объём против логики приложенияvolume vs application logic

DDoS

Volumetric (L3/L4) vs application-layer (L7), ботнеты как инфраструктура атаки, защита: anycast, scrubbing centers, rate limiting. Частый первый вектор или отвлекающий манёвр против бирж и публичных API. Каркас: 11 карточек, страницы ещё не написаны.Volumetric (L3/L4) vs application-layer (L7), botnets as attack infrastructure, defense: anycast, scrubbing centers, rate limiting. A common first vector or a diversion against exchanges and public APIs. Skeleton: 11 cards, pages not yet written.

Типы атакAttack types

по уровню модели OSIby OSI layer

Volumetric-атаки (L3/L4)Volumetric attacks (L3/L4)UDP flood, ICMP flood, SYN flood — цель насытить канал или таблицу соединений, а не логику приложения. Измеряются в bps/pps.UDP flood, ICMP flood, SYN flood — the goal is to saturate the link or the connection table, not application logic. Measured in bps/pps.interview Amplification / reflectionAmplification & reflectionDNS/NTP/memcached amplification — спуфинг source IP жертвы, ответ сервера в разы больше запроса. Amplification factor как метрика опасности протокола.DNS/NTP/memcached amplification — spoofing the victim's source IP, the server's reply is many times larger than the request. Amplification factor as the danger metric of a protocol. Application-layer (L7)Application-layer (L7)HTTP flood, slowloris — низкий объём трафика, но дорогие для сервера запросы (поиск, авторизация, генерация отчётов). Труднее отличить от легитимной нагрузки.HTTP flood, slowloris — low traffic volume but expensive server-side requests (search, auth, report generation). Harder to tell apart from legitimate load.interview Атаки на дорогие эндпоинтыTargeting expensive endpointsТочечный флуд по эндпоинтам с высокой стоимостью вычисления (order book snapshot, аутентификация, поиск) — эффективнее общего flood против бирж и API.Targeted flooding of computationally expensive endpoints (order book snapshots, auth, search) — more efficient than generic flood against exchanges and APIs.

Инфраструктура атакиAttack infrastructure

откуда берётся трафикwhere the traffic comes from

BotnetsМассивы заражённых устройств под единым C2, координированная отправка трафика на цель. Экономика аренды ботнета на чёрном рынке.Arrays of infected devices under one C2, coordinated traffic sent at a target. The economics of renting a botnet on the black market. IoT-ботнеты и Mirai& MiraiСлабые дефолтные пароли роутеров, камер, DVR как источник огромной вычислительной массы; Mirai и его форки как эталонный случай атаки на Dyn и OVH.Weak default passwords on routers, cameras, DVRs as a source of massive compute; Mirai and its forks as the canonical case behind the Dyn and OVH attacks. Booter/stresser сервисыservicesDDoS-as-a-Service под видом «легального стресс-тестирования» — низкий порог входа, оплата криптой, готовые панели управления.DDoS-as-a-Service disguised as "legal stress testing" — low barrier to entry, crypto payment, ready-made control panels.

ЗащитаDefense

поглощение, фильтрация, ограничениеabsorb, filter, limit

Anycast и scrubbing centers& scrubbing centersРаспределение трафика по множеству точек присутствия через anycast, очистка трафика в scrubbing center до того, как он дойдёт до origin-сервера.Spreading traffic across many points of presence via anycast, cleaning traffic in a scrubbing center before it reaches the origin server. Rate limiting и SYN cookies& SYN cookiesОграничение частоты запросов на уровне IP/сессии, SYN cookies как защита от SYN flood без хранения состояния соединения.Limiting request rate at the IP/session level, SYN cookies as a way to survive SYN flood without keeping per-connection state. CDN как щитas a shieldКэширование и приём трафика на edge-узлах CDN скрывает origin IP и снижает нагрузку на реальную инфраструктуру.Caching and absorbing traffic at CDN edge nodes hides the origin IP and reduces load on real infrastructure. DDoS как отвлекающий манёврDDoS as a diversionШумная атака заваливает алерты SOC, пока незаметное вторжение (кража ключей, подмена вывода средств) идёт по другому вектору — частый паттерн против бирж.A noisy attack floods the SOC's alerts while a quieter intrusion (key theft, withdrawal tampering) proceeds through another vector — a common pattern against exchanges.

статусstatus

Это каркас: 11 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 11 cards are locked in, pages not yet written.