Краткий обзор
DDoS-атаки на уровне приложений стали доминирующим вектором угроз в 2025 году. Radware сообщает об ошеломляющем всплеске веб-атак на 550%, а Qrator Labs задокументировала рост L7-инцидентов на 74% год к году во Q2 2025. В отличие от объёмных атак, которые можно отфильтровать на краю сети, L7-атаки нацелены на логику приложений и спроектированы, чтобы быть неотличимыми от легитимного трафика, что делает их значительно сложнее для обнаружения и нейтрализации.
Финансовый сектор стал основной целью, составляя 43,6% всех атак на уровне приложений. E-commerce следует с 22,6%, ИКТ-услуги — с 18,2%. Эти отрасли представляют привлекательные цели из-за высокой стоимости транзакций и серьёзного бизнес-воздействия даже кратких сбоев сервиса.
1 сентября 2025 года Qrator Labs предотвратил то, что может быть крупнейшей L7-атакой ботнета, когда-либо зарегистрированной, — 5,76 миллиона уникальных IP-адресов, нацеленных на государственную организацию. Эта атака демонстрирует масштаб инфраструктуры, теперь доступной изощрённым злоумышленникам, и экзистенциальный риск, который L7 DDoS представляет для неподготовленных организаций.
Ландшафт L7-атак
Рост в веб-атаках
Уникальных IP в крупнейшей L7-атаке
L7-атак нацелены на финансовый сектор
Рост L7-инцидентов во Q2 2025
Почему L7-атаки растут
Сложнее обнаружить
L7-атаки имитируют легитимные шаблоны трафика. Каждый запрос выглядит валидным — отказ в обслуживании вызывает агрегатный эффект. Традиционные объёмные фильтры неэффективны.
Обход сетевой защиты
Объёмная защита от DDoS работает на уровнях 3–4. Атаки на уровне приложений проходят через эту защиту и нацеливаются на само приложение, требуя других стратегий нейтрализации.
Высокое бизнес-воздействие
Успешная L7-атака на эндпоинт оформления заказа или аутентификации имеет немедленное влияние на доход. Атакующие нацеливаются на высокоценные функции для максимального нарушения.
Эволюция ботов
Продвинутые боты теперь эмулируют поведение браузера, выполняют JavaScript и решают CAPTCHA. Отличить вредоносную автоматизацию от легитимных пользователей становится всё сложнее.
Эксплуатация облачной инфраструктуры
Атакующие используют облачные ресурсы для генерации географически распределённых атак с «чистых» IP-адресов, делая блокировку по IP неэффективной.
Геополитическая мотивация
Хактивистские группы всё чаще используют L7-атаки для политических целей. Пики коррелируют с геополитическими событиями, особенно конфликтом Россия — Украина и напряжённостью ЕС — Китай.
1 сентября 2025 года Qrator.AntiDDoS предотвратила то, что считается крупнейшей зарегистрированной L7 DDoS-атакой ботнета, нацеленной на организацию государственного сектора. Атака развернула 5,76 миллиона уникальных IP-адресов: примерно 2,8 миллиона скомпрометированных эндпоинтов инициировали первый всплеск, прежде чем вторая волна примерно из 3 миллионов дополнительных устройств присоединилась через час. Это демонстрирует огромный масштаб современных IoT-ботнетов и критическую важность защиты на уровне приложений.
Анализ отраслевого воздействия
L7-атаки сконцентрированы в секторах, где нарушение сервиса имеет немедленные финансовые или операционные последствия.
| Отрасль | Доля L7-атак | Основные типы атак | Тяжесть воздействия |
|---|---|---|---|
| Финансовые услуги | 43,6% | Флуды входа, злоупотребление API, атаки на оформление заказа | Критическая — прямая потеря дохода |
| E-Commerce | 22,6% | Манипуляция корзиной, злоупотребление поиском, задержка инвентаря | Высокая — нарушение продаж |
| ИКТ-услуги | 18,2% | Истощение API, деградация сервиса | Высокая — нарушение SLA с клиентом |
| Гейминг | 8,4% | Флуд сессий, злоупотребление matchmaking | Средняя — пользовательский опыт |
| Государственный сектор | 7,2% | Флуды порталов, нарушение гражданских сервисов | Высокая — влияние на публичные услуги |
Анализ происхождения атак
Основной источник L7-атак
Второй по величине источник
Третий по величине источник
Распространённые техники L7-атак
Наиболее распространённая L7-техника включает отправку массовых объёмов HTTP GET- или POST-запросов для перегрузки веб-серверов. Эти запросы выглядят легитимно, но потребляют серверные ресурсы при обработке каждого. Современные варианты используют рандомизированные параметры и ротирующиеся user agents для обхода сигнатурного обнаружения.
Эти атаки держат соединения открытыми как можно дольше, отправляя частичные запросы или очень медленно читая ответы. Одна атакующая машина может исчерпать пулы соединений сервера, отказывая в обслуживании легитимным пользователям. Особенно эффективны против серверов с ограниченной ёмкостью одновременных соединений.
Атакующие нацеливаются на вычислительно затратные API-эндпоинты — поисковые функции, генераторы отчётов или сложные запросы. Каждый запрос вынуждает значительную серверную обработку, усиливая воздействие атаки. У API часто нет ограничения скорости, присутствующего на веб-фронтендах.
Эндпоинты входа становятся целями, потому что аутентификация включает запросы к базе данных, хеширование паролей и создание сессий. Неуспешные попытки входа могут потреблять больше ресурсов, чем успешные. Кампании credential stuffing служат двойной цели: компрометация учётной записи и отказ в обслуживании.
У распространённых CMS-платформ есть известные ресурсоёмкие эндпоинты. Атакующие нацеливаются на XML-RPC, wp-admin и функциональность поиска. Повсеместность этих платформ означает, что атакующие могут переиспользовать техники против миллионов целей.
Контекст объёмов атак 2025
Отчёт Cloudflare за Q1 2025 предоставляет контекст для более широкого ландшафта DDoS. Компания заблокировала 20,5 миллиона DDoS-атак только во Q1 — рост на 358% год к году. Атаки на уровне сети выросли на 509% год к году, а HTTP DDoS-атаки показали рост на 118% год к году.
Квартальная статистика раскрывает ускорение: HTTP DDoS-атаки показали рост на 7% квартал к кварталу поверх ежегодного роста в 118%. Длительность атак остаётся короткой — 71% HTTP DDoS-атак и 89% атак на уровне сети длятся менее 10 минут, — но интенсивность в этих окнах драматически возросла.
К сентябрю 2025 года Cloudflare нейтрализовала атаку 22,2 Тбит/с, длившуюся 40 секунд и почти удвоившую предыдущий рекорд. Хотя это была объёмная атака, она демонстрирует инфраструктуру, которой теперь распоряжаются атакующие, и их готовность её развернуть.
Стратегии защиты от L7 DDoS
Разверните WAAP с учётом приложений
Традиционные межсетевые экраны работают на уровнях 3–4. Атаки на уровне приложений требуют WAAP с глубокой инспекцией пакетов, поведенческим анализом и пониманием шаблонов трафика, специфичных для приложений.
Внедрите поведенческий анализ
Сигнатурное обнаружение бессильно против L7-атак, имитирующих легитимный трафик. Разверните модели анализа поведенческих шаблонов, устанавливающие базовые линии и идентифицирующие аномальные шаблоны запросов, тайминги и последовательности.
Ограничение скорости по эндпоинтам
Не все эндпоинты равны. Применяйте гранулярные ограничения скорости на основе чувствительности эндпоинта — более строгие лимиты для аутентификации, оформления заказа и API-эндпоинтов; более либеральные для статического контента.
Интеграция управления ботами
Продвинутые боты движут L7-атаками. Разверните обнаружение ботов, анализирующее выполнение JavaScript, отпечатки браузера и поведенческие шаблоны, а не полагающееся исключительно на репутацию IP.
Географическая фильтрация с осторожностью
Хотя источники атак кластеризуются географически, изощрённые атаки используют глобально распределённую инфраструктуру. Внедряйте географические политики как один слой защиты, а не как основную стратегию.
Механизмы вызов-ответ
Внедрите прозрачные вызовы, которые легитимные браузеры проходят автоматически, но которые накладывают расходы на атакующих. JavaScript-вызовы, валидация cookie и proof-of-work могут фильтровать автоматический трафик.
Масштабируемая инфраструктура
Убедитесь, что инфраструктура может поглощать всплески трафика. Автомасштабирование, распределение CDN и edge-вычисления снижают воздействие атак, достигающих исходных серверов.
Планирование реагирования на инциденты
Даже с защитой атаки могут вызывать деградацию. Имейте runbook'и для L7-атак, включая перенаправление трафика, деградацию функций и протоколы коммуникации.
Как TR7 защищает от L7 DDoS
WAAP на уровне приложений
Глубокая инспекция пакетов и фильтрация с учётом приложений. Обнаружение и блокировка HTTP-флудов, медленных атак и шаблонов злоупотребления API.
Интеллектуальная нейтрализация ботов
Отличайте изощрённых ботов от легитимных пользователей. Механизмы вызов-ответ, фильтрующие автоматический трафик без влияния на пользовательский опыт.
Гранулярное ограничение скорости
Лимиты скорости на эндпоинт, пользователя и действие. Защитите чувствительные функции, поддерживая доступность для легитимного трафика.
Платформа защиты от DDoS
Интегрированная защита от DDoS на уровнях L3–L7. Поглощайте объёмные атаки на краю, применяя интеллектуальную нейтрализацию на уровне приложений.
Аналитика в реальном времени
Живой анализ трафика с поведенческим базовым мониторингом. Автоматическое обнаружение аномалий и оповещения о появляющихся шаблонах атак.
Архитектура высокой доступности
Распределённая инфраструктура поглощает всплески трафика. Автоматическое масштабирование и failover обеспечивают непрерывность сервиса во время атак.
Источники и ссылки
Первоисточник для всплеска веб-атак на 550% и анализа шаблонов атак. https://www.radware.com/threat-analysis-report/
Подробности о рекордной атаке ботнета на 5,76 миллиона IP и росте L7 на 74% год к году. https://www.itpro.com/security/cyber-attacks/application-layer-ddos-attacks-are-skyrocketing-heres-why
20,5 миллиона атак заблокировано, рост 358% год к году и рост HTTP DDoS на 118%. https://blog.cloudflare.com/ddos-threat-report-for-2025-q1/
Глобальная статистика DDoS и анализ роста L7-инцидентов. https://stormwall.network/resources/blog/ddos-report-q1-2025
Разбивка L7-атак по секторам: финансы 43,6%, e-commerce 22,6%, ИКТ 18,2%.
Защитите свои приложения от L7 DDoS
С всплеском 550% в атаках на уровне приложений и рекордными ботнетами, нацеленными на предприятия, защита от L7 DDoS необходима. Интегрированная платформа TR7 предоставляет поведенческий анализ и интеллектуальную нейтрализацию, необходимые для защиты от современных угроз на уровне приложений.
Изучить защиту от DDoS