L7-уровень в зоне риска: как защититься от DDoS-атак на приложения

Введение

Прежде чем начинать обсуждение DDoS-атак на уровне L7 зафиксируем, что классические DDoS-атаки сетевого и транспортного уровней (L3-L4), которые выводят систему из строя огромным объемом трафика, никуда не исчезли. Наоборот, они продолжают расти и по количеству, и по мощности, что мы наблюдаем в рамках наших регулярных отчетов. 

Однако против площадок, где уже реализована базовая защита, такие атаки все чаще оказываются неэффективными. По этой причине злоумышленники постепенно смещают свой фокус на прикладной уровень информационной системы.
L7-атаки обладают крайне неприятными особенностями: они требуют гораздо меньше ресурсов со стороны злоумышленников и вместе с этим очень сложны с точки зрения обнаружения и реагирования.

Что такое DDoS-атака на уровне L7

Уровень L7 в модели OSI

L7 – это уровень модели OSI, который отвечает за взаимодействие приложений с пользователем и другими приложениями. К этому уровню принадлежат протоколы, которые могут использоваться мобильными приложениями и браузерами пользователей: HTTP, SMTP, FTP, DNS и другие.

Определение и цель атаки

Еще немного основ. DDoS (Distributed Denial of Service) — это, как следует из названия, распределенная атака, направленная на отказ в обслуживании. Механика у нее такая: злоумышленник управляет сетью зараженных устройств (ботнетом) и по команде направляет поток запросов с них на выбранную цель. В итоге IT-инфраструктура жертвы вынуждена обрабатывать этот поток вместе с обычным трафиком и в какой-то момент перестает справляться, начиная отвечать ошибками или не отвечать вовсе. Реальные пользователи в это время не могут открыть сайт или воспользоваться сервисом. Это и есть отказ в обслуживании. 

Отталкиваясь от определения уровня L7 в модели OSI, можно сделать вывод: L7 DDoS-атаки направлены на тот уровень, с которым работает обычный пользователь. Это может быть автоматизированное воздействие на веб-интерфейсы, с которыми обычно работают посетители сайтов, но чаще атакам подвергаются API, без которых невозможно реализовать современное веб-приложение.

L7-атаки направлены на исчерпание вычислительных ресурсов сервиса (CPU, RAM, система ввода-вывода) для того, чтобы обычные пользователи системы потеряли возможность работы с ней.

Какие протоколы работают на прикладном уровне 

Но кроме HTTP/HTTPS на уровне L7 работает еще много протоколов, которые тоже могут стать целью атаки — например, SMTP, FTP или RDP. Отдельно стоит сказать про атаки с усилением — DNS Amplification, NTP Amplification и подобные. Сами DNS и NTP относятся к прикладному уровню, но воздействие такие атаки оказывают на пропускную способность канала, а не на логику приложения. По этой причине их принято классифицировать как атаки на L3-L4.

Цели внутри приложения

Рассмотрим основные элементы системы, на которые чаще всего направлены атаки. 

Ресурсоемкие операции: поиск, фильтрация, экспорт

Поиск по каталогу, фильтрация выдачи, построение отчета, выгрузка данных — за каждым таким запросом стоит обращение к базе и обработка большого объема записей. Один вызов поиска может обойтись серверу в десятки раз дороже, чем отдача обычной страницы. И если при этом не ограничено ни количество выводимых записей, ни число запросов от одного пользователя, злоумышленнику хватит небольшого потока обращений, чтобы исчерпать ресурсы системы с минимальными затратами со своей стороны.

Формы авторизации

Атака на формы входа может преследовать сразу несколько целей:

• классический отказ в обслуживании — невозможность логина для клиентов;
• брутфорс — попытки подобрать учетные данные для получения несанкционированного доступа к системе;
• поиск уязвимостей в механизме аутентификации, что может стать входной точкой для дальнейшей атаки.

API

API также является одной из приоритетных целей: методы API легко автоматизировать, и если в них отсутствуют защитные механизмы (рейт-лимиты, фильтрация поступающих данных, ограничения на объем выдачи), это заметно упрощает злоумышленнику реализацию успешной атаки.

Чем L7-атаки отличаются от атак на L3/L4 

Объем трафика против точечной нагрузки

В отличие от атак на уровнях L3-L4, атаки уровня L7 чаще всего не оперируют гигабитами трафика. Зачастую, чтобы создать высокую нагрузку на приложение, достаточно небольшого количества специально сформированных запросов.

Разница видна даже по метрикам, которыми измеряют атаки. Мощность L3-L4-атаки описывают в гигабитах в секунду (Гбит/с) и пакетах в секунду (PPS) — здесь важен сам объем. Мощность L7-атаки измеряют в запросах в секунду (RPS), потому что значение имеет не вес трафика, а стоимость обработки каждого запроса для вашего сервера. Один запрос к тяжелому поисковому методу может стоить системе дороже, чем сотня пакетов мусорного трафика.

Сложность обнаружения

Из небольшого объема трафика вытекает вторая проблема: такую атаку трудно заметить. Атаку уровня L3-L4 обнаружить легко, так как на графиках в системах мониторинга сразу виден огромный всплеск трафика, и остается только выбрать правильный метод реагирования. В случае с атакой на уровне L7 далеко не всегда очевидно, что атака вообще началась: объем трафика может остаться в пределах нормы, а вот утилизация CPU уйдет в потолок.

Почему злоумышленники выбирают L7

Опираясь на вышесказанное, можно понять, почему злоумышленники все чаще прибегают именно к атакам уровня L7 — они дают сразу несколько преимуществ: скрытность, сложность реагирования, сравнительно небольшое количество ресурсов, которое требуется для проведения такой атаки. В сумме это делает L7 менее заметной, но более трудной для отражения угрозой, чем объемный флуд на L3-L4.

DDoS-атаки нового поколения: ИИ-боты и поведенческая имитация
Количество и качество L7 DDoS-атак сильно выросли в связи с развитием искусственного интеллекта. С его помощью злоумышленники:

• стали гораздо лучше имитировать поведение реальных пользователей, что усложняет обнаружение атаки;
• научились быстрее находить в системах уязвимые места, позволяющие создавать высокую нагрузку;
• начали налаживать взаимодействие между агентами для увеличения поверхности атаки, что сильно усложняет реагирование.

Еще одним следствием развития ИИ стало то, что классические подходы с черными списками и сигнатурной фильтрацией стали практически бесполезными. Атакующие слишком быстро адаптируются к реализованным фильтрам и механизмам защиты, что делает чуть ли не невозможной реализацию надежной защиты путем создания заранее определенных правил. Но отказываться от них не стоит — они по-прежнему полезны как первый фильтр, который отсекает грубый и шумный трафик и разгружает более «дорогие» механизмы анализа.

Как работает DDoS на уровне L7: этапы 

Подготовка ботнета

Несмотря на то, что L7 DDoS-атаки не требуют большого количества трафика, они по-прежнему остаются распределенными, и для их реализации нужно много хостов, генерирующих вредоносные запросы.

Уже классические примеры ботнетов — Mēris и Mantis. В 2021 году Mēris показал атаку мощностью около 22 млн запросов в секунду, а размер самого ботнета исследователи оценивали примерно в 250 000 устройств (преимущественно из скомпрометированных маршрутизаторов). 

Mantis в 2022 году поставил другой рекорд: 26 млн HTTPS-запросов в секунду при том, что в его составе было около 5 000 узлов. Это практическая иллюстрация ключевого свойства L7-атак: успех определяется скорее мощностью узлов и стоимостью обработки запроса на стороне жертвы, чем размером ботнета.

Однако 2025-2026 годам цифры выше уже перестали быть рекордными. Благодаря развитию автоматизации и ИИ злоумышленники научились координировать гораздо больше зараженных устройств: ботнет Kimwolf разошелся более чем на 2 млн устройств, преимущественно Android-TV-приставок и IoT-оборудования. На эту экосистему относят HTTP-атаки мощностью свыше 200 млн запросов в секунду, а также объемные атаки в 31,4 Тбит/с и 14,1 млрд пакетов в секунду. Показательно, что даже задержание оператора и изъятие инфраструктуры в 2026 году не остановили развитие ботнета — его новые версии продолжают появляться.

Разведка

Не всегда, но зачастую DDoS-атака на систему не является случайной. В отличие от одиночных ботов, которые постоянно сканируют белые IP-адреса на предмет уязвимостей, DDoS-атака требует координации большого количества хостов, поэтому решение о ее проведении обычно принимает человек или группа людей.

И так как атака планируется заранее, ей предшествует этап разведки. Злоумышленники ищут слабые места и разбираются в стандартных бизнес-сценариях — эти знания потом помогают достоверно имитировать поведение реальных пользователей.

Работает это и в обратную сторону. DDoS-атака сама может быть частью подготовки к целевой атаке другого типа: пока все внимание команды приковано к отражению флуда, злоумышленник изучает поведение системы под нагрузкой и ищет уязвимые элементы, оставаясь незамеченным на общем фоне.

Имитация поведения пользователя 

Следующий этап — маскировка вредоносных запросов под трафик обычных посетителей. Именно она делает обнаружение L7-атак таким сложным.

Опираясь на данные разведки, злоумышленники автоматизируют запросы, которые будут использоваться в полноценной атаке. Зачастую проводится предварительное тестирование. Фактически в этот момент атака уже началась — запросы уже идут, — но она может быть почти незаметной и не создавать критичной нагрузки на вашу систему.

Нагрузка на бизнес-логику и истощение ресурсов

Последний и главный этап — создание критичной нагрузки с целью истощения ресурсов системы. К точечным запросам, которые по объему не отличаются от трафика обычных пользователей, добавляются запросы, создающие лавинную нагрузку на аппаратные компоненты.

О том, какие виды атак и запросов при этом применяются, поговорим в следующем блоке.

Виды L7 DDoS-атак 

HTTP/HTTPS-флуд

Наиболее распространенный вид L7 DDoS-атак — простой HTTP/HTTPS-флуд. Он чаще всего даже не требует предварительной разведки: принцип схож с L3-L4-атаками и заключается в генерации огромного количества запросов.

Но в отличие от L3-L4, где злоумышленники пытаются исчерпать пропускную способность канала гигабитами трафика, HTTP/HTTPS-флуд оперирует запросами в секунду — счет идет на миллионы RPS. Цель здесь — перегрузка самого приложения и сервера, на котором оно работает: обработка такого количества запросов очень быстро расходует аппаратные ресурсы (CPU, RAM, система ввода-вывода).

Медленные HTTP-атаки (low and slow)

Этот класс атак использует минимальную пропускную способность. Запросы формируются так, чтобы максимально долго удерживать TCP-соединения открытыми: данные передаются очень медленно, но достаточно регулярно, чтобы сервер не разорвал соединение по таймауту. Результат — исчерпание пула доступных соединений и невозможность доступа для реальных пользователей.

Slowloris («Медленная смерть»)

Данный тип атаки схож low and slow. Злоумышленник устанавливает большое количество HTTP-соединений и отправляет неполные заголовки, из-за чего сервер держит соединение открытым и ждет недостающих данных. Периодически атакующий досылает по одной строке заголовка, чтобы соединение не закрылось. Итог, по аналогии с прошлым видом, — исчерпание пула соединений.

R.U.D.Y. (R-U-Dead-Yet?)

Данный тип, в отличие от предыдущих двух, работает не с заголовками, а с телом запроса. В рамках атаки злоумышленник отправляет серверу POST-запрос, объявляя в заголовке Content-Length очень большой размер тела, после чего начинает передавать это тело экстремально медленно — буквально по несколько байт. Сервер добросовестно ждет обещанные данные, соединение остается занятым, и, как в предыдущих случаях, пул соединений исчерпывается.

Чем опасны L7-атаки: влияние на бизнес 

По последствиям для бизнеса L7-атаки не отличаются от L3-L4: в конечном итоге все они приводят к недоступности системы для обычных пользователей. Рассмотрим, какой у атаки может быть результат.

Финансовые потери

Чаще всего целью DDoS-атак становятся системы, которые обслуживают бизнес-функции, и даунтайм таких систем ведет к прямым финансовым потерям.

Операционные последствия

Атака длиной в несколько часов прерывает рабочие процессы, а разбираться с последствиями этого сбоя можно неделями. Такой операционный хаос тоже конвертируется в деньги, но со временем.

Репутационный ущерб

Недоступность системы в тот момент, когда она была нужна пользователю, приводит к потере его лояльности. Часть клиентов после этого просто уходит к конкурентам.

Потеря SEO-позиций

Во время атаки система становится недоступна не только для людей, но и для поисковых роботов. Они могут расценить это как исчезновение сайта и понизить его позиции в выдаче. Восстановление потребует времени и дополнительных затрат на SEO.

Неконтролируемый рост счетов за ресурсы при включенном автомасштабировании

Если вы арендуете вычислительные ресурсы в облаке и автомасштабирование включено без установленных лимитов, лавинный рост нагрузки приведет к соответствующему росту счета за инфраструктуру.

Как обнаружить L7-атаку 

Обнаружить L7 DDoS-атаку сложно — как мы уже говорили, маскировка трафика под легитимных пользователей является одним из этапов ее проведения. 

Тем не менее есть ряд признаков, по которым можно понять, что что-то не так:

• рост нагрузки на CPU/RAM и систему ввода-вывода без аномального роста объема трафика;
• резкий рост количества ошибок 5xx — сервер перестал справляться с запросами;
• рост времени ответа и падение конверсии при внешне нормальном трафике;
• смещение структуры запросов: общий RPS не изменился, но резко выросла доля обращений к «дорогим» методам — поиску, фильтрации, экспорту, авторизации;
• появление аномалий в логах (слишком много запросов с одинаковых IP или подсетей, большое количество одинаковых User-Agent, ровные интервалы между запросами как признак автоматизации);
• необычная география запросов — много обращений из стран, где вы не ожидаете большого количества пользователей.

Реагирование на атаку: что важно в первые минуты

Если у вас есть подозрение, что на систему началась атака, важно действовать оперативно. Разумный порядок действий здесь идет от сбора данных к точным блокировкам. 

1. Анализ логов и поиск паттернов

Первое, что нужно сделать — это понять, чем именно атака отличается от обычного трафика: какие эндпоинты под ударом, какие User-Agent и заголовки повторяются, откуда идут запросы. Без этого любые дальнейшие меры могут оказаться малоэффективными.

2. Отсечение очевидно нелегитимного трафика

Если профиль вашей аудитории в ходе атаки резко изменился, может выручить геоблокировка стран, из которых идет основной поток запросов. Даже если это затронет небольшой процент реальных пользователей, вы сохраните доступность для большинства и получите время на подготовку дополнительных мер противодействия.

3. Блокировки на основе выявленных аномалий

Здесь в дело идут результаты первого шага: специфические заголовки, характерный User-Agent, конкретный эксплуатируемый запрос. Чем точнее признак, тем меньше пострадает легитимный трафик.

4. Ограничение числа запросов на веб-сервере (rate-limits)

Это мера, которую всегда рекомендуется делать заранее, так как предварительное определение адекватных лимитов может помочь предотвратить атаку еще до ее возникновения.

5. Обращение к провайдеру защиты

Подключить защиту можно и во время атаки. Подробнее об этом — в отдельном разделе ниже.

Как защититься от L7-атак самостоятельно 

Первый путь, которым можно пойти, — самостоятельная реализация мер в вашей системе. Здесь есть несколько относительно простых в реализации механизмов.

Ограничение количества запросов

Это мера, о которой мы уже упомянули ранее, но не можем не затронуть ее тут. Адекватные рейт-лимиты на один IP, пользователя или устройство — это одна из самых эффективных мер противодействия. Таким образом мы не позволяем злоумышленнику направлять миллионы запросов со своих устройств. Лимиты стоит задавать дифференцированно: для тяжелых методов (поиск, экспорт, авторизация) они должны быть заметно строже, чем для отдачи статики.

Блокировка по геолокации

Если вы заранее знаете географию своих пользователей, потенциально нелегитимные регионы можно закрыть превентивно.

У подхода есть ограничения. Во-первых, атака может идти с той же территории, где находится большинство ваших пользователей, — и тогда мера бесполезна. Во-вторых, вы отрежете легитимных пользователей, которые, например, уехали за границу.

Капча и JS-проверки

Еще один способ противодействия автоматическим вредоносным запросам — вместо блокировки подозрительных пользователей показать им капчу. Чаще всего атакующие хосты указывают поддельный User-Agent и не используют реальный браузер, что не позволит им выполнить JS-код и пройти капчу.
Но иногда в атаках применяются эмуляторы браузеров, и с развитием ИИ капча становится менее надежной: автоматизированные агенты учатся проходить проверки. Кроме того, капча может ухудшить пользовательский опыт, что в перспективе снизит привлекательность вашей системы для простых посетителей. Важно показывать капчу не всем, а только тем сессиям, которые уже выглядят подозрительно.

Анализ типа браузера

Проверка User-Agent сама по себе малоэффективна: злоумышленники почти всегда подставляют значение, которое выглядит легитимным. Но определить список валидных клиентов и отклонять явно подозрительные значения все же стоит.

WAF

Превентивная подготовка инфраструктуры 

Кэширование и CDN 

Всегда, когда есть такая возможность, нужно реализовывать кэширование — особенно для тяжелых запросов, — а статику отдавать через CDN. Запрос статики часто эксплуатируется во время атак: сам запрос маленький, а данных в ответе много.

Оптимизация кода и запросов к БД

Функции и методы, которые сами по себе создают необязательную повышенную нагрузку, становятся первоочередной целью при L7 DDoS-атаке. Их стоит найти и оптимизировать до того, как это сделают за вас.

Ограничения самостоятельной защиты

Несмотря на то, что самостоятельная защита возможна, ее реализация имеет некоторые ограничения и сложности. Внедрение и администрирование всех указанных механизмов требует высоких трудозатрат, в том числе внеплановых, в случае необходимости реагирования на возникшую атаку. 

Помимо прочего, процесс реализации защиты может быть крайне сложным из-за умения современных ботов очень хорошо маскироваться под реальных пользователей. Выявление паттернов поведения ботов на базе только одной системы может быть недостаточным для обеспечения проактивной защиты от новых сценариев их поведения.
Из-за этих сложностей в реализации оптимальным выходом для защиты может стать использование специализированных решений.

Специализированные решения для защиты от L7-атак 

Специализированные продукты используют механизмы, о которых мы рассказали выше, и не только их. За счет узкой специализации на защите от DDoS такие решения оказываются эффективнее попыток построить защиту самостоятельно. Защитные решения при этом доступны в различных исполнениях, разберем основные.

On-premise решения

Обычно это программно-аппаратные комплексы, которые ставятся на границе сети и очищают поступающий трафик. Основной недостаток: при комбинированной атаке L3-L4 + L7 они не спасают, так как каналы связи исчерпываются раньше, чем трафик доходит до фильтра.

Защита от телеком-операторов и сервис провайдеров

Это защита, которая может предоставляться совместно с каналами связи и вычислительными ресурсами, которые вы арендуете у сервис-провайдеров. Однако подобная защита чаще всего реализуется на уровнях L3-L4, поскольку операторы фильтруют трафик средствами сетевого оборудования.

Примером такого решения является бесплатная базовая защита Selectel, которая обеспечивает защиту для всех услуг.

Облачные сервисы защиты

Облачные сервисы защиты — это решения с большими территориально распределенными сетями фильтрации, которые позволяют отражать атаки огромных объемов. Трафик переключается на защищенные IP оператора: сначала он приходит в сеть фильтрации, очищается, и только затем очищенный трафик попадает на ваши серверы.

Подключение возможно двумя способами: через DNS (изменение A- или CNAME-записи, обычный вариант для защиты L7) и через BGP-анонс вашей подсети (актуально в первую очередь для L3-L4).

Благодаря распределенности сетей операторов фильтрация происходит максимально близко к источнику атаки, что существенно снижает вероятность влияния на ваших пользователей.

Преимущества облачной защиты:

• глубокая экспертиза вендоров в вопросах защиты от DDoS — это их специализация;
• анализ атак в реальном времени на основе большой базы знаний вендора;
• масштабируемость (полосу защиты можно быстро наращивать под задачи бизнеса);
• быстрая реакция на начало атаки — обычно не более нескольких минут, что зачастую гораздо быстрее самостоятельного реагирования;
• гарантированные SLA по доступности вашей системы.

Как выбрать сервис защиты от DDoS на L7 

Репутация и опыт провайдера

Это основной момент, на который стоит обращать внимание при выборе вендора защиты от DDoS. Если оператор защиты уже давно работает на рынке и обладает хорошей репутацией, это признак того, что такой компании можно доверить свою защиту. 

Для популярных сервисов защиты в сети можно найти большое количество отзывов реальных пользователей, где они рассказывают о своем опыте взаимодействия и о том, как сервис справляется с различными атаками. Изучение такой информации  в дальнейшем поможет вам при принятии решения о выборе сервиса.

Модель лицензирования и стоимость

У разных вендоров модели тарификации существенно отличаются: кто-то считает по объему трафика, кто-то по количеству доменов или IP-адресов, кто-то сразу по всем параметрам. Решение стоит выбирать исходя из вашей архитектуры, нагрузки и задач.

Точки присутствия

Полезно заранее изучить, какой сетью фильтрации обладает вендор — обычно эта информация открыта. Точки фильтрации должны находиться максимально близко к вашим реальным пользователям: это обеспечит минимальную задержку при работе с сервисом.

Наличие дополнительных сервисов

Оцените, что еще может предоставить провайдер: CDN, WAF, защищенный DNS, антибот. Интегрированные с защитой от DDoS, эти сервисы дополнительно повышают безопасность вашей системы.

SLA

Можно ли подключить защиту во время атаки

Подключать защиту всегда рекомендуется заранее — так системы защиты успевают изучить профили поведения ваших реальных пользователей. Но если вы этого не сделали, это не означает, что вы остались с атакой один на один. Подключить защиту можно в любой момент, в том числе когда атака уже идет, и это так или иначе поможет в ее отражении.
Ранее мы уже обсудили, что важно сделать в первые минуты после обнаружения атаки, но еще одно действие, которое вы можете выполнить — это обращение к провайдерам защиты.

Чем может помочь Selectel

В статье мы уже упомянули о бесплатной базовой защите Selectel, но данное решение функционирует на уровнях L3-L4 и не защищает от L7 DDoS-атак. Если вам требуются решения для защиты от L7 DDoS, вы можете воспользоваться широким спектром партнерских решений, которые мы предоставляем нашим клиентам. У нас представлены надежные и проверенные временем сервисы:

• Curator;
• DDoS Guard;
• StormWall.

С тарифами и условиями предоставления данных сервисов вы можете ознакомиться на отдельной странице.

Заключение

В последние годы наблюдается явный тренд на рост количества, объема и длительности атак, что подтверждается многочисленными отчетами, в том числе отчетами Selectel.

L7 DDoS-атаки здесь не исключение — для них тоже видна отчетливая тенденция роста, поэтому вопросы защиты от них критически важны для любой компании, у которой есть ресурсы, доступные из интернета.