Мониторинг атак: что отслеживать
DDoS-атака может начаться в любой момент. Без мониторинга вы узнаете о ней от пользователей — когда сайт уже недоступен. С мониторингом — за минуты до того, как атака станет критичной, и успеваете включить защиту или масштабировать ресурсы.
В 2026 году скорость реакции критична: современные атаки нарастают за секунды и могут обрушить сайт до того, как вы откроете панель управления. Мониторинг с автоматическими алертами — обязательная часть защиты.
В этой статье — разбор мониторинга атак: что отслеживать, какие метрики важны, как настроить оповещения. Если нужно подключить защиту от DDoS с мониторингом — поможем.
📋 Содержание статьи
Зачем мониторить
Мониторинг атак решает несколько задач:
- Раннее обнаружение: узнаёте об атаке в первые минуты, а не когда сайт упал;
- Быстрая реакция: включаете защиту, скрываете IP, добавляете ресурсы;
- Понимание атаки: видите тип атаки, источник, объём — это помогает выбрать правильную защиту;
- Анализ трендов: видите, как меняются атаки со временем, готовитесь к будущим;
- Доказательства: логи атак — доказательства для правоохранительных органов или страховых;
- Оптимизация: понимаете, какие ресурсы атакуются, оптимизируете защиту.
Мониторинг — это не «поставить и забыть». Это непрерывный процесс: сбор метрик, анализ, реакция, обучение.
Ключевые метрики
Что нужно отслеживать:
| Метрика | Норма | Признак атаки |
|---|---|---|
| Requests per second (RPS) | Обычно 100–1000 | Резкий рост в 10–100 раз |
| Bandwidth | Зависит от проекта | Рост в 5–10 раз |
| Уникальные IP | Обычно десятки в минуту | Тысячи в минуту |
| Response time | до 500 мс | Рост до секунд |
| Error rate | до 1% | Рост 5xx ошибок |
| CPU load | до 70% | Постоянно 90%+ |
| Connections | Зависит от проекта | Резкий рост |
| География | Соответствует аудитории | Трафик из нетипичных стран |
| User-Agent | Разнообразные | Много одинаковых или пустых |
| Запросы к чувствительным URL | Редко | Массовые запросы к /admin, /wp-login |
Аномалии в этих метриках — сигнал возможной атаки. Важно знать «норму» для вашего проекта, чтобы замечать отклонения.
Анализ трафика
Анализ трафика помогает понять характер атаки:
- Источники: IP-адреса, ASN, страны. Один источник или распределённая атака?
- Протоколы: TCP, UDP, ICMP, HTTP, HTTPS. Какой протокол используется для атаки?
- Размер пакетов: маленькие или большие. Аномальные размеры — признак атаки;
- Порты: какие порты атакуются. Часто атакуют 80, 443, 22;
- Паттерны: какие URL, какие параметры, какие заголовки. Это может указывать на конкретный вектор атаки;
- Время: когда началась атака, как долго длится, есть ли паттерны;
- Легитимный трафик: какой процент запросов — реальные пользователи, какой — атака.
Анализ трафика — это расследование. Чем больше данных, тем точнее защита.
Инструменты
Для мониторинга атак используются разные инструменты.
Мониторинг инфраструктуры
- Zabbix: классическая система мониторинга, шаблоны для сети;
- Prometheus + Grafana: современный стек, метрики в реальном времени;
- Netdata: лёгкий мониторинг в реальном времени;
- Munin: простой мониторинг серверов.
Мониторинг сети
- iftop, nethogs: трафик в реальном времени по IP и процессам;
- tcpdump, tshark: захват и анализ пакетов;
- ntopng: веб-интерфейс для анализа трафика;
- Darkstat: анализ трафика с графиками.
Мониторинг приложений
- GoAccess: анализ логов веб-сервера в реальном времени;
- AWStats: статистика по логам;
- ELK Stack: централизация логов;
- Graylog: управление логами.
Специализированные сервисы
- Cloudflare Analytics: статистика атак для Cloudflare;
- StormWall Panel: панель мониторинга атак;
- Qrator: мониторинг и отчёты;
- AWS Shield Advanced: детальные отчёты по атакам.
Uptime-мониторинг
- UptimeRobot: проверка доступности сайта;
- Pingdom: мониторинг и алерты;
- StatusCake: проверки из разных регионов;
- Better Uptime: современный сервис с алертами.
Оповещения
Мониторинг без оповещений бесполезен. Настраиваем алерты на:
- Резкий рост RPS: например, RPS вырос в 5 раз за 5 минут;
- Рост ошибок: доля 5xx ошибок выросла до 5%;
- Высокая нагрузка: CPU или RAM выше 90% в течение 5 минут;
- Недоступность: сайт не отвечает более 30 секунд;
- Аномальная география: трафик из стран, которые обычно не в аудитории;
- Запросы к чувствительным URL: массовые запросы к /admin;
- Подозрительные User-Agent: боты, сканеры.
Куда отправлять
- Telegram: самый быстрый канал для алертов;
- SMS: для критичных оповещений ночью;
- Email: для информационных сообщений;
- PagerDuty: для дежурных команд;
- Slack: для командной работы;
- Webhook: интеграция с другими системами.
Важно не переусердствовать: слишком много алертов приводит к их игнорированию. Настраиваем 5–10 действительно важных оповещений.
Реакция на атаку
Когда атака обнаружена, важно действовать быстро и по плану.
- Подтверждение: убедиться, что это действительно атака, а не пиковая нагрузка;
- Классификация: L3-L4 (объёмная) или L7 (прикладная)?
- Включение защиты: Under Attack Mode, скрытие IP, активация WAF;
- Масштабирование: добавление ресурсов при необходимости;
- Мониторинг: следим за развитием атаки;
- Коммуникация: предупреждаем пользователей, если сайт недоступен;
- Анализ: после атаки — разбор, обновление защиты;
- Документирование: логи для будущего.
Важно действовать быстро и по плану. Заранее подготовленный runbook помогает реагировать без паники.
Наши рекомендации
📌 Итоговый вывод
Мониторинг атак — обязательная часть защиты от DDoS.
Что нужно знать:
- Зачем: раннее обнаружение, быстрая реакция, анализ;
- Метрики: RPS, bandwidth, IP, ошибки, нагрузка, география;
- Анализ: источники, протоколы, паттерны;
- Инструменты: Zabbix, Prometheus, GoAccess, Cloudflare Analytics;
- Оповещения: Telegram, SMS, email;
- Реакция: подтверждение, классификация, защита, анализ.
Хотите настроить мониторинг атак? Закажите консультацию в Lead Hub.
Также рекомендуем: что такое DDoS, L3-L4 или L7, Cloudflare для защиты, WAF, ошибки в защите, защита от DDoS.