Возможность

L7 DDoS Attack Coverage и поведенческая адаптивная защита

Не запросы в секунду — поведение сессий, плотность путей, IP-репутация, bot-скор, оцениваются по составным условиям.

Дополнение TR7 L7 DDoS обрабатывает векторы атак прикладного уровня внутри той же цепочки политики WAAP. HTTP flood (GET/POST), Slowloris, slow POST (R.U.D.Y.), recursive GET, cache-busting и нацеленный на приложения bot-трафик — всё выявляется единым движком поведенческого скоринга и логикой составных условий `ddosCond`. Вместо классического порога «запросов в секунду» одновременно оцениваются несколько сигналов поведения: скорость соединений, время жизни сессии, соотношение запросов/ответов, плотность путей, IP-репутация, bot-скор и частота ошибок. Составные условия могут определяться с логикой AND/OR/NOT; например, не только высокая скорость запросов, но и одновременный рост SSL-соединений + конкретная плотность пути + подозрительная IP-репутация могут триггерить действие. Действия тоже не одного размера: deny, redirect, контролируемая доставка контента или local CAPTCHA — выбирается по модели атаки. Охват масштабируется на vService; 1, 10, 25, 100, 1000 vService или Unlimited Protection.

Охватываемых векторов атак L7

Типов действий: deny/redirect/content/CAPTCHA/rate-limit

vService

Уровень гранулярности — 1, 10, 25, 100, 1000 + Unlimited

Атаки прикладного уровня протокол-совместимы — они выглядят как обычные запросы; классические пороги WAF обманываются.

Основная сложность L7 DDoS-атак — их протокольная совместимость. Злоумышленник отправляет валидные HTTP-запросы; каждый запрос в отдельности выглядит как то, что сделал бы легитимный пользователь. Система, смотрящая только на агрегацию трафика, либо обнаруживает атаку с опозданием (когда ущерб уже нанесён), либо вынуждена блокировать легитимный трафик.

Slowloris и R.U.D.Y. доводят проблему до предела. Злоумышленник открывает много полуоткрытых соединений и отправляет по несколько байт в секунду на каждое. Порог запросов в секунду никогда не срабатывает; тем временем пул рабочих потоков сервера заполняется. Классическая защита это не видит.

Cache-busting и recursive GET атаки обходят кэш-уровень; каждый запрос имеет другой параметр URL, кэш пропускается, и backend пересчитывает всё заново. Сказать «слишком много запросов» недостаточно; важен структурный паттерн поведения.

Bot DDoS-кампании приходят из распределённого пула IP, каждый источник — с низкой скоростью, но суммарная высокая частота ошибок или нацеленная плотность endpoint. Атака не видна в одном сигнале; её нужно выявлять комбинацией AND/OR/NOT нескольких сигналов.

Наш подход

Дополнение L7 DDoS работает на поведенческом скоринге + логике составных условий + адаптивных действиях + гранулярности на vService. Вместо классических порогов «запросов в секунду» оно смотрит на структурный паттерн атаки.

Движок поведенческого скоринга

Не один сигнал — скорость соединений, время жизни сессии, соотношение запросов/ответов, плотность путей, IP-репутация, bot-скор и частота ошибок оцениваются одновременно. Модели атак выявляются по структурному паттерну, а не по объёму.

Составные условия ddosCond (AND/OR/NOT)

Составное условие может определяться на vService. Пример: «высокая скорость запросов И рост SSL-соединений И плотность пути /api/login И низкая IP-репутация». Не один сигнал — структурный паттерн атаки становится триггером.

Smart Learning + поток подтверждения оператора

Система наблюдает за поведением трафика, генерирует базовый уровень и представляет его оператору. Оператор просматривает, одобряет или изменяет; активирует как политику. По мере эволюции профиля Smart Learning предлагает новые рекомендации.

Адаптивное действие — постепенный ответ

При обнаружении атаки действие выбирается по модели атаки: deny (открытая атака), redirect (альтернативный путь), контролируемая доставка контента, local CAPTCHA (различение bot/человек), rate-limit. Вместо единого ответа — постепенная реакция.

Охватываемые векторы атак

Дополнение L7 DDoS обрабатывает наиболее изощрённые векторы атак прикладного уровня внутри цепочки политики WAAP.

HTTP flood (GET и POST) — распознаётся через поведенческий скоринг

Злоумышленник отправляет тысячи реально выглядящих HTTP-запросов в секунду. Скорость запросов в одиночку может напоминать легитимный кампанийный трафик. Движок поведенческого скоринга TR7 оценивает скорость запросов вместе со временем жизни сессии, IP-репутацией и плотностью целевого пути; после распознавания структурного паттерна атаки применяется действие.

Мягкий предел выдаёт challenge, жёсткий блокирует — наплыв покупателей это не атака

HTTP-флуд и удачная кампания в счётчике запросов выглядят одинаково. Поэтому у каждой защиты L7 два порога: мягкий включает ступенчатый ответ — задержку, проверку встроенной CAPTCHA на самом устройстве, постановку в очередь, — и только жёсткий отказывает в запросе. Настоящий покупатель проходит проверку и остаётся, скрипт — нет. Режим наблюдения показывает оба относительно вашего трафика, так что цифры берутся из реального утра понедельника, а не из заводского значения.

Slowloris — исчерпание полуоткрытых соединений

Злоумышленник открывает много полуоткрытых HTTP-соединений, отправляя лишь несколько байт в секунду на каждое. Порог запросов в секунду никогда не срабатывает. TR7 совместно оценивает аномальное время жизни сессии + низкое соотношение запросов/ответов + высокое количество активных соединений; соединения атаки фильтруются.

Slow POST (R.U.D.Y.) — запросы с медленно поступающим телом

Злоумышленник начинает POST-запрос; Content-Length объявляется большим, но тело приходит со скоростью 1 байт в секунду. Рабочие потоки ждут часами. TR7 выявляет медленных отправителей тела через несоответствие Content-Length и время ожидания потока.

Recursive GET и cache-busting атаки

Злоумышленник добавляет разный параметр URL к каждому запросу; кэш обходится, и backend пересчитывает каждый запрос заново. TR7 наблюдает за соотношением попаданий/промахов кэша и разнообразием параметров URL; при выявлении структурного паттерна cache-busting применяется действие.

Recursive GET — последовательные запросы к суб-URL

Злоумышленник последовательно обращается ко всем суб-URL большой страницы, чтобы истощить backend. Поведенческий движок выявляет рекурсивный паттерн — последовательные высокоплотные запросы из одной сессии + согласованный user-agent.

Bot DDoS — атаки с низкой скоростью из распределённого пула IP

Злоумышленник отправляет низкоскоростные запросы с тысяч IP; в совокупности виден структурный паттерн, но каждый IP выглядит обычным. TR7 выявляет пул ботов через составные условия IP-репутации + bot-скора + плотности путей; применяется постепенное действие (CAPTCHA → block).

Волны credential stuffing

Злоумышленник отправляет список скомпрометированных учётных данных на форму входа с распределённых IP. Высокая частота ошибок 4xx + плотность пути входа + IP-репутация + распределённый источник оцениваются совместно; волна атаки останавливается в начале.

Bot-атака на endpoint API

Боты, нацеленные на современные API, отправляют запросы со скоростью, похожей на человеческую. Обнаружить бота по единственному сигналу соединения сложно. TR7 выявляет структурных ботов через совместную оценку bot-скора + поведенческого отпечатка + плотности путей.

Local CAPTCHA — различение bot/человек без сторонних SaaS

При структурном распознавании атаки может триггерироваться local CAPTCHA challenge. Работает как часть платформы TR7; сторонние reCAPTCHA или подобные сервисы не требуются. Локальность данных сохраняется.

Гранулярный охват на vService

У каждого сервиса приложения разный профиль трафика; для каждого vService работают отдельный поведенческий базовый уровень и политика смягчения. Атака на один vService не влияет на другой; нормальный трафик одного vService может напоминать профиль атаки другого. Уровни ёмкости: 1, 10, 25, 100, 1000 vService или Unlimited Protection.

Операционная глубина

Дополнение L7 DDoS предлагает интегрированную операционную модель: поведенческий скоринг + составные условия ddosCond + Smart Learning + адаптивное действие + аудиторский след.

Smart Learning и поток оператора

Smart Learning наблюдает за поведением трафика, генерирует базовый уровень на vService и представляет его оператору. Оператор просматривает, одобряет или изменяет; активирует как политику. По мере эволюции профиля появляется новая рекомендация.

Библиотека составных условий ddosCond

Сигналы поведения можно комбинировать с AND/OR/NOT. Скорость соединений, время жизни сессии, соотношение запросов/ответов, плотность путей, распределение HTTP-методов, поведение размера тела, IP-репутация, bot-скор, частота ошибок — всё является вводом для определения условий.

Библиотека действий

deny, redirect, доставка контента, local CAPTCHA, rate-limit. По модели атаки оператор может определить постепенное действие: первый порог CAPTCHA, второй порог rate-limit, третий порог block.

Интеграция в цепочку политики WAAP

Условия ddosCond L7 DDoS работают внутри той же цепочки политики WAAP. Скоры управления ботами и контекст атаки API питают ddosCond как ввод; при обнаружении атаки события записываются в ту же цепочку аудита, что и отчётность об атаках WAAP.

Механизм local CAPTCHA

Работает как часть платформы TR7. Сторонние reCAPTCHA или подобные SaaS-сервисы не требуются; клиентские данные не передаются в другое облако. Варианты визуального, числового, поведенческого challenge.

Отчётность об атаках и SIEM-поток

Каждая обнаруженная атака, принятое действие, география пула исходных IP, целевой vService и длительность записываются в аудиторский след. Если включено дополнение L7 Reporting, оно визуализируется в панели инструментов; если настроен SIEM-поток — передаётся в корпоративный SIEM.

Когда применять

Кампания Slowloris — исчерпание полуоткрытых соединений

Злоумышленник открывает 5 000 полуоткрытых соединений; каждое получает 2 байта в секунду. Порог запросов в секунду никогда не срабатывает, но пул рабочих потоков сервера заполняется. TR7 выявляет составное условие аномального времени жизни сессии + низкого соотношения запросов/ответов; соединения атаки фильтруются, легитимные пользователи остаются видимыми.

Волна credential stuffing — распределённый ботнет

Злоумышленник отправляет скомпрометированные учётные данные с 50 000 IP на форму входа. Каждый IP работает со скоростью 1-2 запроса в секунду; единственный IP-профиль не раскрывает ботнет. ddosCond: высокая частота ошибок 4xx И плотность пути входа И низкая IP-репутация → постепенное действие (CAPTCHA → block).

API-атака, управляемая AI-агентом

Злоумышленник на основе AI-агента отправляет запросы к endpoint API со скоростью, напоминающей человеческую. Обнаружить бота по единственному сигналу соединения сложно. Совместная оценка bot-скора + поведенческого отпечатка + плотности путей выявляет структурный паттерн AI-агента; применяется rate-limit или local CAPTCHA.

Скачок трафика в день кампании

При запуске e-commerce кампании трафик вырастает в 10 раз. Статический порог либо белит страницу, либо блокирует легитимный трафик, нанося ущерб бизнесу. TR7 Smart Learning также обучился ожиданиям дня кампании (еженедельный цикл); порог динамический. Легитимный трафик не затрагивается; трафик ботов/злоумышленников различается.

Часто задаваемые вопросы

Включена ли L7 DDoS-защита в базовый пакет?

Базовые пакеты включают простое обнаружение flood и rate-limit. Дополнение L7 DDoS добавляет движок поведенческого скоринга, составные условия ddosCond, Smart Learning, библиотеку адаптивных действий и local CAPTCHA.

Как определяются составные условия ddosCond?

Визуально через консоль оператора или на языке политики. Сигналы поведения (скорость соединений, плотность путей, IP-репутация и т. д.) выбираются и комбинируются с AND/OR/NOT. Smart Learning предлагает предопределённые шаблоны условий в качестве рекомендаций.

Как работает local CAPTCHA? Привязана ли она к стороннему сервису?

Local CAPTCHA является частью платформы TR7. Предлагает варианты визуального, числового и поведенческого challenge. Клиентские данные не передаются в другое облако; сторонние SaaS не требуются.

Что происходит при превышении лимита vService?

Уровень лицензии оценивается по ограниченному количеству vService (1, 10, 25, 100, 1000 vService или Unlimited). Оператор может определять L7 DDoS-политики для стольких vService, сколько лицензировано; уровень можно повысить по мере роста потребностей.

Где я могу видеть отчётность об атаках?

Обнаруженные атаки, действия, география источника и длительность записываются в аудиторский след. Если включено дополнение L7 Reporting, оно визуализируется в панели инструментов. Работает на той же плоскости данных, что и страница функции отчётности об атаках WAAP.

Убедитесь в поведенческой L7-защите

Посмотрим на составные условия ddosCond, рекомендации Smart Learning и библиотеку адаптивных действий в вашей среде — запланируем сессию развёртывания на пилотном vService.