DDoS-атака означає навмисне перевантаження сервера, мережі чи застосунку потоком запитів із великої кількості джерел одночасно. Через це ресурс перестає відповідати справжнім користувачам. Абревіатура розшифровується як distributed denial of service, розподілена відмова в обслуговуванні. Зловмисник не отримує доступ до даних і не змінює їх. Він робить сервіс недоступним, вичерпуючи обчислювальні або мережеві ресурси.
В Україні тема має окрему вагу через війну. Держспецзв’язку зафіксувала 4315 кіберінцидентів у 2024 році проти 2541 роком раніше. DDoS входить до інструментарію атак на державні реєстри, енергетику та телекомунікації поряд із фішингом та шкідливим програмним забезпеченням.
Технічний механізм перевантаження
Сервер розраховує на певну пропускну здатність каналу, обмежену кількість одночасних з’єднань і певний обсяг обчислень на кожен запит. Атака порушує один із цих трьох параметрів. Потік запитів формується не з одного пристрою, а з тисяч чи мільйонів джерел одночасно. Проста блокировка одного IP-адреси тому не рятує ситуацію. Джерелом найчастіше слугує мережа заражених пристроїв, об’єднана в ботнет. Інший варіант полягає в сервісах, змушених відповідати жертві замість зловмисника. Такий прийом багаторазово збільшує обсяг трафіку відносно початкового запиту.
Сервер під навантаженням поводиться передбачувано. Спершу зростає час відповіді. Потім легітимні запити починають губитися в черзі. На піку атаки сервіс перестає відповідати взагалі. Для власника ресурсу це виглядає як звичайний технічний збій. Саме тому перші хвилини атаки часто витрачають на пошук несправності обладнання замість протидії.
DDoS проти DoS: у чому різниця
DoS, denial of service, це та сама ідея перевантаження, але з одного джерела. Один потужний канал чи один пристрій намагається вичерпати ресурси жертви. Розподілена версія додає до цієї ідеї масштаб. Коли джерел тисячі, заблокувати їх усі за адресою неможливо, а сумарна потужність атаки перевищує можливості одиночного каналу на порядки. Помітний трафік останніх років, про який пишуть як про кібератаки на українську інфраструктуру, розподілений за визначенням. Тому в побутовій мові DoS майже витіснений терміном DDoS.
Три рівні атаки за моделлю OSI
Класифікація за рівнем мережевої моделі визначає, який ресурс вичерпується і які засоби захисту працюють.
| Рівень | Що вичерпується | Типова ознака для власника сайту |
|---|---|---|
| L3, мережевий | пропускна здатність каналу | канал повністю забитий трафіком ще до сервера |
| L4, транспортний | таблиця з’єднань сервера чи балансувальника | нові з’єднання не встановлюються, старі не закриваються |
| L7, прикладний | обчислювальні ресурси застосунку чи бази даних | канал вільний, але сторінка вантажиться довго або зовсім не відповідає |
Атаки третього і четвертого рівня зазвичай масивніші за обсягом трафіку. Прикладний рівень складніше відфільтрувати, бо запити зовні виглядають як звичайні відвідування сайту справжніми браузерами.
Найпотужніша атака в історії України
15 лютого 2022 року серія DDoS-атак вивела з ладу вебсервіси ПриватБанку, Ощадбанку, сайти Міністерства оборони та Збройних сил України. Кіберполіція тоді назвала цю хвилю наймасштабнішою атакою хакерів в українській історії. Служби банків відновили роботу протягом кількох годин, підключивши додаткову фільтрацію трафіку через сторонніх провайдерів захисту. Кошти клієнтів під час атаки не постраждали, мета дестабілізувати банківську систему не була досягнута. Випадок ілюструє межу можливостей навіть великої фінансової установи: власними ресурсами банки лише сповільнили наслідки, а фактичне відновлення дав зовнішній сервіс фільтрації.
Скільки DDoS-атак фіксують в Україні
Тут варто розвести дві цифри, які матеріали на цю тему регулярно змішують. СБУ веде окремий облік потужних атак рівня L3 та L4. У 2021 році зафіксовано 1400 таких атак, а у 2022 та 2023 роках показник щороку перевищував 4500. Проста арифметика дає зростання щонайменше у 3,2 раза за два роки. Це саме атаки на перевантаження, а не кіберінциденти загалом.
Держспецзв’язку публікує іншу цифру, 4315 кіберінцидентів за весь 2024 рік. Це загальний облік, куди входять фішинг, шкідливе програмне забезпечення, компрометація облікових записів та DDoS разом узятими. Поділивши це число на 365 днів, отримуємо приблизно 11,8 інциденту на добу в середньому за рік. Це середнє охоплює всі типи атак разом і не показує окремо перевантаження каналів. Стаття, яка наводить 4315 як кількість саме DDoS-атак, плутає джерела або переносить загальну статистику на вужчий термін.
Глобальне дослідження Akamai показує ту саму тенденцію в масштабі всього регіону. У першому кварталі 2019 року зафіксовано близько 100 тисяч атак, у 2021 році цей показник зріс до 300 тисяч, а у 2024 році сягнув 500 тисяч. Регіон EMEA, куди входить Україна, у 2024 році вперше зрівнявся за кількістю атак із Північною Америкою, яка традиційно лідирувала за цим показником. За даними того самого дослідження, найчастіше зловмисники обирають атаки на DNS, тобто на систему, що перекладає доменні імена в адреси серверів. Порушення роботи DNS здатне зробити сайт недоступним без прямого навантаження на сам застосунок. Саме тому цей вектор складно виявити стандартним моніторингом навантаження процесора.
Відповідальність за законодавством України
DDoS-атака підпадає під статтю 361 Кримінального кодексу України, несанкціоноване втручання в роботу інформаційних, електронних комунікаційних та інформаційно-комунікаційних систем. Санкція базової частини передбачає штраф від 10200 до 17000 гривень, виправні роботи або обмеження волі на строк від двох до п’яти років. Кваліфікований склад передбачає суворіше покарання, коли втручання призвело до витоку, втрати чи блокування інформації або порушило встановлений порядок маршрутизації даних. Окремою статтею, 361-1, переслідується вже саме створення чи розповсюдження засобів, призначених для такого втручання, незалежно від того, чи відбулася атака фактично.
Поріг значної шкоди для кваліфікації за цією статтею прив’язаний до неоподатковуваного мінімуму доходів громадян. Після останніх змін він становить трьохсоткратний розмір цього мінімуму замість колишнього стократного. Різниця важлива саме для DDoS-справ: збитки тут часто рахують не як пряму крадіжку, а як втрачений дохід і вартість простою сервісу.
Ознаки атаки, які варто перевіряти в першу чергу
Раптове й різке зростання вхідного трафіку без відповідного маркетингового приводу є першою ознакою. Другою слугує аномальна структура запитів: багато однакових звернень до однієї сторінки, запити з географії, де у сервісу немає аудиторії, трафік із діапазонів адрес, які раніше не з’являлися в логах. Третя ознака непряма. Канал забитий, а показники навантаження на сам застосунок при цьому низькі, це типово для атак третього і четвертого рівня. На сьомому рівні картина протилежна: канал вільний, навантажений саме застосунок.
Захист для бізнесу
Моніторинг мережевого трафіку з чіткими базовими показниками дозволяє помітити відхилення раніше, ніж сервіс стане недоступним. Розподіл навантаження через кілька дата-центрів чи мережу доставки контенту забирає у атаки частину ефекту масштабу. Спеціалізовані сервіси фільтрації трафіку, які пропонують в Україні мобільні оператори та хостинг-провайдери, аналізують запити до того, як вони дійдуть до сервера. Вони відсіюють підроблені звернення за поведінковими ознаками, а не лише за адресою джерела. Обмеження кількості запитів з одного джерела за одиницю часу, відоме як rate limiting, зменшує ефект атак сьомого рівня без блокування всього трафіку з регіону. Географічне обмеження доступу виправдане лише тоді, коли бізнес свідомо не працює з певними країнами, бо надто широке блокування відсікає і частину реальних клієнтів.
План аварійного відновлення, прописаний заздалегідь, скорочує час простою більше, ніж будь-яке окреме технічне рішення. У плані має бути відповідь на три питання. Хто ухвалює рішення про підключення фільтрації. Який канал зв’язку з провайдером захисту використовується в разі атаки. Як інформувати користувачів про тимчасову недоступність сервісу.
Дії під час атаки, що вже триває
Перший крок полягає у зверненні до хостинг-провайдера чи оператора зв’язку з проханням увімкнути фільтрацію трафіку на їхній стороні. Власними силами відбити атаку на рівні каналу неможливо. Другий крок полягає у збереженні логів сервера за період атаки. Вони знадобляться для аналізу вектора та як доказова база в разі звернення до CERT-UA чи поліції. Третій крок полягає у повідомленні про інцидент до CERT-UA, урядової команди реагування на комп’ютерні надзвичайні події у складі Держспецзв’язку. Це варто зробити, навіть якщо організація не належить до критичної інфраструктури.
Межі того, що дає захист
Жодне рішення не гарантує повного захисту від атаки з достатнім бюджетом на боці нападника. Фільтрація трафіку добре працює проти третього і четвертого рівнів. Атаки сьомого рівня, які імітують поведінку звичайних відвідувачів, вимагають окремого налаштування під конкретний застосунок і дають більше хибних спрацювань. Малий бізнес з обмеженим бюджетом на IT-інфраструктуру зазвичай не може дозволити собі преміальний рівень фільтрації. У цьому випадку план аварійного відновлення та резервний канал зв’язку з клієнтами важать більше, ніж спроба повністю відбити атаку власними ресурсами.
Що не встановлено
Точної частки DDoS серед усіх 4315 кіберінцидентів 2024 року в офіційних матеріалах Держспецзв’язку не наведено. Відомство публікує загальний облік і окремо категорії найчастіших цілей, без розбивки за типом технічної дії. Дані за 2025 рік на момент підготовки цього тексту офіційно ще не зведені за повний рік.