WAF та захист від DDoS: у чому різниця та як організувати багаторівневий захист веб-додатків

WAF та захист від DDoS: у чому різниця?

Для онлайн-бізнесу доступність сайту — це лише половина завдання. Веб-додаток може продовжувати відповідати на запити й одночасно піддаватися спробам експлуатації вразливостей, підбору облікових даних або атакам на API. Можливий і зворотний сценарій: сам додаток захищений від типових веб-експлойтів, але інфраструктура не витримує величезного обсягу шкідливого трафіку.

Тому WAF і DDoS Protection не можна вважати взаємозамінними технологіями. WAF аналізує запити до веб-додатка та блокує небезпечні дії на рівні додатка, а DDoS-захист призначений насамперед для забезпечення доступності сервісу під час атак, що створюють надмірне навантаження.

Що таке WAF?

WAF (Web Application Firewall) розташовується між користувачем і веб-додатком та аналізує HTTP/HTTPS-запити.

Його завдання — визначити, чи є запит легітимним, чи містить він ознаки атаки. Залежно від правил WAF може пропустити запит, заблокувати його, обмежити частоту або передати подію до системи моніторингу.

Типові сценарії застосування WAF передбачають захист від:

• SQL-ін’єкція;
• Міжсайтовий скриптинг;
• спроб використання вразливостей веб-додатка;
• автоматизованого шкідливого трафіку;
• аномальних HTTP-запитів;
• частину атак на API;
• деяких атак на прикладному рівні L7.

При цьому WAF аналізує не просто кількість пакетів, а зміст і контекст веб-запиту.

Що таке захист від DDoS-атак?

DDoS, або Distributed Denial of Service, — це розподілена атака, мета якої полягає в перевантаженні ресурсу трафіком, з’єднаннями або великою кількістю обчислювально-вимогливих запитів.

Для атаки можуть використовуватися тисячі розподілених джерел, тому просте блокування однієї IP-адреси не вирішує проблему.

DDoS Protection виявляє аномальний потік і фільтрує шкідливий трафік до того, як він перевантажить сервер, мережевий канал або додаток.

WAF та захист від DDoS-атак: основна відмінність

У цих технологій є зона перетину на рівні L7. Наприклад, велика кількість зовні коректних HTTP-запитів також може використовуватися для виведення додатка з ладу. Однак це не робить WAF повноцінною заміною спеціалізованого захисту від DDoS-атак.

Чому одного WAF може бути недостатньо?

Уявімо, що зловмисник не намагається використати SQL-ін’єкцію і взагалі не надсилає запитів з явно шкідливим вмістом. Натомість він створює величезний обсяг мережевого трафіку.

Кожен окремий запит може здаватися прийнятним, однак сукупне навантаження може вичерпати пропускну здатність каналу або ресурси інфраструктури.

У такій ситуації додатку потрібен захист, здатний аналізувати та фільтрувати потік ще до того, як він досягне origin-сервера.

Чому одного лише захисту від DDoS-атак теж недостатньо?

Тепер розглянемо протилежний сценарій. Користувач надсилає лише один спеціально сформований запит, спрямований на експлуатацію вразливості веб-додатка.

З точки зору обсягу трафіку жодних аномалій немає. Сервер не перевантажений, мережевий канал вільний, тому класичних ознак об’ємної DDoS-атаки немає.

Однак зміст самого HTTP-запиту може становити загрозу.

Саме тут необхідний контроль на прикладному рівні.

Як виглядає багаторівневий захист?

Спрощену архітектуру можна уявити таким чином:

Користувач → глобальна мережа → DDoS Protection → WAF → API / веб-додаток → сервер → дані

Кожен рівень вирішує своє завдання.

1. DDoS Protection фільтрує масовий шкідливий трафік.
2. WAF аналізує веб-запити.
3. API Security контролює специфічні ризики програмних інтерфейсів.
4. Система управління доступом перевіряє користувача та його права.
5. Захист додатків і серверів контролює події всередині інфраструктури.

Такий підхід зменшує залежність від одного захисного механізму.

На яких рівнях відбуваються DDoS-атаки?

L3 — мережевий рівень

Атака може генерувати величезний обсяг мережевого трафіку та намагатися вичерпати наявну пропускну здатність.

L4 — транспортний рівень

Ціллю можуть стати з’єднання та ресурси мережевого стеку. Типовий приклад — велика кількість спроб встановити з’єднання.

L7 — прикладний рівень

Зловмисник надсилає запити безпосередньо до додатка. Їхня кількість може бути значно меншою, але кожен запит вимагає обробки сервером, звернення до бази даних або виконання ресурсомісткої операції.

Саме на рівні L7 особливо помітна необхідність узгодженої роботи DDoS-захисту, WAF та механізмів обмеження пропускної здатності (Rate Limiting).

Навіщо потрібне обмеження швидкості?

Не вся шкідлива активність виглядає як класична атака. Іноді проблема полягає у надто великій кількості однотипних запитів до конкретного API або сторінки.

Rate Limiting дозволяє обмежити кількість дій за певний період.

Наприклад:

100 запитів / 60 секунд / один ідентифікатор клієнта

У разі перевищення порогового значення система може уповільнити обробку, тимчасово заблокувати запити або вимагати додаткової перевірки.

Такий механізм є корисним не лише проти DDoS-атак, а й проти спроб підбору паролів, зловживання API та деяких видів автоматизованого трафіку.

Скільки може коштувати простоювання веб-сервісу?

Для оцінки пріоритетності захисту корисно розрахувати вартість недоступності хоча б у спрощеному вигляді.

Припустимо, що онлайн-сервіс обробляє в середньому 1 200 замовлень на добу при середньому доході 80 доларів за замовлення.

Середній дохід за годину:

(1 200 × 80) / 24 = 4 000 доларів на годину

Якщо DDoS-атака робить сервіс повністю недоступним на дві години, умовний недоотриманий дохід може становити:

4 000 × 2 = 8 000 доларів

У цей розрахунок ще не включено витрати на відновлення, роботу технічної команди, вплив на SLA та репутаційні втрати.

Для сервісів із високою часткою онлайн-продажів навіть відносно короткий простой може мати істотне економічне значення.

Як зрозуміти, що бізнесу потрібні обидва рівні захисту?

Поєднання WAF та DDoS Protection є особливо актуальним, якщо компанія:

• отримує замовлення або запити через сайт;
• надає SaaS-сервіс;
• використовує загальнодоступні API;
• обслуговує велику кількість клієнтів онлайн;
• має вимоги до SLA;
• обробляє фінансові або персональні дані;
• не може допустити тривалого простою інтернет-сервісів.

Для таких систем питання вже полягає не в тому, чи потрібен один захисний механізм, а в тому, як розподілити функції між кількома рівнями.

Що слід враховувати при виборі WAF?

Важливо оцінювати не лише наявність стандартного набору правил. Для реального веб-додатка важливими є можливості створення власних політик, аналіз сучасного API-трафіку, оновлення правил у разі появи нових загроз, якість виявлення та кількість помилкових спрацьовувань.

Також бажано враховувати масштабованість. Якщо фільтрація стає «вузьким місцем» під час зростання легітимного навантаження, захисний механізм сам може погіршувати доступність сервісу.

Як приклад комплексного підходу можна розглянути WAF для захисту веб-додатків у складі Cloudflare Application Services, де захист додатків працює разом з іншими механізмами на глобальній інфраструктурі.

Що слід враховувати при виборі захисту від DDoS-атак?

Тут ключове значення мають здатність інфраструктури витримувати масштабні атаки, автоматичне виявлення аномалій, швидкість реагування та можливість фільтрувати трафік до того, як він потрапить на сервер, що захищається.

Для бізнесу також важливим є захист на різних рівнях — від мережевих атак до рівня L7, прозорість підключення та доступність аналітики після інциденту.

Спеціалізований захист від DDoS-атак дає змогу винести фільтрацію шкідливого трафіку за межі власної інфраструктури та зменшити ймовірність того, що атака вичерпає наявні ресурси.

WAF чи DDoS Protection — що вибрати?

Для критично важливого веб-додатка правильне запитання зазвичай звучить не «WAF чи DDoS», а «які ризики має усувати кожен рівень».

WAF допомагає відповісти на запитання:

Чи є цей конкретний запит безпечним для додатка?

DDoS Protection вирішує інше завдання:

чи весь потік трафіку є легітимним і чи витримає інфраструктура поточне навантаження?

Застосування обох технологій дає змогу одночасно забезпечувати конфіденційність, цілісність та доступність веб-сервісу.

Часті запитання

Чи може WAF захистити від DDoS?

WAF здатний брати участь у захисті від частини атак рівня L7, однак не замінює повноцінний захист від DDoS-атак, спрямованих на великі мережі та протоколи.

Чим WAF відрізняється від звичайного брандмауера?

Класичний мережевий брандмауер переважно контролює мережеві з’єднання, тоді як WAF аналізує HTTP/HTTPS-трафік та логіку запитів до веб-додатку.

Що важливіше: WAF чи захист від DDoS-атак?

Вони вирішують різні завдання. Для публічного критичного веб-сервісу зазвичай потрібні обидва рівні: захист доступності та аналіз небезпечних запитів користувачів.

Що таке L7 DDoS?

Це атака на прикладному рівні, під час якої велика кількість запитів надсилається безпосередньо до функцій сайту або API, що змушує сервер витрачати ресурси на їхню обробку.