Во время внезапной недоступности не начинайте с блокировки всех внешних адресов. Сначала соберите факты: когда начались ошибки, какие страницы не открываются, выросли ли сетевой трафик и число запросов, что видно в журналах и какие серверы затронуты. Не ждите.

Что может выглядеть как DDoS

Высокая нагрузка CPU сама по себе не доказывает атаку. Причиной могут быть релиз, неудачный запрос к базе, ошибка кеша, индексирование, перегрузка одного ресурса или проблема у DNS-провайдера. Сопоставьте график запросов с ошибками приложения, сетевыми метриками и последними изменениями.

CISA, FBI и MS-ISAC в руководстве по пониманию и реагированию на DDoS, проверенном 8 октября 2026 года, рекомендуют установить характер трафика, задействованные адреса и сервисы, сверять загрузку CPU и памяти с сетевыми журналами, согласовать меры с провайдером. Во время атаки также важно наблюдать за другими системами: перегрузка одного узла может отвлекать от параллельного инцидента.

Первые действия

1. Зафиксируйте время начала, домены, симптомы, коды ошибок и графики трафика. 2. Проверьте DNS и внешний HTTP-ответ с нескольких сетей. 3. Сохраните журналы до изменения конфигурации, если хранилище не переполняется. 4. Свяжитесь с оператором сети или хостинг-провайдером и передайте интервалы, адреса назначения и известные признаки. 5. Не отключайте рабочие сервисы и не применяйте случайные правила без проверки влияния на легитимных пользователей.

Если провайдер подтверждает сетевую атаку, локальный firewall может не справиться с объемом трафика до его узла. Узнайте, какие сетевые меры доступны на канале и кто их включает. Не приписывайте тарифу «защиту от любого DDoS» без точного описания уровней и ограничений.

После DDoS

Сравните время сбоя с метриками и журналами. Затем проверьте DNS, кеш, резервные копии и фоновые задачи. Не забудьте остальные узлы: CISA предупреждает, что DDoS может отвлекать от второго инцидента.

Заранее запишите контакты провайдера и тех, кто вправе менять правила. Где лежат логи? Как отменить изменение? Для общей защиты есть раздел DDoS-защиты, но проверяйте обещания по документации конкретной услуги. Мы не измеряли атаки, не собирали отзывы и не выбираем «лучшего» оператора.