DDoS útok zahltí server požadavky tak, že přestane být dostupný pro legitimní uživatele. Moderní útoky dosahují stovek Gbps a milionů requestů za sekundu — žádný jednotlivý server ani síťové připojení je nedokáže absorbovat. Ochrana vyžaduje více vrstev, od síťové úrovně po aplikační vrstvu, a kombinaci CDN, rate limitingu a auto-scalingu.
Typy DDoS¶
- Volumetric: UDP flood, DNS amplification — zahlcení šířky pásma obrovským objemem dat
- Protocol: SYN flood, Ping of Death — exploitace síťových protokolů pro vyčerpání connection state
- Application: HTTP flood, Slowloris — cílené na aplikační vrstvu, těžší na detekci
Volumetric útoky jsou nejsnáze detekovatelné (abnormální objem), ale vyžadují kapacitu k absorpci. Application-level útoky jsou sofistikovanější — vypadají jako legitimní provoz, ale přetěžují specifické endpointy (vyhledávání, přihlášení, API).
Ochrana¶
- CDN/Proxy (Cloudflare, AWS CloudFront) — absorpce volumetrických útoků na edge
- Rate limiting na edge — omezení požadavků per IP adresa
- Auto-scaling pro absorpci — horizontální škálování při zvýšeném provozu
- Geo-blocking — blokování provozu z regionů, odkud neočekáváte uživatele
- Connection limiting na Nginx — omezení simultánních spojení
# Nginx rate limiting
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
server {
location /api/ {
limit_req zone=api burst=20 nodelay;
}
}
Rate limiting na Nginx úrovni chrání jednotlivé endpointy. Zone api alokuje 10 MB sdílené paměti pro sledování IP adres. Rate 10r/s povolí 10 requestů za sekundu per IP, burst 20 umožní krátkodobé špičky. Pro globální ochranu kombinujte s Cloudflare nebo AWS Shield.
Incident response¶
Připravte si DDoS response playbook předem: kontakty na ISP, postupy pro aktivaci Cloudflare Under Attack mode, eskalační matice. Během útoku je pozdě hledat dokumentaci. Pravidelně testujte — load testing odhalí slabá místa dříve než útočník.
Klíčový takeaway¶
CDN + rate limiting + auto-scaling tvoří základní obrannou triádu. Cloudflare nebo AWS Shield pro volumetrické útoky, aplikační rate limiting pro sofistikované útoky.