Провайдер повідомив про DDoS-атаку: як зрозуміти, що відбувається з сайтом

У зв’язку з тим, що масові DDoS-атаки на ресурси мережі стають дедалі частішими, постає питання щодо адекватної реакції власників сайтів на повідомлення про атаку від хостинг-провайдера. Що це означає, якщо провайдер повідомив про DDoS, і як слід реагувати на таке повідомлення? На ці та інші питання ми спробуємо дати вичерпні відповіді.

Що це означає, якщо провайдер повідомив про DDoS?

Особливість DDoS полягає в тому, що не завжди можна вчасно помітити прояви атаки, особливо з боку власника сайту. Тому, навіть якщо немає жодних ознак атаки і сайт працює нормально, ігнорувати повідомлення провайдера про DDoS не слід.

Слід зазначити, що появу деяких неполадок у роботі веб-ресурсу або мережевих служб легко можна сприйняти за прояв DDoS-активності. До таких неполадок, наприклад, належать:

• Затримки в роботі БД;
• Нестача ресурсів оперативної пам’яті (RAM) або процесора (CPU);
• Проблеми з плагіном або CMS;
• Збої в роботі служб DNS або CDN;
• Реальний сплеск трафіку після проведення рекламної кампанії;
• Переповнення SSD/HDD-диска.
  

Власник ресурсу не завжди може самостійно визначити справжню причину несправності. Однак, якщо провайдер повідомив про DDoS-атаку на сервер або IP-адресу, це є найімовірнішою версією. Тому таке повідомлення слід сприймати серйозно й не вживати заходів, які можуть погіршити ситуацію. Зокрема, категорично не рекомендується виконувати такі дії:

• Хаотично видаляти код сайту або плагіни;
• Часто перезавантажувати сервера;
• Без узгодження з технічною підтримкою переносити веб-ресурс на інший хостинг;
• Відновлювати сайт під час DDoS-атаки з резервних копій;
• Самостійно блокувати будь-які країни;
• Змінювати DNS-сервери;
• Відключати хмарні сервіси, що забезпечують додатковий рівень безпеки.

Чітке дотримання рекомендацій провайдера допоможе уникнути згубних наслідків атаки для вашого веб-ресурсу.    

Малюнок 1. Що не варто робити під час DDoS-атаки і що можна перевірити самостійно

DDoS — це злом сайту чи ні?

У багатьох випадках метою хакерських атак є злом веб-системи, як, наприклад, у випадку brute force або MITM, однак із сайтом під DDoS ситуація зовсім інша. Тут усі дії зловмисника спрямовані на «перевантаження» одного або всіх одразу рівнів функціонування вашого веб-ресурсу — мережевого, канального, додатків, що унеможливило б його нормальну роботу. Це безпосередньо випливає з самої назви DDoS (Distributed Denial of Service) — «відмова в обслуговуванні».

У разі, коли це сталося, сайт під DDoS-атакою може стати недоступним для відвідування або працювати дуже повільно — тут багато що залежить від типу хостингу, на якому він розміщений. Сайт на shared-хостингу «впаде» швидше за всіх. На dedicated server він може й не «впасти», а просто сповільнити свою роботу, залежно від потужності та тривалості атаки. Сервер VPS/VDS знаходиться десь посередині.

Якщо shared-хостинг не витримує навантаження, зверніть увагу на VPS у HyperHost: виділені ресурси зменшують вплив «сусідів» під час атак.

У деяких випадках може знадобитися додатковий захист веб-ресурсу, щоб уникнути втрат. Це, наприклад, такі випадки:

• Сайт орієнтований на онлайн-торгівлю;
• Кожна хвилина простою впливає на рівень доходів;
• Є особистий кабінет, API, онлайн-оплата;
• Є необхідність «приховати» IP-адресу сервера;
• Провайдер рекомендує встановити WAF-захист сайту або підключити CDN.

Чому провайдер бачить атаку, а власник сайту — ні?

DDoS-атаку на сайт не завжди легко виявити через одну «дуже неприємну» її особливість — «маскування» під звичайний трафік. Тому нерідко навіть провайдер не завжди може вчасно зреагувати на неї. Тут усе залежить від рівня програмного забезпечення, яке він використовує. Наприклад, такі інструменти, як UEBA (User And Entity Behavior Analytics) або NDR (Network Detection and Response) на основі машинного навчання, допомагають виявляти аномалії в поведінці мережі та контролювати структуру трафіку на предмет наявності «зайвих» IP-пакетів з подальшим вжиттям заходів щодо запобігання атаці.

Малюнок 2. Рівні DDoS-атаки: що відбувається і що помітно власнику сайту

Крім того, багато атак відбуваються до рівня веб-сайту і можуть бути зафіксовані лише на рівні мережі або каналу за допомогою автоматизованих засобів виявлення.

Таким чином, хостинг-провайдер завжди буде краще обізнаний про стан мережі / каналу, ніж його клієнти, і зможе легко виявити, наприклад, такі аномалії:

• Різкі стрибки трафіку та «перевантаження» каналу передачі даних;
• Аномальна кількість IP-пакетів або HTTP-запитів із різних країн, IP-адрес або мереж ASN; 
• Однотипні періодичні звернення до одного й того самого URL або login-page;
• Ознаки початку DDoS-атаки мережевого або канального рівня (L3/L4);
• Ознаки початку атаки рівня додатка (L7) — на веб-сторінку, API або форму.

З іншого боку, власник сайту може бачити лише наслідки атаки, коли вона вже «розгорнулася» і заважає нормальній роботі ресурсу. Як же зрозуміти, що сайт атакують? Ознаками DDoS-атаки можуть бути такі симптоми:

• Сайт не завантажується або працює нестабільно;
• Наявність помилок браузера типу 50х;
• Панель керування недоступна;
• Хвилеподібна поява зазначених симптомів;
• Різні рівні доступності сайту залежно від регіону.
  

Про що запитати у провайдера під час DDoS-атаки?

Під час DDoS-атаки на сайт не варто зайвий раз відволікати технічні служби хостера від робіт із відбиття атаки, а краще зосередитися на питаннях, які дійсно зможуть допомогти у захисті вашого ресурсу та сприятимуть зменшенню втрат.

До таких питань, зокрема, можна віднести наступні:

• Куди спрямована атака — на сервер, IP або домен;
• До якого рівня вона належить — L3, L4 чи L7 DDoS;
• Яка область її дії;
• Чи слід «приховувати» IP-адресу походження;
• Що ми можемо зробити, якщо сайт не працює через DDoS;
• Чи ввімкнені фільтри;
• Яка потужність DDoS;
• Чи потрібно підключити Cloudflare для захисту від DDoS;
• Чого ми не повинні робити.

При цьому слід мати на увазі, що остаточна інформація про DDoS-атаку на сервер, IP-адресу або мережу може бути відома лише за результатами аналізу після її закінчення, і додатково буде повідомлена провайдером, коли завершиться DDoS-атака на сайт. 

Клієнти HyperHost можуть звернутися до технічної підтримки: адміністрування VPS безкоштовне й доступне 24/7.

Чи потрібно відразу переносити сайт на інший хостинг?

У разі, якщо хостинг повідомив про DDoS-атаку, потрібно суворо дотримуватися наведених тут рекомендацій і не робити жодних «зайвих» кроків, щоб не погіршувати ситуацію. Це пов’язано, насамперед, із тим, що в перші секунди/хвилини/години (!) атаки достеменно невідомо, на якому або яких рівнях вона здійснюється. Це може бути, наприклад, рівень L7 (додатка), L3/L4 (мережі/каналу) або всі рівні одразу. Тому в цій ситуації будь-які дії з сайтом під час DDoS-атаки виключені.

Чи допоможе Cloudflare у разі DDoS-атаки?

Американська компанія Cloudflare пропонує набір хмарних сервісів для захисту від DDoS-атак, зокрема послуги DNS, CDN та низку інших, які, безсумнівно, підвищують рівень захисту від DDoS. За даними звіту Cloudflare, у 2025 році компанія автоматично відбила 47,1 млн DDoS-атак, що на 121 % більше, ніж у 2024-му: у середньому 5 376 атак на годину. У IV кварталі кількість атак зросла на 31 % порівняно з III кварталом і на 58 % порівняно з IV кварталом 2024 року. CDN і WAF це ефективний перший рівень захисту, але вони не замінюють захисту сервера: приховайте IP-адресу origin і дозвольте доступ до неї лише з адрес CDN.

Підключити Cloudflare й налаштувати захист сайту можна через послугу HyperHost, без самостійного налаштування DNS.

Це свідчить про те, що такі «гіганти», як Cloudflare, стають першою ціллю кіберзлочинців, що не сприяє спокійному ставленню до DDoS з боку їхніх клієнтів. Тим більше, що в недалекому минулому Cloudflare вже «пропускала» серйозні «удари», а отже, її можливості не безмежні.

Малюнок 3. Шлях трафіку без захисту і через CDN/WAF

Що слід зробити власнику сайту в першу чергу?

Після отримання повідомлення від провайдера про DDoS-атаку власники сайтів повинні суворо дотримуватися наведених тут рекомендацій щодо того, що можна робити, а що категорично не рекомендується (див. вище).

Зокрема, для оцінки стану ресурсу ви можете самостійно виконати низку таких дій:

• Перевірити доступність панелі управління хостингом;
• Ознайомитися з аналітичними звітами хмарних сервісів безпеки;
• Запам’ятати помилки, що видаються браузером;
• Вивчити логи свого веб-ресурсу, якщо вони доступні;
• Переглянути аналітичні звіти про відвідуваність вашого ресурсу;
• Зафіксувати час виникнення порушень у функціонуванні веб-ресурсу;
• З’ясувати, чи були помічені якісь зміни напередодні атаки. 
  

Що б ви не побачили чи не дізналися, у жодному разі не можна піддаватися паніці. Провайдер насамперед зацікавлений у виконанні своїх зобов’язань за договором SLA (Service Level Agreement), щоб уникнути репутаційних втрат і не втратити клієнтів. Після завершення атаки ви обов’язково отримаєте вичерпну інформацію щодо результатів її відбиття.

Малюнок 4. План дій власника сайту після повідомлення про DDoS

FAQ

Що означає повідомлення провайдера про DDoS?

Це означає, що на ваш сервер або IP-адресу спрямована DDoS-атака або, у менш поширеному випадку, що з вашого зламаного сервера атакують інших. Не ігноруйте повідомлення, навіть якщо сайт працює нормально, і не змінюйте налаштувань без узгодження з технічною підтримкою.

Чи означає DDoS, що сайт зламали?

Ні. Мета DDoS перевантажити сайт, а не отримати доступ до нього. Проте іноді DDoS використовують для відволікання, тож після атаки перегляньте логи й перевірте цілісність файлів.

Що не можна робити під час DDoS-атаки?

Не варто видаляти код і плагіни навмання, часто перезавантажувати сервер, переносити сайт, відновлювати його з копії, змінювати DNS-сервери, самостійно блокувати країни та вимикати хмарні сервіси захисту. Усі зміни узгоджуйте з технічною підтримкою.

Чому провайдер бачить атаку раніше за мене?

Мережеві атаки (L3 і L4) помітні насамперед на мережі провайдера: за трафіком і кількістю пакетів. Власник сайту зазвичай бачить лише наслідки: повільну роботу, помилки 5xx, недоступність панелі.

Чи допоможе Cloudflare під час DDoS?

Так, CDN і WAF це ефективний перший рівень захисту: вони фільтрують трафік до того, як він дійде до сервера. Проте вони не замінюють захисту сервера: приховайте IP-адресу origin і дозвольте доступ до неї лише з адрес CDN.

Чи потрібно переносити сайт на інший хостинг під час атаки?

Ні. На початку атаки невідомо, на яких рівнях вона йде, а зловмисники можуть переключитися на нову адресу або домен. Переносьте сайт лише за узгодженням з технічною підтримкою.

Що робити, якщо провайдер повідомив, що атака йде з мого сервера?

Це означає, що сервер, імовірно, зламано. Ізолюйте його, перевірте на шкідливе ПЗ, оновіть систему й застосунки, змініть паролі та ключі й зверніться до технічної підтримки.