DDoS-атаки 2026 года стали массовее и мощнее на прикладном уровне, а атакующие научились держаться ниже порогов, под которые пару лет назад настраивались фильтры. Для бизнеса вопрос не в рекордах из отчётов, а в часах простоя сайта, личного кабинета или опубликованной 1С. Разберём данные первого полугодия и стратегию защиты, в которой anti-DDoS и WAF закрывают разные риски.
Чем атаки первого полугодия 2026 года опасны для бизнеса
Цифры разных вендоров нельзя складывать и напрямую сравнивать: каждый считает по своей методике и видит только своих клиентов. Надёжнее смотреть на направление трендов.
- DDoS-Guard, отчёт за первое полугодие 2026 года: рекорд за всё время наблюдений — 540 тыс. атак уровня L7 в июне, на 300% больше, чем в июне прошлого года.
- В марте правоохранители США, Канады и Германии отключили инфраструктуру ботнетов Aisuru, KimWolf, JackSkid и Mossad, но атак меньше не стало.
- Обзор Selectel за первое полугодие 2026 года: отражено 88 618 атак, доля атак с применением ИИ выросла до 34%.
- Мультивекторность, то есть сочетание сетевого флуда и запросов к приложению в одной атаке, отмечается во всех крупных отчётах.
Что эти тренды меняют в требованиях к защите
- Высокораспределённые атаки. Блокировать адреса вручную или по спискам бесполезно. Нужна автоматическая фильтрация по признакам пакетов и поведению, а ёмкость узлов очистки должна многократно превышать полосу канала.
- Рост L7-атак. При защите по требованию (on-demand) или оплате за объём очищенного трафика многодневная атака становится заметной статьёй расходов. Для публичных сервисов предсказуемее постоянная защита (always-on) с фиксированной ценой.
- Маломощные фоновые атаки. Они не достигают порогов срабатывания, поэтому статичные пороги по pps (пакетам в секунду) их пропускают — нужны адаптивные профили нормального трафика.
- ИИ-боты. Они меняют заголовки, выдерживают паузы и проходят простые проверки. Нужен поведенческий анализ сессии и отпечатки TLS-клиента.
- Мультивекторность. Защита только одного уровня оставляет второй открытым.
Как выстроить эшелонированную защиту сети и веб-приложений
Оборона строится из двух эшелонов, у каждого свой класс рисков, и ни один не заменяет другой.
Сетевой уровень: очистка трафика от объёмных атак
На уровнях L3/L4 задача — не пустить паразитный трафик в канал. UDP-флуд, SYN-флуд и отражённые атаки с усилением через DNS или NTP переполняют полосу раньше, чем локальный межсетевой экран успевает что-либо проанализировать, поэтому отражать их можно только на стороне провайдера. Трафик заводится в центр очистки через BGP-анонс или защищённый адрес и доставляется к инфраструктуре уже чистым.
Под удар попадает не только сайт, но и VPN-шлюзы, веб-доступ к 1С и почтовые серверы. Отдельно уточните у провайдера, где физически очищается трафик: для систем с персональными данными по 152-ФЗ площадки в России снимают значительную часть вопросов.
Прикладной уровень: зачем нужен WAF, если уже есть anti-DDoS
HTTP-флуд выглядит как обычные запросы, поэтому сетевой фильтр его пропускает. WAF разбирает содержимое запросов: замечает всплески обращений к ресурсоёмким точкам (поиск, авторизация, API корзины), ограничивает частоту и отсекает клиентов, которые ведут себя не как люди. Для API и мобильных приложений JS-проверка нарушает работу, поэтому нужны отдельные правила с лимитами по токенам.
Для ресурсов в облаке Cloud4U оба эшелона закрывает сервис защита от DDoS с WAF. Ресурсам выделяется защищённый IP или кластер адресов, весь входящий трафик очищается с первого пакета, а запросы к приложениям проходят через WAF с анализом HTTP/HTTPS, DNS и SIP. Сервис подключается к IaaS без переноса данных и закупки оборудования, так что защиту можно включить до атаки.
За клиентом остаётся одна задача: скрыть реальный адрес исходного сервера (origin). Он утекает через историю DNS, забытые поддомены, заголовки почты и журналы выпуска сертификатов, а атака прямо на него обходит оба эшелона. Минимальные меры:
- сменить адреса серверов;
- принимать входящие соединения только с узлов очистки;
- вынести почту на отдельный адрес.
Стратегия защиты от DDoS в 2026 году держится на трёх элементах: постоянной очистке на сетевом уровне, WAF с поведенческим анализом и закрытом исходном сервере. Если хотя бы одного из них нет, исход атаки зависит от вектора, который выберет атакующий.
