Антон Ведерников, Автор в Академия Selectel

Введение Сегодня мы наблюдаем тенденцию к ежегодному непрерывному росту количества и мощности DDoS-атак. Это негативно сказывается на доступности как публичных, так и корпоративных сервисов. Последствия для компаний могут быть разными — от финансовых потерь и утечек данных до репутационного ущерба. Более 36 000 клиентов Selectel генерируют сетевой трафик объемом свыше 500 Гбит/с. Уникальные данные, которые мы получаем в ходе анализа атак на наши сервисы и проекты клиентов, позволяют оценить ландшафт угроз для облачной инфраструктуры. Мы в Selectel собрали аналитический отчет о DDoS-атаках, отраженных с помощью бесплатного сервиса защиты за первое полугодие 2026. Данные позволяют оценить динамику и основные характеристики DDoS в разрезе облачной инфраструктуры, скорректировать настройки своих IT-систем для защиты. Ключевые выводы С января по июль 2026 года мы отразили 88 618 атак общей продолжительностью 22 101 час. Максимальный объем составил 870 Гбит/с, а скорость — 369 млн пакетов в секунду. В среднем, системы защиты Selectel отражали порядка 14 770 атак ежемесячно. А самыми популярными типами DDoS остаются TCP PSH/ACK Flood и TCP SYN Flood, которые занимают порядка 58% от общего количества атак. Наиболее мощные атаки пришлись на январь, а самые продолжительные зафиксировали как в начале, так и в конце периода — в январе и июне соответственно. Средняя общая длительность атак на одного клиента достигает 13 часов, а максимальное время, в течение которого один клиент находился под атакой, составляет 795 часов. Максимальное количество атак за месяц на одного клиента впервые перешагнуло пятизначное число — 10 522 инцидента. Подобный объем невозможно отбить вручную, поэтому базовая бесплатная защита — важная часть услуг облачного провайдера. Динамика изменения показателей Аналитика атак Количество За период с января по июль 2026 года бесплатным сервисом защиты от DDoS-атак Selectel было отражено 88 618 атак. Наибольшее число инцидентов пришлось на январь (29 165 атак). В среднем мы отражали 14 770 атак в месяц и 44 — на каждого атакованного клиента. Максимальное количество атак на одного клиента в первом полугодии 2026 года изменялось в десятки раз и в среднем составляло 3 367 инцидент. А наибольшее значение пришлось также на январь — 10 522 инцидента. Мощность Основные характеристики атаки, определяющие ее мощность на сетевом и транспортном уровнях, — это объем и скорость. Атаки большого объема, измеряемого в количестве переданных бит за одну секунду, направлены на переполнение полосы пропускания. При этом рекордный объем был достигнут в январе и составил 870 Гбит/с. В июне зафиксировали наибольшее значение среднего объема переданных данных за атаку — 112 ГБ, а также максимальное количество переданных пакетов — 350 млн. Атаки с большой скоростью направлены на исчерпание вычислительных ресурсов сетевого оборудования. Самая скоростная атака была зафиксирована в апреле и достигла 369 миллионов пакетов в секунду. Это почти в 2,4 раза больше, чем максимальная скорость атаки в январе. Продолжительность Суммарная продолжительность атак с января по июль 2026 года составила 22 101 час. Почти такое же количество часов мы отражали атаки за весь 2025 год. Наибольшая продолжительность атак зарегистрирована в июне. Она достигает 4 295 часов. При этом значительных изменений показателя от месяца к месяцу нет. Средняя длительность атаки росла на протяжении всего периода от 8 минут в январе до 22 минут в июне, а максимальная длительность одной атаки зафиксирована в мае — и составила 172 часа, что в 5,5 раз больше значения марта. Средняя общая продолжительность атак на одного клиента не превышала 13 часов. Максимальная общая продолжительность атак на одного клиента превысила 795 часов за один календарный месяц. Типы атак Распределение типов атак по месяцам менялось значительно — к июню атаки стали более разнообразными и доля категории «Другие» увеличилась с 11,6% в январе до 36,2% в мае. При этом самыми популярными были и остаются атаки типа TCP SYN Flood и TCP PSH/ACK Flood. Они занимают 57,8% от общего количества атак. Также постепенно увеличивается доля атак UDP Flood, которая составила 9,5%. Аномально высокую долю заняли атаки типа TCP SYN/ACK Reflection (36% в январе и 11,9% за весь период), которые были зафиксированы только в январе и в остальные периоды не повторялись. TCP SYN Flood реализуется путем отправки множества SYN-запросов на подключение, при этом ответные SYN+ACK пакеты, отправленные сервером, игнорируются. Это приводит к тому, что на сервере появляется очередь из полуоткрытых соединений, которые не позволяют установить новые легитимные подключения, что приводит к невозможности подключения пользователей или длительному ожиданию. TCP PSH/ACK Flood реализуется путем отправки множества фальсифицированных ACK-пакетов на определенные или случайные номера портов атакуемого узла, которые не принадлежат ни одной из сессий в списке соединений. Тот, в свою очередь, вынужден тратить вычислительные ресурсы на проверку поддельных пакетов. UDP Flood реализуется путем отправки множества UDP-пакетов на случайные или определенные порты атакуемого узла. Поскольку протокол UDP работает без установления соединения, сервер не создает очередь полуоткрытых сессий, но вынужден обрабатывать каждый входящий пакет на уровне операционной системы. TCP SYN/ACK Reflection реализуется путем отправки множества SYN-запросов на адреса сторонних легитимных серверов (отражателей), при этом в качестве IP-адреса отправителя подделывается IP-адрес жертвы. Сторонние серверы, следуя логике протокола TCP, отправляют ответные пакеты SYN+ACK не атакующему, а на адрес жертвы. Инсайты от партнеров Рост распределенности атак Применение ИИ в DDoS Методология Основной источник данных для отчета — системы защиты от DDoS-атак, которые мы используем на уровне сетевой инфраструктуры дата-центров Selectel. Весь входящий трафик проходит через узлы очистки и анализируется на наличие вредоносной активности. Бесплатный сервис защиты от DDoS-атак работает при использовании облака Selectel, платформенных сервисов и выделенных серверов, включая аттестованные сегменты. Сервис обеспечивает защиту на сетевом (L3) и транспортном (L4) уровнях от различного типа атак: атак с отражением на основе UDP (DNS, NTP, memcache и пр.); атак с использованием фрагментированного IP-трафика; TCP SYN/RST/PSH flood; различных типов UDP flood и ICMP flood. Отдельной атакой считается вредоносная активность, которая соответствует ряду критериев: направлена на конкретный IP-адрес, относится к одному типу атак, имеет перерывы в активности не более трех минут. Пример 1. Атаки UDP Flood на один и тот же IP-адрес с промежутком в минуту будут объединены в одну. В течение трех минут после прекращения активности атака будет считаться завершенной. Пример 2. Одновременно один и тот же IP-адрес атакуют с помощью Flood- и Reflection-атак. Активность продолжается в течение семи минут. В данном случае будет зафиксировано две атаки.