Клиент покупает.
Защита проверяет.
Чтобы разобраться, не нужно знать инфобез. Начните с задачи бизнеса: клиент должен пользоваться сайтом, а вредные и слишком частые действия нужно проверять до того, как их получит приложение.
Магазин учебный: без оплаты и персональных данных. Блокировки и лимиты — настоящие ответы фильтра.Посетитель → проверка → магазин
Обычная покупка
Клиент ищет товар и оформляет заказ. Разрешённые запросы доходят до приложения; учебный магазин создаёт номер демонстрационного заказа.
Вредный запрос
В поиск отправляют признаки команды к базе данных или вставки скрипта. WAF может остановить запрос по правилам и записать причину.
Слишком частые попытки
Повторяют проверку промокода много раз подряд. Настроенный лимит отклоняет лишние обращения; обычный поиск проверяем отдельно.
Для показа всей последовательности войдите в кабинет и нажмите «Посмотреть защиту магазина» → «Запустить полный показ». Обнаружение одного теста не гарантирует защиту от всех атак.
Что означают результаты
Запросы ≠ покупатели
Одна страница создаёт несколько запросов. Эти цифры не измеряют продажи и деньги.
Блокировка требует оценки
Срабатывание может быть атакой, тестом или ошибкой. Важны причина и влияние на нормального клиента.
Связь с узлом ≠ доступность
Узел получил настройки и отвечает управлению. Доступность сайта глазами покупателя проверяют отдельно.
14 направлений: что для чего
В публичном демонстрационном контуре работают WAF, шлюз и HTTP-лимиты учебного магазина. Остальные возможности имеют отдельную готовность.
Защита сайта от вредных запросов · WAF
Проверяет обращения к сайту перед тем, как их получит приложение.
Пример и что готово
Пример. Вместо названия товара в поиск отправляют команду для вмешательства в базу данных. Шлюз может остановить такой запрос по правилу.
Сейчас. Работает в учебном магазине: блокировки по правилам и журнал запросов. Подключение сайта клиента — отдельный пилот.
Ограничение частых действий · HTTP-лимиты
Сдерживает поток повторных действий, который может нагружать приложение.
Пример и что готово
Пример. Один источник перебирает промокод много раз подряд. Лимит временно отклоняет лишние попытки.
Сейчас. Работает в демонстрации промокода. Порог для входа, поиска и оплаты нужно подобрать по нагрузке конкретного приложения.
Шлюз перед приложением
Даёт единую точку, через которую сайт получает запросы и применяет защиту.
Пример и что готово
Пример. Посетитель обращается к шлюзу, а шлюз передаёт разрешённый запрос магазину.
Сейчас. На пилотном VPS работает шлюз учебного магазина. Установка в контуре клиента и резервирование требуют проверки.
Проверка автоматических посетителей · Антибот
Помогает отличать автоматическую активность от обычной работы клиента.
Пример и что готово
Пример. Программа массово собирает цены или создаёт заявки. Проверка браузера и признаки поведения помогают выбрать действие.
Сейчас. Проверка браузера есть на локальном стенде; в публичном магазине выключена. Поведенческая модель и доля ошибочных блокировок ещё проверяются.
Оценка риска операции · Антифрод
Сопоставляет признаки конкретного действия, чтобы направить подозрительную операцию на дополнительную проверку.
Пример и что готово
Пример. Возврат денег с необычной последовательностью действий может потребовать подтверждения.
Сейчас. Есть локальный сборщик, подписанные решения и разметка. Реальной проверенной выборки пока нет; новые модели не используются для автоматического отказа клиентам.
Адресная книга сайта · DNS
Сообщает браузеру, где находится сайт. Подпись DNSSEC помогает проверить подлинность DNS-ответа.
Пример и что готово
Пример. Покупатель вводит адрес магазина. DNS возвращает адрес сервера, после чего начинается HTTPS-соединение.
Сейчас. Частные зоны и ротация DNSSEC проверяются в лаборатории. Публичная зона, запись DS у регистратора и независимые серверы ещё нужны.
Разбор обращений к сайту
Помогает понять, какие действия чаще вызывают ошибки или выглядят необычно.
Пример и что готово
Пример. После жалоб на вход инженер сравнивает ошибки, адреса и время запросов в журнале.
Сейчас. Есть анализ загруженного журнала. Это отдельная выборка, её результат не означает непрерывное наблюдение за всем сайтом.
Качество посетителей и рекламы
Помогает оценить признаки автоматических сессий и повторов в аналитике.
Пример и что готово
Пример. Кампания даёт много кликов, но одинаковые короткие сессии без действий заслуживают проверки.
Сейчас. Есть офлайн-анализ выборок. Для живой аналитики нужен сбор событий приложения; клики не равны подтверждённым покупкам.
Наблюдение за сетевой нагрузкой
Показывает, откуда и куда идут потоки данных в сети.
Пример и что готово
Пример. Резкий рост трафика к одному адресу помогает инженеру найти источник перегрузки.
Сейчас. NetFlow/IPFIX/sFlow проверяются на лабораторных данных с ограничениями форматов. Производственная интеграция с маршрутизаторами ещё нужна.
Фильтрация сетевых атак
Должна отсеивать нежелательные пакеты до обработки приложением.
Пример и что готово
Пример. Большой поток соединений мешает серверу отвечать. Сетевые правила могут ограничить часть такого трафика.
Сейчас. Направление разработки и лабораторных испытаний. Промышленный сетевой фильтр не подключён.
Очистка большого внешнего трафика
Нужна, когда атака превышает пропускную способность канала к серверу.
Пример и что готово
Пример. Канал забит раньше, чем запрос дошёл до WAF. Оператор очистки должен перехватить поток во внешней сети.
Сейчас. Нужен оператор, независимая сеть и проверенная маршрутизация. Эта услуга сейчас не подключена.
Защита маркетинга от накрутки
Должна помогать выявлять искусственные действия в маркетинговых кампаниях.
Пример и что готово
Пример. Боты создают множество некачественных заявок, на которые команда тратит время.
Сейчас. Запланировано. Сначала нужны доверенные события и проверка качества распознавания на размеченных данных.
Проверка рекламного трафика
Должна сопоставлять рекламу с подтверждёнными действиями на сайте.
Пример и что готово
Пример. В рекламной системе есть переход, но приложение не подтверждает ожидаемую сессию или действие.
Сейчас. Запланировано. Нужны интеграции и согласованные правила измерения; экономия рекламного бюджета пока не измерена.
Проверка устойчивости
Показывает, как приложение и защита ведут себя при согласованной тестовой нагрузке.
Пример и что готово
Пример. Перед запуском акции проверяют оформление заказа при росте одновременных посетителей.
Сейчас. Есть локальные проверки и демонстрационный сценарий. Полноценный сервис испытаний и длительные испытания клиента ещё нужны.
Что делать по ситуации
Клиентам трудно войти или оформить заказ
Возможны ошибки приложения, лимит или ложная блокировка. Не нужно сразу ослаблять всю защиту.
Следующий шаг. Передайте инженеру время, действие и номер запроса. Он проверит событие, ошибку приложения и при необходимости сделает точное исключение.
Резко выросло количество блокировок
Это может быть атака, тест, сканирование или обычный запрос, который попал под правило.
Следующий шаг. Сравните период, пути и правила. Инженер проверяет причины и влияние на клиентов; число блокировок само по себе не оценивает ущерб.
Сайт не открывается
Индикатор связи с WAF не проверяет доступность сайта глазами покупателя.
Следующий шаг. Проверьте сайт снаружи, затем приложение, DNS, сертификат, канал и узел. Для пилота нужен внешний мониторинг и согласованный план восстановления.
Хотим подключить свой сайт
Учебный магазин не означает, что ваш сайт уже защищён.
Следующий шаг. Нужны домен и origin, доступ к DNS и сертификату, список важных операций, обычная нагрузка и критерии пилота. Начните с наблюдения.
Сначала наблюдение, затем блокировка
Перед подключением рабочего сайта инженер проверяет вход, поиск, заказ и другие важные действия в режиме наблюдения. Затем настраивает точные исключения и включает блокировку по правилам. Лимиты и проверка браузера управляются отдельно от режима WAF.
WAF помогает фильтровать обращения, но не исправляет уязвимости приложения. Для атаки, которая забивает внешний канал, нужен оператор очистки трафика. Демо работает на одном VPS, без промышленного резервирования.
Небольшой словарь
- Запрос
- Одно обращение к серверу. Открытие страницы обычно создаёт несколько запросов; это не число покупателей.
- WAF
- Фильтр перед веб-приложением. Ищет признаки вредных HTTP-запросов по правилам.
- API
- Способ, которым программы общаются между собой: например, магазин создаёт заказ через API.
- Бот
- Программа, которая действует автоматически. Боты бывают полезными; решение зависит от поведения и задачи.
- DDoS
- Перегрузка сервиса множеством обращений. Защита на уровне сайта и очистка сетевого канала решают разные части задачи.
- Ложная блокировка
- Защита отклонила нормальное действие клиента. Такой случай нужно проверить, а не считать успешным результатом.
- Наблюдение
- Правила записывают подозрительные запросы, но WAF не блокирует их по этим правилам. Лимиты и другие проверки настраиваются отдельно.
- Блокировка
- WAF может остановить запрос, сработавший по правилам. Одно срабатывание не доказывает факт взлома.
- DNS / DNSSEC
- DNS находит адрес сайта. DNSSEC проверяет подпись DNS-ответа; он не шифрует посещение и сам по себе не очищает DDoS-трафик.
- Origin
- Сервер самого приложения, к которому шлюз передаёт разрешённые запросы.
- Ревизия
- Номер версии настроек. Позволяет увидеть, получил ли узел последнее изменение.
- MFA
- Дополнительное подтверждение входа. В текущем демонстрационном кабинете временно выключено.
- p95
- Время, быстрее которого обработано около 95% измеренных запросов. Это не показатель доступности сайта.
- HA
- Резервирование, позволяющее продолжить работу при отказе части системы. Один VPS такой отказоустойчивости не обеспечивает.