Содержание
DDoS-атака не крадёт данные напрямую — она делает сервисы недоступными: сайт, личный кабинет, DNS, телефонию, платёжный шлюз. Для компании это простой продаж и обслуживания, а для значимых объектов КИИ и государственных информационных систем защита от DDoS-атак — ещё и прямое требование ФСТЭК. Ниже — какие атаки бывают, какие есть способы защиты от DDoS-атак, что требуют приказы ФСТЭК № 239 и № 117 и когда компании нужен собственный комплекс вроде «Гарда Anti-DDoS».
Какие бывают DDoS-атаки
Атаки различают по уровню, на который они бьют:
- сетевой и транспортный уровни (L3–L4) — потоки UDP- и TCP SYN-пакетов, ICMP, подмена адресов. Задача — забить канал или исчерпать ресурсы маршрутизатора, межсетевого экрана, балансировщика;
- прикладной уровень (L7) — множество правдоподобных HTTP-запросов к сайту или API, атаки на DNS и SIP. Трафика немного, но каждый запрос нагружает приложение и базу;
- комбинированные атаки — несколько векторов сразу или со сменой вектора, когда защита подстроилась под первый.
Отдельный риск — DDoS как отвлекающий манёвр: пока команда восстанавливает сервисы, злоумышленник пытается проникнуть в сеть. Поэтому защиту от DDoS полезно связывать с мониторингом внутреннего трафика — подробнее в статье об анализе сетевого трафика.
Три способа защиты от DDoS-атак
| Услуга провайдера или центра очистки | Собственный комплекс на площадке | WAF | |
|---|---|---|---|
| Где фильтруется трафик | в сети оператора связи, хостинга или сервиса очистки | на вашей площадке, перед вашими сервисами | перед веб-приложениями |
| От каких атак | зависит от услуги: от объёмных атак на канал до атак на приложения, DNS и телефонию | L3–L7, включая DNS и SIP; объёмные атаки — вместе с оператором | атаки на веб-приложения и API уровня L7 |
| Что учесть | трафик уходит на чужую площадку; для разбора HTTPS провайдеру нужны ключи или сертификаты | атака шире вашего канала забивает канал раньше, чем дойдёт до комплекса | сам может стать целью атаки на канал или сеть |
| Кому подходит | большинству компаний с сайтом и сервисами в интернете | компаниям с собственной автономной системой, несколькими каналами и требованиями регулятора, операторам связи | компаниям, у которых главная цель атак — сайт и API |
Способы не исключают друг друга. Типичная схема для крупной компании: собственный комплекс очищает трафик на площадке и сигнализирует оператору связи, когда атака превышает ёмкость канала, а WAF разбирает запросы к веб-приложениям.
Если сайт размещён у хостинг-провайдера и других публичных сервисов у компании нет, сначала уточните, какую защиту от DDoS провайдер уже даёт. Собственный комплекс нужен там, где есть свои каналы, своя адресация и сервисы, которые нельзя или не хочется выносить на чужую площадку.
Что требует ФСТЭК: ЗИС.34 и пункт 22.2 приказа № 239
Значимые объекты КИИ. В приказе ФСТЭК № 239 мера ЗИС.34 «Защита от угроз отказа в обслуживании (DOS, DDOS-атак)» входит в базовый набор для всех трёх категорий значимости. Пункт 22.2 расшифровывает, что нужно сделать для объектов с сервисами, постоянно доступными из интернета:
- выявить такие интерфейсы и сервисы, публичные адреса и доменные имена, исключить неиспользуемые;
- составить матрицу коммуникаций с интернетом и список разрешённых адресов на время атаки;
- использовать средства, которые анализируют и фильтруют запросы «на максимально возможной скорости для этих каналов связи» и блокируют атаки на сетевом и прикладном уровнях;
- держать двукратный резерв пропускной способности каналов относительно обычного трафика;
- использовать данные Центра мониторинга и управления сетью связи общего пользования;
- три года хранить сведения о каждой атаке: время начала и окончания, тип, объём в Гбит/с и пакетах в секунду, адреса источников и целей, принятые меры.
Пункт 26.2 добавляет организационные меры: взаимодействие с ГосСОПКА и в автоматизированном режиме с Центром мониторинга, порядок совместного блокирования атак с провайдером или оператором связи. По пункту 26.3 средства фильтрации должны находиться на территории России. Как подключиться к ГосСОПКА, разобрано в отдельной статье, какие ещё средства нужны значимому объекту — в статье о средствах защиты КИИ.
Государственные информационные системы. Требования, утверждённые приказом ФСТЭК № 117 и действующие с 1 марта 2026 года, в пункте 59 требуют исключить блокирование доступа пользователей к системам из-за атак на интерфейсы и сервисы, доступные из интернета. Оператор обязан взаимодействовать с ГосСОПКА и в автоматизированном режиме — с Центром мониторинга и управления сетью связи общего пользования. Мероприятия проводятся с привлечением провайдера хостинга, оператора связи или организации, которая фильтрует такие атаки, а средства фильтрации должны находиться в России. Методический документ ФСТЭК от 12 апреля 2026 года добавляет: оператор может реализовать часть мер и самостоятельно, с провайдером составляют шаблон фильтрации атак и порядок совместного блокирования, а средства должны блокировать атаки «от сетевого до прикладного уровня».
ФСТЭК не требует купить конкретный продукт. Значимому объекту КИИ сертифицированные средства защиты обязательны в случаях, установленных законодательством, или по решению самого субъекта (пункт 28 приказа № 239). Но когда сертификат нужен, у средства защиты от DDoS есть свой профиль: ФСТЭК сертифицирует такие средства на соответствие требованиям к средствам защиты от DDoS-атак.
Гарда Anti-DDoS: корпоративное и операторское решение
Товар Гарда Anti-DDoS по запросу Смотреть →Гарда Anti-DDoS защищает сетевую инфраструктуру от комбинированных DDoS-атак на уровнях L3–L7. В основе — программный комплекс «Периметр». Производитель выпускает два варианта.
| Корпоративное решение | Решение операторского класса | |
|---|---|---|
| Для кого | компании с одной или несколькими независимыми площадками | операторы связи и компании с разветвлённой сетью |
| Каналы | от 1 до 4 | 4 и больше, более одной площадки |
| Что защищает | веб, DNS, SIP; HTTPS со вскрытием и без вскрытия | собственную сеть оператора и сервисы защиты для его клиентов |
| Как подавляет | в разрыв каналов, с аппаратным байпасом | BGP Flowspec и Blackhole, личные кабинеты для клиентов |
По описанию производителя комплекс:
- отслеживает трафик без нагрузки на сеть и включает защиту за секунды после начала атаки;
- очищает трафик алгоритмической фильтрацией и фильтрацией по профилю, подстраивается под смену вектора атаки;
- использует внешние репутационные базы, белые и чёрные списки, в том числе от Гарда WAF;
- сигнализирует об атаке вышестоящему оператору связи, когда нужна очистка на его стороне;
- хранит метаданные трафика для разбора прошедших атак.
Система разворачивается на стандартных серверах x86-64, совместимость подтверждена с серверами DEPO и YADRO. Схема включения — через BGP-ответвление трафика или в разрыв, с горячим резервированием 1+1. Комплекс работает вместе с Гарда WAF, NDR, Deception и Threat Intelligence.
Сертификат ФСТЭК № 5013 выдан 17.12.2025 и действует до 17.12.2030: 4 уровень доверия и соответствие требованиям к средствам защиты от DDoS-атак (в госреестре — «Требования к СЗИ от DDoS(4)»). Серийно производится сертифицированная версия 5.11; для версии 5.4 поддержка безопасности продлится до 31.12.2027. Продукт внесён в реестр российского ПО под № 3531.
Как выбрать и что подготовить для расчёта
Комплекс подбирают под сеть, поэтому до разговора о цене соберите данные из опросного листа производителя:
- Схема включения — BGP-ответвление или в разрыв, число площадок.
- Каналы — физическая ёмкость каждого в Гбит/с, ограничение по полосе, тип интерфейсов.
- Источники данных — маршрутизаторы, которые отдают NetFlow, IPFIX или NetStream, сколько из них получают полную таблицу BGP, объём потоков в тысячах в секунду, номер автономной системы.
- Шифрованный трафик — нужно ли вскрывать HTTPS.
- Хранение — метаданные и сырые потоки для разбора атак; для КИИ помните про трёхлетнее хранение сведений об атаках.
- Резервирование — нужно ли горячее резервирование управления.
Если атакуют прежде всего сайт и API, начните с WAF: он разбирает HTTP-запросы и отсекает атаки прикладного уровня. Как выбрать WAF и чем отличаются «Гарда WAF» и PT Application Firewall PRO — в статье о выборе WAF.
Сколько стоит и как купить
Цену Гарда Anti-DDoS считают по опросному листу — от каналов, площадок, объёма потоков и схемы включения, поэтому на сайте она «по запросу». Мы пришлём опросный лист, организуем демонстрацию и подготовим коммерческое предложение и счёт для юрлица.
Частые вопросы
Обязательна ли защита от DDoS-атак для значимых объектов КИИ? +
Да. Мера ЗИС.34 «Защита от угроз отказа в обслуживании» входит в базовый набор приказа ФСТЭК № 239 для всех трёх категорий значимости. Пункт 22.2 приказа перечисляет, что нужно сделать для объектов с сервисами, доступными из интернета: матрица коммуникаций, фильтрация на сетевом и прикладном уровнях, двукратный резерв каналов, хранение сведений об атаках три года.
Что требуется от государственных информационных систем? +
Требования, утверждённые приказом ФСТЭК № 117 (действуют с 1 марта 2026 года), в пункте 59 требуют исключить блокирование доступа пользователей из-за атак на интернет-сервисы, взаимодействовать с ГосСОПКА и Центром мониторинга и управления сетью связи общего пользования и привлекать провайдера хостинга, оператора связи или организацию, которая фильтрует атаки. Средства фильтрации должны находиться в России.
Хватит ли защиты от DDoS у оператора связи или хостинга? +
Зависит от услуги и ваших сервисов. Объёмную атаку шире канала остановить можно только до вашей площадки — в сети оператора или центра очистки. Атаки прикладного уровня, на DNS и SIP фильтруют и провайдерские услуги, и средства на своей стороне — собственный комплекс и WAF; свой комплекс оставляет трафик и ключи HTTPS у вас. Приказ № 239 прямо предусматривает совместное блокирование атак с провайдером и разграничение зон ответственности.
Чем Anti-DDoS отличается от WAF? +
WAF разбирает HTTP-запросы к веб-приложениям и API и отсекает атаки прикладного уровня. Комплекс Anti-DDoS защищает сеть и сервисы целиком, включая DNS и SIP, от атак на уровнях L3–L7 и может подать сигнал оператору связи, когда атака превышает ёмкость канала. Гарда Anti-DDoS принимает белые и чёрные списки от Гарда WAF — продукты интегрируются.
Какой сертификат ФСТЭК у Гарда Anti-DDoS? +
№ 5013 от 17.12.2025, действует до 17.12.2030: 4 уровень доверия и соответствие требованиям к средствам защиты от DDoS-атак. Серийно производится сертифицированная версия 5.11, для версии 5.4 поддержка безопасности — до 31.12.2027. Прежний сертификат № 4204 программного комплекса «Периметр» истёк 16.01.2025.
Чем корпоративное решение отличается от операторского? +
Корпоративное решение — для компаний с одной или несколькими площадками и 1–4 каналами: защита веб, DNS и SIP, установка в разрыв с аппаратным байпасом. Решение операторского класса — для операторов связи и разветвлённых сетей с 4 и более каналами: подавление через BGP Flowspec и Blackhole и личные кабинеты для клиентов оператора.
Какие данные нужны для расчёта цены? +
Схема включения и число площадок, ёмкость и интерфейсы каждого канала, протоколы телеметрии (NetFlow, IPFIX, NetStream), число маршрутизаторов и объём потоков, номер автономной системы, нужно ли вскрывать HTTPS и сколько хранить данные. Мы пришлём опросный лист производителя и подготовим коммерческое предложение.
