WAF: зачем нужен и как работает

WAF (Web Application Firewall) — это «умный фильтр» для веб-приложений. В отличие от обычного файрвола, который работает с IP-адресами и портами, WAF анализирует содержимое HTTP-запросов и блокирует те, которые выглядят как атака. Это защита от SQL-инъекций, XSS, CSRF, ботов, попыток эксплуатации уязвимостей.

В 2026 году автоматические сканеры проверяют миллионы сайтов ежедневно. Даже небольшой блог или интернет-магазин становится целью. WAF — обязательный слой защиты для любого публичного проекта.

В этой статье — разбор WAF: что это, как работает, зачем нужен, какие бывают. Если нужно настроить WAF — поможем.

Что такое WAF

WAF (Web Application Firewall) — файрвол уровня приложений. Он анализирует HTTP/HTTPS-трафик и блокирует подозрительные запросы до того, как они дойдут до веб-приложения.

Как это работает в общем виде:

Запрос: пользователь отправляет запрос на сайт;
Анализ: WAF проверяет запрос по множеству правил: URL, параметры, заголовки, cookies, тело;
Сравнение: запрос сравнивается с базой известных атак (сигнатурами);
Решение: если запрос подозрительный — блокируется, логируется, отправляется алерт. Если нормальный — пропускается;
Реакция: злоумышленник получает ошибку 403, обычный пользователь — работает с сайтом.

WAF — это не «серебряная пуля» от всех атак, но важный слой защиты. Он дополняет другие меры: SSL, обновления, безопасный код, мониторинг.

Аналогия: обычный файрвол — это охранник, который проверяет документы на входе в здание. WAF — это охранник, который проверяет содержимое сумок и карманов каждого входящего. Он видит угрозу там, где обычный файрвол её пропустит.

Зачем нужен

WAF решает несколько задач:

Защита от атак

SQL-инъекции, XSS, CSRF, command injection, path traversal — WAF блокирует большинство попыток эксплуатации уязвимостей.

Блокировка ботов

Парсеры, сканеры, спам-боты, брутфорс — всё это блокируется до того, как нагрузит сервер.

Снижение нагрузки

WAF отсеивает мусорный трафик. Сервер обрабатывает только легитимные запросы, что повышает производительность.

Соответствие требованиям

Для PCI DSS, 152-ФЗ и других стандартов WAF часто обязателен. Помогает пройти аудит безопасности.

Видимость атак

WAF логирует все попытки атак. Вы видите, какие уязвимости пытаются эксплуатировать, откуда идут атаки.

Быстрая реакция

Новые правила выпускаются провайдером WAF в течение часов. Свежие уязвимости закрываются автоматически.

Как работает

WAF использует несколько методов анализа.

1. Сигнатурный анализ

WAF сравнивает запрос с базой известных атак. Если запрос содержит паттерн атаки — блокируется. База обновляется провайдером WAF. Это классический подход, работает хорошо против известных атак.

Примеры сигнатур:

' OR '1'='1 — SQL-инъекция;
<script> — XSS-атака;
../etc/passwd — path traversal.

2. Поведенческий анализ

WAF анализирует поведение пользователя: как быстро идут запросы, какие URL запрашиваются, есть ли аномалии. Это позволяет обнаруживать атаки, которые не подходят под сигнатуры.

Примеры:

Запросы на /admin 1000 раз в минуту — брутфорс;
Запросы только к /wp-login.php — попытка подбора пароля;
Слишком много запросов на поиск — попытка парсинга.

3. Reputation-анализ

WAF проверяет IP-адрес отправителя по базам репутации. Если IP в чёрном списке (спам, ботнет, анонимайзер) — запрос блокируется.

4. Машинное обучение

Современные WAF используют ML для выявления аномалий. Модель обучается на нормальном трафике и замечает отклонения. Это эффективнее сигнатур для новых атак.

5. Rate limiting

WAF ограничивает количество запросов от одного IP. Например, не более 100 запросов в минуту. Превышение — блокировка или CAPTCHA.

Что блокирует

WAF защищает от широкого спектра атак:

Атака	Описание
SQL-инъекции	Внедрение SQL-кода через формы, URL, cookies
XSS	Внедрение JavaScript для кражи сессий
CSRF	Подделка запросов от имени пользователя
Command Injection	Внедрение команд ОС через формы
Path Traversal	Доступ к файлам вне разрешённых директорий
File Inclusion	Подключение вредоносных файлов
XXE	XML External Entity — эксплуатация XML-парсеров
SSRF	Server-Side Request Forgery — запросы от имени сервера
Brute Force	Подбор паролей к админке, SSH, API
Bot Attacks	Парсинг, скрейпинг, спам-боты
DDoS L7	HTTP-флуд, Slowloris, атаки на API
Zero-day	Использование неизвестных уязвимостей (при ML-моделях)

Виды WAF

WAF бывают разных типов.

1. Облачные WAF

WAF как сервис от провайдера. Трафик идёт через инфраструктуру провайдера, где фильтруется.

Плюсы: не требует установки, обновляется автоматически, масштабируется;
Минусы: зависимость от провайдера, дополнительная задержка;
Примеры: Cloudflare WAF, StormWall, Qrator, AWS WAF, Яндекс Smart Web Security.

2. Локальные WAF

WAF устанавливается на сервер или перед ним. Полный контроль над правилами.

Плюсы: полный контроль, нет зависимости от провайдера;
Минусы: требует администрирования, обновления правил вручную;
Примеры: ModSecurity, NAXSI, Coraza.

3. Гибридные WAF

Комбинация облачного и локального WAF. Облако фильтрует объёмные атаки, локальный — тонкие правила для приложения.

4. WAF на уровне хостинга

Некоторые хостинги включают базовый WAF в тариф. Это простая защита, но часто ограничена правилами.

Как настроить

Настройка WAF состоит из нескольких этапов:

Выбор WAF: облачный (Cloudflare, StormWall) или локальный (ModSecurity);
Подключение: для облачного — смена DNS, для локального — установка модуля;
Базовые правила: включаем стандартный набор (OWASP ModSecurity Core Rule Set);
Мониторинг: запускаем WAF в режиме «только логирование», смотрим, что блокируется;
Тюнинг правил: убираем ложные срабатывания, добавляем кастомные правила под приложение;
Блокировка: переключаем в режим блокировки;
Rate limiting: настраиваем лимиты запросов;
CAPTCHA: включаем для подозрительных запросов;
Алерты: настраиваем уведомления о блокировках;
Регулярный аудит: пересматриваем правила раз в квартал.

Важно: не включайте WAF сразу в режиме блокировки. Сначала посмотрите, что он блокирует, чтобы не заблокировать легитимных пользователей.

Ошибки

WAF без мониторинга

Включили и забыли. WAF может блокировать легитимных пользователей, а вы не знаете.

Слишком строгие правила

Блокировка всего подряд, включая обычные формы. Пользователи не могут оставить заявку.

Слишком мягкие правила

WAF включён, но пропускает большинство атак. Толку от него нет.

WAF вместо безопасного кода

Думают, что WAF заменит валидацию и параметризацию. Это не так — нужны все меры.

Нет логирования

Не видно, что блокируется. Нельзя понять, есть ли атаки и что они нацелены эксплуатировать.

Устаревшие правила

Правила не обновляются. Новые атаки не блокируются.

Наши рекомендации

🎯

1. Начните с облачного WAF

Cloudflare, StormWall. Подключим.

📊

2. Мониторинг обязателен

Проверяйте логи. О мониторинге.

🚀

3. Закажите настройку

Настроим WAF под проект. Оставьте заявку.

📌 Итоговый вывод

WAF — обязательный слой защиты для любого публичного сайта.

Что нужно знать:

Что такое WAF: файрвол уровня приложений;
Зачем нужен: защита от атак, блокировка ботов, видимость, соответствие требованиям;
Как работает: сигнатуры, поведение, репутация, ML, rate limiting;
Что блокирует: SQL-инъекции, XSS, CSRF, брутфорс, боты, DDoS L7;
Виды: облачные, локальные, гибридные, на уровне хостинга;
Настройка: включение, мониторинг, тюнинг, блокировка;
Ошибки: без мониторинга, слишком строгие/мягкие правила, нет обновлений.

Хотите настроить WAF? Закажите консультацию в Lead Hub.

Включили WAF, но не уверены, что он работает? Проверим за 1 день

WAF без правильной настройки — это «мёртвый» файрвол. Проверим конфигурацию, устраним ложные срабатывания, добавим защиту от SQL-инъекций, XSS и ботов. Настроим логи и алерты. Узнаете, что именно блокируется.

Имя *

Телефон *

Что интересует

Есть ли WAF сейчас? *

Да, работает

Да, но не уверены

Нет

Не знаем

Тип сайта *

Комментарий

Нажимая кнопку, вы соглашаетесь на обработку персональных данных в соответствии с политикой конфиденциальности.

Почему заказывают защиту от DDoS у нас

8 причин доверить защиту нашей команде

Фильтрация L3-L4

Защита от сетевых атак: UDP-флуд, SYN-флуд, ICMP-флуд. Фильтрация на уровне сети.

Фильтрация L7

Защита от прикладных атак: HTTP-флуд, медленные атаки, брутфорс. Анализ поведения.

CDN с защитой

Cloudflare, StormWall, Qrator. Глобальная сеть фильтрации. Атака распределяется по сети.

Быстрая реакция

Автоматическое включение защиты при обнаружении атаки. Реакция за минуты.

Мониторинг трафика

Круглосуточный мониторинг. Видим атаки в реальном времени. Оповещения при аномалиях.

Скрытие IP

Реальный IP сервера скрыт за защитой. Атакующий не может атаковать напрямую.

Настройка под проект

Правила фильтрации под ваш сайт: белые списки, rate limiting, CAPTCHA для подозрительных.

Техподдержка

Помогаем при атаках, настраиваем защиту, консультируем. Отвечаем быстро и по делу.

Что входит в защиту от DDoS

42 направления: от фильтрации L3-L4 до премиум-защиты

Защита от DDoS L3-L4

Сетевая фильтрация атак

UDP-флуд
SYN-флуд
ICMP-флуд

Подробнее →

Защита от DDoS L7

Прикладная фильтрация

HTTP-флуд
Медленные атаки
Rate limiting

Подробнее →

Cloudflare

Подключение Cloudflare

CDN
WAF
DDoS

Подробнее →

StormWall

Российский сервис защиты

L3-L7
CDN
WAF

Подробнее →

Qrator

Защита от DDoS

Фильтрация
Мониторинг
SLA

Подробнее →

Защита на уровне хостинга

Встроенная защита

VPS
Dedicated
Облако

Подробнее →

Настройка файрвола

Локальная фильтрация

iptables
nftables
Fail2ban

Подробнее →

Rate limiting

Ограничение запросов

По IP
По URL
По пользователю

Подробнее →

Защита от ботов

Фильтрация парсеров и ботов

User-Agent
Поведение
CAPTCHA

Подробнее →

Защита от брутфорса

Защита от подбора паролей

SSH
Админки
Формы

Подробнее →

Мониторинг атак

Отслеживание в реальном времени

Трафик
Аномалии
Оповещения

Подробнее →

Оповещения об атаках

Уведомления при атаке

Подробнее →

Аналитика атак

Отчёты по атакам

Типы атак
Источники
Пики

Подробнее →

Геоблокировка

Ограничение по странам

GeoIP
Страны
Правила

Подробнее →

SSL/TLS защита

Безопасные соединения

TLS 1.3
HSTS
Шифры

Подробнее →

Защита API

Защита API-эндпоинтов

Rate limiting
API keys
Мониторинг

Подробнее →

Защита интернет-магазина

Защита от атак на магазин

Пиковые нагрузки
Боты
Скрейпинг

Подробнее →

Защита игровых серверов

Защита от DDoS в играх

UDP
Игровые протоколы
Фильтрация

Подробнее →

Защита стриминга

Защита видео-сервисов

RTMP
HLS
Фильтрация

Подробнее →

Защита облачных сервисов

Защита в облаке

AWS
Яндекс
VK

Подробнее →

Защита выделенных серверов

Защита bare metal

L3-L4
Аппаратная
Фильтрация

Подробнее →

Защита VPS

Защита виртуальных серверов

Встроенная
Настройка
Мониторинг

Подробнее →

Защита баз данных

Защита СУБД от атак

SQL-инъекции
Брутфорс
Мониторинг

Подробнее →

Защита почты

Защита от спама и атак

SPF
DKIM
DMARC

Подробнее →

Защита форумов

Защита сообществ

Спам
Боты
DDoS

Подробнее →

Защита СМИ

Защита новостных порталов

Пики
Атаки
CDN

Подробнее →

Защита маркетплейсов

Защита онлайн-платформ

Много продавцов
Нагрузка
Фильтрация

Подробнее →

Защита медицинских систем

Защита клиник и МИС

152-ФЗ
Шифрование
Мониторинг

Подробнее →

Защита корпоративных систем

Защита enterprise

Политики
Аудит
Мониторинг

Подробнее →

Соответствие 152-ФЗ

Защита персональных данных

152-ФЗ
Шифрование
Аудит

Подробнее →

WAF

Файрвол уровня приложений

ModSecurity
Правила
Защита

Подробнее →

Защита от SQL-инъекций

Фильтрация SQL-атак

WAF
Валидация
Мониторинг

Подробнее →

Защита от XSS

Фильтрация XSS-атак

CSP
Заголовки
WAF

Подробнее →

Защита от скрейпинга

Защита контента от парсинга

Боты
Rate limiting
CAPTCHA

Подробнее →

Аварийная защита

Экстренное подключение при атаке

Срочно
Быстро
Эффективно

Подробнее →

SLA и гарантии

Гарантии защиты

SLA
Компенсации
Отчётность

Подробнее →

Премиум-защита

Максимальный уровень защиты

Выделенный канал
Персональный менеджер
SLA

Подробнее →

Как мы работаем

Прозрачный процесс от заявки до защищённого проекта

Заявка

Оставляете заявку. Обсуждаем задачи: какой проект, какой трафик, какие риски, были ли атаки.

Аудит

Анализируем текущую инфраструктуру: какие сервисы, какие IP, какие каналы. Определяем уровень защиты.

Подбор решения

Подбираем решение: Cloudflare, StormWall, Qrator, локальная защита. Учитываем бюджет и требования.

Оформление

Оформляем договор, выставляем счёт. Оплата — картой, по счёту для юридических лиц, через СБП.

Настройка

Настраиваем защиту: DNS, фильтрацию, правила, мониторинг. Скрываем реальный IP сервера.

Тестирование

Проверяем работу защиты: тестируем нагрузку, фильтрацию, оповещения. Убеждаемся, что всё работает.

Мониторинг

Круглосуточный мониторинг трафика. Оповещения при аномалиях. Реакция на атаки за минуты.

Поддержка

Помогаем при атаках, настраиваем правила, консультируем. Отвечаем быстро и по делу.

Стоимость защиты от DDoS

Цены соответствуют российскому рынку на 2026 год

Базовый

от 3 000 ₽

Для небольших сайтов

Фильтрация L3-L4
Базовая защита
Мониторинг
Оповещения
Техподдержка

Заказать

ХИТ

Бизнес

от 8 000 ₽

Для средних проектов

Фильтрация L3-L7
Cloudflare или StormWall
Настройка правил
Мониторинг 24/7
Приоритетная поддержка
SLA

Заказать

Премиум

от 25 000 ₽

Для крупных проектов

Выделенный канал
Максимальная ёмкость
Персональный менеджер
SLA 99.99%
Аварийная защита
Отчётность

Заказать

* Цены указаны за месяц. Точный расчёт после аудита проекта. При атаках возможна экстренная защита.

Наши проекты

Примеры защиты от DDoS

Интернет-магазин

Подключена защита Cloudflare для интернет-магазина. Отбито 200+ атак за полгода. Сайт работает без простоя.

E-commerce Cloudflare

Игровой сервер

Защита игрового сервера от UDP-флуда. Атака 500 Гбит/с отбита без сбоев. Игроки не заметили.

Игры L3-L4

Новостной портал

Защита от DDoS во время резонансной публикации. Трафик вырос в 50 раз — сайт выдержал.

СМИ L7

CRM-система

Настроена защита CRM: rate limiting, фильтрация ботов, мониторинг. Устранены попытки брутфорса.

CRM Rate limiting

Медицинский портал

Защита под 152-ФЗ: шифрование, фильтрация, мониторинг. Соответствие требованиям безопасности.

Медицина 152-ФЗ

Корпоративный портал

Защита портала крупной компании. Отбито 100+ целевых атак. Данные защищены.

Корпоративный WAF

Смотреть все проекты

Часто задаваемые вопросы о защите от DDoS

Развёрнутые ответы на популярные вопросы

DDoS (Distributed Denial of Service) — это распределённая атака на отказ в обслуживании. Злоумышленники используют множество устройств (ботнет), чтобы одновременно направить на сервер огромное количество запросов.

Цель — перегрузить сервер, канал связи или приложение, сделать их недоступными для пользователей. Атака идёт не с одного компьютера, а с тысяч и миллионов устройств: заражённых камер, роутеров, приставок, домашней электроники [citation:14].

В 2026 году DDoS-атаки перестали быть уделом избранных. Благодаря сервисам «DDoS по найму» (DDoS-for-hire) и разговорному ИИ, запустить атаку может человек без технических навыков [citation:6]. Порог входа упал, а мощность атак выросла в разы.

Атаки классифицируются по уровню воздействия на модели OSI:

Volumetric (L3–L4, сетевой и транспортный уровень) — забивают канал связи огромным объёмом трафика. Примеры: UDP-флуд, ICMP-флуд, DNS-амплификация, NTP-амплификация. Это самые мощные атаки — в 2026 году фиксировались значения до 30 Тбит/с [citation:14].

Protocol (L3–L4) — эксплуатируют особенности протоколов. Самые популярные: SYN-флуд (полуоткрытые соединения забивают таблицу), TCP PSH/ACK Flood. По данным Selectel, TCP PSH/ACK и TCP SYN вместе занимают около 58% всех атак на российские компании [citation:1].

Application (L7, прикладной уровень) — атакуют веб-приложение, имитируя обычных пользователей. HTTP-флуд, Slowloris, медленные POST-запросы. Доля L7-атак выросла до 50% — они сложнее обнаруживаются, так как похожи на легитимный трафик [citation:9].

Современная защита строится на эшелонированном подходе — несколько уровней фильтрации до того, как трафик достигнет вашего сервера.

Уровень CDN или scrubbing-центра. Трафик проходит через распределённую сеть фильтрации. Вредоносные запросы отсекаются, легитимные направляются на сервер. Реальный IP сервера скрыт — атакующий не может бить напрямую [citation:19].

Уровень сети (L3–L4). Фильтрация на сетевом оборудовании: ограничение скорости, SYN cookies, проверка обратного пути (uRPF), блокировка подозрительных пакетов [citation:11].

Уровень приложения (L7). WAF и антибот-защита анализируют HTTP-запросы, поведение пользователей, заголовки. Отсекают сложные атаки, имитирующие реальных посетителей [citation:4].

ФСТЭК в 2026 году выпустила рекомендации, где описала защиту через конкретные классы атак — от UDP-флуда до мультивекторных комбинаций [citation:11].

L3–L4 (сетевой и транспортный уровень) — фильтрация по IP-адресам, портам, протоколам. Анализируются пакеты: откуда пришли, куда направлены, какой протокол (TCP, UDP, ICMP). Задача — отсечь объёмный флуд до того, как он забьёт канал.

Что делается на L3–L4: ограничение скорости трафика, SYN cookies, блокировка широковещательных ICMP, отключение неиспользуемых UDP-сервисов [citation:11].

L7 (прикладной уровень) — фильтрация HTTP-запросов. Анализируются заголовки, User-Agent, поведение, частота запросов. Задача — отсечь атаки, которые выглядят как обычный трафик: медленные запросы, флуд по API, перебор форм.

Для L7 нужна комбинация: WAF, антибот-защита, rate limiting, CAPTCHA для подозрительных запросов [citation:4][citation:11].

Мультивекторные атаки бьют одновременно по L3–L4 и L7. Доля таких сложных сценариев на российские компании достигла 42% [citation:9].

Мы работаем с ведущими российскими и международными сервисами:

Cloudflare — крупнейшая сеть фильтрации, бесплатный тариф с неограниченной защитой от DDoS для HTTP/HTTPS [citation:8]
StormWall — российский сервис, защита через проксирование без смены хостинга [citation:13]
Qrator — российский провайдер с собственной сетью фильтрации
DDoS-Guard — российский сервис, популярный у госсектора и медиа
Servicepipe — российская система защиты, фиксирует сложные многоступенчатые атаки [citation:9]

Для российских проектов рекомендуем решения с серверами в РФ: StormWall, Qrator, DDoS-Guard. Cloudflare — универсальный вариант, но трафик идёт через зарубежные узлы.

Стоимость зависит от уровня защиты и объёма трафика:

Базовая защита (L3–L4) — от 6 800 ₽/мес у StormWall [citation:13]. Фильтрация на сетевом уровне, защита от объёмных атак.

Расширенная (L3–L7 + CDN) — от 12 200 ₽/мес (тариф Cloud.ru со Stormwall) [citation:5]. Добавляется WAF, защита приложений, антибот.

Премиум (выделенный scrubbing-центр) — от 25 000 ₽/мес. Выделенная ёмкость фильтрации, SLA, поддержка 24/7.

Для enterprise — AWS Shield Advanced ($3 000/мес) или Akamai Prolexic ($5 000–10 000/мес) [citation:8].

В 2026 году Cloudflare Free остаётся самым доступным вариантом: неограниченная защита от DDoS для HTTP/HTTPS, но только для веб-трафика [citation:8].

Сроки зависят от типа защиты:

Cloudflare Free / базовые тарифы — 30–60 минут. Меняются NS-серверы или настраивается проксирование
Расширенная защита с настройкой правил — 1–2 рабочих дня
Выделенный scrubbing-центр — 3–5 дней (требуется настройка BGP-сессий)

При активной атаке можем подключить защиту в течение часа — переключаем трафик на фильтрацию, скрываем реальный IP. Атака отбивается, сайт продолжает работать.

Under Attack Mode — режим максимальной защиты, который включается при атаке. Все посетители проходят проверку через JavaScript-челлендж с задержкой 5 секунд.

Что происходит:

Атакующие запросы отсекаются (боты не проходят JS-проверку)
Обычные пользователи проходят проверку за 5 секунд
Сервер получает только «очищенный» трафик

Включаем режим только на время атаки. Как только атака прекращается — отключаем, чтобы не создавать неудобств пользователям.

Для L7-атак в 2026 году Under Attack Mode — один из самых эффективных инструментов: он отсекает HTTP-флуд, не пропуская ботов к серверу [citation:7].

Да, при подключении защиты реальный IP сервера скрывается за IP-адресами CDN или scrubbing-центра. Атакующий видит только адреса фильтрации.

Что важно сделать дополнительно:

Закрыть прямой доступ — файрвол должен пропускать трафик только с IP фильтрации
Проверить утечки — IP мог «засветиться» в DNS-истории, на форумах, в старых логах
Не публиковать IP — не указывать в открытых источниках, тикетах, документации
Сменить IP — если старый уже известен атакующим

Скрытие IP — критичный элемент защиты. Без него атакующий может обойти фильтрацию и бить напрямую [citation:19].

WAF (Web Application Firewall) — файрвол уровня приложений. Защищает от атак на веб-приложение:

SQL-инъекции — внедрение вредоносного SQL-кода
XSS — межсайтовый скриптинг
CSRF — подделка межсайтовых запросов
LFI/RFI — включение локальных и удалённых файлов
Эксплуатация уязвимостей — известные дыры в CMS и плагинах

WAF анализирует HTTP-запросы и блокирует подозрительные. Может быть облачным (Cloudflare, AWS WAF) или локальным (ModSecurity на Nginx/Apache).

Для полной защиты комбинируем WAF с DDoS-фильтрацией: L3–L4 отсекает объём, L7 (WAF) отсекает прицельные атаки [citation:4].

Боты и парсеры — отдельная категория угроз. Они не забивают канал, но создают нагрузку на приложение: собирают цены, копируют контент, нагружают API.

Что настраиваем:

Rate limiting — ограничение запросов с одного IP (например, не более 100 в минуту)
Анализ User-Agent — блокировка известных ботов
Поведенческий анализ — выявление аномалий: слишком быстрые запросы, обход страниц по шаблону
CAPTCHA — для подозрительных запросов
Honeypot-ловушки — скрытые ссылки, которые видят только боты

Современные антибот-системы используют ML-модели для выявления ботов по поведению. Легитимные пользователи не замечают проверок, боты блокируются [citation:11].

Rate limiting — ограничение количества запросов от одного IP или пользователя за промежуток времени. Например: не более 100 запросов в минуту с одного IP.

Что защищает:

Брутфорс — перебор паролей к админке, SSH
Парсинг — массовый сбор данных
Примитивные DDoS — флуд с одного или нескольких IP
Перебор форм — спам через формы обратной связи

Настраивается на уровне Nginx, WAF или приложения. Пороги подбираются под реальное поведение пользователей, чтобы не блокировать легитимных посетителей.

Да, если сайт приносит доход или содержит важные данные. Даже небольшой сайт может стать целью:

Конкуренты — заказать атаку на время распродажи или тендера
Автоматические сканеры — боты постоянно сканируют интернет в поисках уязвимостей
Случайные цели — если ваш IP попал в список ботнета
Политические или личные мотивы — активисты, хактивисты

В 2026 году 45% атак приходится на небольшие компании: они считаются лёгкой целью, так как редко имеют защиту [citation:1].

Cloudflare Free — бесплатный вариант базовой защиты. Для небольшого сайта этого часто достаточно.

Да. Cloudflare Free — самый популярный бесплатный вариант:

Неограниченная защита от DDoS для HTTP/HTTPS (порты 80, 443)
Скрытие реального IP
Базовая защита от ботов и парсеров
CDN для ускорения загрузки

Ограничения бесплатного тарифа: защита работает только для веб-трафика. Не подходит для game-серверов, DNS, кастомных TCP/UDP-сервисов — для них нужны платные тарифы (Spectrum, Magic Transit) [citation:8].

Для большинства сайтов бесплатного Cloudflare достаточно. Если атаки становятся сложными (L7, мультивекторные) — переходим на платные тарифы.

Срочные действия:

Свяжитесь с нами — мы подключим защиту в течение часа
Включите Under Attack Mode — если используете Cloudflare, это одна кнопка в панели
Скроем реальный IP — перенаправим трафик через фильтрацию
Заблокируем источники атаки — по геолокации, User-Agent, паттернам запросов

Атака будет отбита. Сайт продолжит работать. После стабилизации — проанализируем инцидент, усилим защиту, чтобы атака не повторилась.

В 2026 году средняя продолжительность атаки на одну компанию достигала 33 дней [citation:1]. Важно не просто отбить атаку, а построить защиту, которая выдержит длительное давление.

Защита на уровне приложения (L7) включает:

Rate limiting — ограничение частоты запросов на API и формы
CAPTCHA — для подозрительных сессий
Анализ поведения — выявление аномалий в запросах
WAF — блокировка известных атак
Кеширование — отдача кешированных ответов без запуска PHP
Очереди — асинхронная обработка тяжёлых запросов

Ключевой момент: приложение должно уметь отдавать кеш, не нагружая базу данных. Если атака идёт на динамические страницы, кеширование снижает нагрузку в разы.

Для highload-проектов настраиваем отдельный слой кеширования (Varnish, Nginx FastCGI Cache) и защиту API через rate limiting.

CDN (Content Delivery Network) — сеть серверов по всему миру. Статика (изображения, CSS, JS, видео) раздаётся с ближайшего к пользователю сервера.

Как CDN помогает от DDoS:

Распределение нагрузки — атака идёт на сеть CDN, а не на ваш сервер
Большая пропускная способность — CDN выдерживает терабитные атаки
Скрытие IP — сервер не виден атакующим
Фильтрация — CDN отсекает вредоносный трафик

В 2026 году CDN-провайдеры фиксировали 935 атак мощностью более 1 Тбит/с за полгода [citation:2]. Такие атаки невозможно отбить без распределённой сети фильтрации.

Cloudflare, Akamai, Яндекс CDN — все крупные провайдеры используют CDN как основу для защиты от DDoS.

Базовый хостинг обычно имеет минимальную защиту: фильтрация на уровне сети (L3–L4) от простых атак.

VPS и выделенные серверы могут иметь:

Встроенную защиту L3–L4 — фильтрация UDP-флуда, SYN-флуда
Ограничение скорости на портах
Мониторинг трафика — уведомления об аномалиях

Но для серьёзной защиты (L7, мультивекторные атаки, терабитные удары) нужны специализированные сервисы: Cloudflare, StormWall, Qrator, DDoS-Guard.

Мы комбинируем: встроенная защита хостинга + внешний сервис фильтрации. Это даёт максимальное покрытие.

Мониторинг атак включает:

Графики трафика в реальном времени — видно аномальные скачки
Оповещения при отклонениях — приходят в Telegram, email, SMS
Логи атак — какие IP атакуют, какие типы запросов
Дашборды — сводка по инцидентам за период

Для мониторинга используем:

NetFlow, sFlow, IPFIX — анализ сетевого трафика [citation:11]
Zabbix, LibreNMS, ntopng — открытые инструменты мониторинга [citation:11]
Панели провайдеров — статистика от StormWall, Cloudflare, Qrator

Настраиваем оповещения так, чтобы узнавать об атаке раньше, чем пользователи.

Белый список (whitelist) — IP-адреса, которым доступ разрешён всегда, независимо от правил фильтрации. Например: офисные IP для доступа к админке, IP партнёров для API.

Чёрный список (blacklist) — IP-адреса, которые блокируются всегда. Например: известные источники атак, IP из недружественных стран, заблокированные боты.

Что можно настраивать:

Белый список для админки — только офисные IP имеют доступ к /admin
Чёрный список для API — блокировка IP, превысивших лимиты
Автоматическое пополнение — при обнаружении атаки IP добавляется в чёрный список

Списки хранятся в WAF, Nginx или на уровне фильтрации провайдера.

Да, геоблокировка — эффективный инструмент, если ваша аудитория сосредоточена в определённых странах.

Как настраивается:

Белый список стран — доступ только из России, Казахстана, Беларуси
Чёрный список стран — блокировка стран, откуда идут атаки
Исключения для ботов — поисковые роботы пропускаются всегда

Важно: геоблокировка по IP не 100% точна. VPN и прокси могут обойти её. Используйте как дополнительный слой, а не единственную защиту.

Для российских проектов, атакуемых из-за рубежа, геоблокировка даёт быстрый эффект: отсекается значительная часть атакующего трафика [citation:17].

Брутфорс — перебор паролей к админке, SSH, базе данных. Защита включает:

Fail2ban — блокировка IP после N неудачных попыток
CAPTCHA — на формах входа
2FA — двухфакторная аутентификация для админов
Ограничение по IP — доступ к админке только с доверенных адресов
Смена порта SSH — снижает количество автоматических сканов
SSH-ключи вместо паролей — самый надёжный вариант

Настраиваем все уровни. Брутфорс — одна из самых частых атак, но её легко предотвратить при правильной конфигурации [citation:11].

Slowloris — атака, при которой злоумышленник открывает множество соединений и медленно отправляет данные, удерживая соединения открытыми. Сервер исчерпывает лимит соединений, и легитимные пользователи не могут подключиться.

Атака не требует большого трафика — она эксплуатирует лимиты веб-сервера. Один компьютер может «положить» сервер.

Защита:

Таймауты соединений — закрывать соединения, которые висят слишком долго
Лимиты на количество соединений с одного IP
Rate limiting — ограничение скорости запросов
WAF — специализированные правила против медленных атак
Nginx — настройки client_body_timeout, client_header_timeout [citation:11]

ФСТЭК в 2026 году отдельно выделила Slowloris и медленные POST-запросы в рекомендациях по защите [citation:11].

API — частая цель атак в 2026 году. Защита включает:

Rate limiting — ограничение запросов на API-ключ или IP
API-ключи — запросы без ключа отклоняются
Мониторинг — отслеживание аномалий в запросах
Кеширование ответов — для часто повторяющихся запросов
WAF — правила специально для API-эндпоинтов
Очереди — асинхронная обработка тяжёлых запросов

API должно отклонять запросы без валидного ключа до выполнения бизнес-логики. Это снижает нагрузку при атаке.

Это L7-атаки, которые имитируют обычных пользователей и нагружают бизнес-логику приложения, а не канал связи.

Примеры:

HTTP-флуд — множество GET/POST-запросов к динамическим страницам
Атака на поиск — частые запросы к ресурсоёмкому поиску по каталогу
Атака на авторизацию — перебор форм входа
API-флуд — частые запросы к эндпоинтам, требующим обработки

L7-атаки сложно отличить от легитимного трафика. Один запрос выглядит нормально, но тысяча запросов в секунду убивает приложение.

Защита: rate limiting, CAPTCHA, анализ поведения, WAF, кеширование [citation:4][citation:11]. В 2026 году доля L7-атак выросла до 50% [citation:9].

Да, мы предоставляем тестовый период для оценки защиты. Вы сможете:

Проверить работу фильтрации под нагрузкой
Оценить влияние на скорость сайта
Протестировать настройки и правила
Убедиться в эффективности защиты

Условия тестирования обсуждаются индивидуально. Свяжитесь с нами для уточнения деталей.

Способы оплаты:

Банковская карта — онлайн
По счёту — для юридических лиц и ИП
СБП — Система быстрых платежей

Периоды оплаты: месяц, квартал, год. При длительной оплате — скидка.

Предоставляем закрывающие документы: договор, счёт, акт. Работаем с НДС и без.

Процесс простой:

Оставьте заявку — на сайте или по телефону
Обсудим задачи — какой проект, какая нагрузка, какие угрозы
Подберём защиту — Cloudflare, StormWall, Qrator или комбинация
Настроим и подключим — под ключ, с тестированием

Сайт защищён, трафик фильтруется, атаки отбиваются. Мы на связи 24/7 для любых вопросов.