Сначала определить уровень атаки
| Уровень | Пример | Где защищаться |
|---|---|---|
| L3 | объёмный IP/network flood | upstream carrier / anti-DDoS / edge network |
| L4 | TCP/UDP/connection flood | upstream scrubbing / load balancer / network protection |
| L7 | HTTP request flood, expensive endpoints | edge/WAF/rate limit + application-aware controls |
| Automation/abuse | парсеры, bots, click fraud, scripted sessions | anti-bot / Risk / Challenge / application policy |
Почему volumetric DDoS нельзя лечить только на origin
Если входящий поток исчерпал пропускную способность канала или ресурсы перед PHP, запрос может не дойти до AntiPF в управляемом виде. Облачные/edge anti-DDoS платформы специально фильтруют трафик далеко выше workload; например, Google Cloud Armor описывает L3/L4 mitigation до применения security policies.
Какие инфраструктурные компоненты используют против DDoS
Для объёмных атак защита должна срабатывать до origin. В зависимости от архитектуры используют Anycast/распределённый edge, scrubbing center, reverse proxy/CDN, carrier filtering, DNS protection и защищённый origin, который не принимает произвольный обход защитного слоя.
- Anycast/edge распределяет и поглощает часть нагрузки ближе к источнику;
- scrubbing очищает большой поток до доставки разрешённого трафика;
- reverse proxy/CDN скрывает и разгружает origin при корректной конфигурации;
- DNS protection нужна, если атакуется сама DNS-инфраструктура;
- origin lockdown не позволяет обойти edge и атаковать backend напрямую.
Что меняется на L7
На application layer запросы могут выглядеть как обычный HTTP: атакующий выбирает тяжёлые URL, меняет IP, имитирует браузер и старается пройти простые rate limits. Здесь нужны route-aware limits, WAF/rules, bot evidence, caching и защита дорогих операций.
На практике HTTP flood может имитировать обычные GET/POST-запросы, выбирать дорогой поиск/фильтры/login/API и создавать нагрузку при сравнительно умеренной полосе. Поэтому L7 требует наблюдения не только за Mbps, но и за RPS, backend latency, cache hit ratio и стоимостью отдельных routes.
Практичная многослойная схема
- Upstream anti-DDoS для сетевого объёма.
- Web server/load balancer limits и защита соединений.
- WAF для классов HTTP-атак и известных сигнатур.
- Anti-bot/Risk/Challenge для автоматизации и abuse patterns.
- Мониторинг origin saturation, latency, error rate и логов каждого слоя.
Где находится AntiPF
AntiPF — application-level PHP/runtime система. Она может анализировать дошедшие до сайта HTTP-запросы, ботов и поведение, но не является L3/L4 scrubbing center и не должна рекламироваться как замена сетевому Anti-DDoS.
AntiPF дополняет, а не заменяет upstream DDoS
AntiPF полезен на application-level: rules, crawler verification, Risk, Browser Signals, Challenge и diagnostics. Для объёмных L3/L4 атак нужен отдельный сетевой/edge слой.
Источники и технические справки
Для проверяемых технических деталей использованы официальные материалы: