu jest z perspektywy klienta tym samym co udany atak
- Zagraniczne centrum czyszczące oznacza, że ruch Twoich klientów ogląda podmiot trzeci
Co z tym robimy
- W trybie always-on filtr stoi w ścieżce ruchu, więc mitygacja nie ma etapu rozruchu
- Adres sklepu pozostaje osiągalny, bo nie stosujemy blackholingu
- Czyszczenie odbywa się w naszej infrastrukturze w Polsce, bez oddawania ruchu obcym
- Filtracja L7 odrzuca zapytania udające użytkownika, ale bez sensu dla Twojej aplikacji
- Profil ustawiamy pod Twój normalny szczyt, żeby kampania nie wyglądała jak atak
Jak to u Ciebie wygląda
Szczyt sprzedażowy to nie atak
Najgorsze, co może zrobić ochrona DDoS w e-commerce, to potraktować udaną kampanię jak atak i odciąć klientów w najlepszym momencie. Profil filtrowania budujemy na podstawie Twojego realnego ruchu, z zapasem na zaplanowane szczyty, a przed dużą akcją możemy go przejrzeć razem.
Warstwa 3 i 4 zdejmowana zanim dojdzie do aplikacji
Zdecydowana większość wolumenu w ataku to pakiety, które nie należą do żadnej nawiązanej sesji. Odrzucamy je na brzegu sieci, więc Twoje serwery aplikacyjne i baza danych nie muszą się nimi w ogóle zajmować i mogą obsługiwać prawdziwych klientów.
Gdzie kończy się nasza rola
Uczciwie: ataki prowadzone przez poprawnie nawiązane sesje HTTPS, celujące w kosztowne zapytania do bazy, wymagają też pracy po stronie aplikacji. Cache, limity i WAF zostają po Twojej stronie. Powiemy wprost, gdzie kończy się to, co możemy odfiltrować w sieci.
Pełny obraz usługi
Mechanika jest ta sama dla każdego segmentu: SkyGuard, nasz własny silnik stanowy, filtruje każdy pakiet na brzegu AS202520, w trybie always-on albo on-demand, bez RTBH i bez blackholingu. Na głównej stronie ochrony Anty-DDoS opisujemy silnik, tryby pracy, ruch odbity, carpet bombing oraz porównanie z blackholingiem i obcym scrubbingiem.
Najczęstsze pytania
Czy ochrona poradzi sobie z botami skanującymi sklep?
To dwa różne problemy. Boty scrapujące ceny czy próbujące logowania prowadzą poprawne sesje, więc filtrowanie stanowe ich nie zatrzyma. Częściowo pomaga filtracja L7, ale docelowo takie rzeczy rozwiązuje się po stronie aplikacji: limitami, weryfikacją i regułami WAF. Nasza ochrona zdejmuje z Ciebie wolumen, a nie zastępuje zabezpieczeń aplikacyjnych.
Dostałem żądanie okupu z groźbą ataku. Co robić?
Nie płacić i przygotować się technicznie, bo zapłata oznacza zwykle powrót po kolejną transzę. Napisz do nas z wyprzedzeniem: uruchomienie ochrony przed zapowiedzianym terminem jest znacznie spokojniejsze niż wpinanie się w trakcie trwającego ataku. Warto też zgłosić sprawę organom ścigania.