Гарда Anti‑DDoS: защита от DDoS‑атак L3-L4-L7 | Сертификация ФСТЭК

DDoS‑атака (Distributed Denial of Service - распределённая атака типа "отказ в обслуживании") - это когда злоумышленник через сеть заражённых устройств (ботнет) обрушивает на вашу инфраструктуру огромное количество ложных запросов. Они могут быть направлены на переполнение канала (объёмная атака), на исчерпание ресурсов сервера или на подавление работы конкретного веб‑приложения (прикладной уровень L7).

Современная DDoS‑защита перестала быть "дополнительной опцией" - она стала обязательным элементом инфраструктуры. Однако большинство решений сегодня - это облачные "войды" трафика, которые хорошо чистят мусор, но плохо понимают логику защищаемых приложений и часто не пригодны для работы в строго регулируемых средах (госинформсистемы, КИИ, ИСПДн). Именно на этом фоне разработчик "Гарда Технологии" последовательно усиливает свой продукт "Гарда Anti‑DDoS" - комплекс для фильтрации атак на уровнях L3-L7, который последние годы прошёл полный цикл сертификации ФСТЭК и вобрал в себя технологии машинного обучения, поведенческого анализа и глубокой фильтрации на уровне приложений.

Расшифровка терминов:

• КИИ - критическая информационная инфраструктура (объекты энергетики, транспорта, связи, финансов, государственного управления, выход из строя которых наносит существенный вред безопасности страны). ЗО КИИ расшифровывается как Значимый Объект Критической Информационной Инфраструктуры.
  1-я категория (наивысшая): Остановка объекта может привести к чрезвычайной ситуации государственного масштаба или нанести непоправимый ущерб безопасности страны.
  2-я категория: Нарушения могут вызвать чрезвычайную ситуацию на уровне региона или нанести значительный экономический ущерб.
  3-я категория: Последствия могут быть серьезными, но ограничиваются отраслью, предприятием или муниципалитетом.
• ИСПДн - информационная система персональных данных (любая система, где обрабатываются персональные данные граждан РФ).
• ГИС - государственная информационная система.
• ФСТЭК - Федеральная служба по техническому и экспортному контролю. Это федеральный орган исполнительной власти России, который:
  - Устанавливает требования к защите информации в государственных информационных системах, объектах критической информационной инфраструктуры (КИИ) и системах обработки персональных данных (ИСПДн).
  - Сертифицирует средства защиты информации (например, анти‑DDoS системы) по уровням доверия и классам защиты.
  - Наличие сертификата ФСТЭК означает, что продукт официально разрешён для использования в особо важных объектах (ГИС 1 класса, ЗО КИИ 1 категории и т.д.).
• Ботнет - это сеть из заражённых компьютеров, смартфонов, серверов или "умных" устройств (например, IP‑камер), которые злоумышленник контролирует удалённо без ведома владельцев. Каждое устройство в такой сети называется ботом или "зомби". Команды ботнету отдаются через C&C‑серверы (Command & Control). Размер современных ботнетов может достигать миллионов устройств. Ботнеты используются для:
  - Массовых DDoS‑атак (тысячи устройств одновременно шлют запросы на цель);
  - Рассылки спама;
  - Взлома паролей методом перебора;
  - Майнинга криптовалют.

Виды DDoS атак

DDoS‑атаки L1, L2, L3, L4, L5, L6, L7 - это классификация атак по уровням модели OSI (Open Systems Interconnection - семиуровневая модель взаимодействия открытых систем). Каждый уровень отвечает за свою часть передачи данных:

• L1 (физический уровень) - это самый низкий и, пожалуй, самый "варварский" способ нарушения работы сети. Если объяснять просто: здесь злоумышленник атакует не компьютер, не сервер и даже не программное обеспечение, а физический носитель сигнала - кабели, разъёмы, радиоволны.
• L2 (канальный уровень) - это тип атаки, направленный на оборудование, работающее в пределах одного сегмента сети (например, коммутаторы, Wi-Fi точки доступа), а не на маршрутизаторы или серверы в интернете. L2 в модели OSI отвечает за передачу кадров между устройствами в локальной сети, используя MAC-адреса. Большинство облачных DDoS-защит не видят L2-атаки, потому что работают на уровнях L3-L7 в интернете. Для защиты от L2 нужны средства внутри самой инфраструктуры: настройки безопасности коммутаторов (port security, BPDU guard, DHCP snooping, защита от MAC-флуда) или специализированные системы обнаружения вторжений (IDS/IPS) в локальной сети.
• L3 (сетевой уровень, Network Layer) - здесь злоумышленники атакуют маршрутизацию пакетов. Примеры: UDP‑флуд (отправка огромного количества пакетов протокола UDP на случайный порт), ICMP‑флуд (пинг‑атака). Цель — заполнить канал связи "мусором".
• L4 (транспортный уровень, Transport Layer) - атаки на установку и завершение соединений. Классика: SYN‑флуд (отправка только первого пакета рукопожатия TCP без продолжения, сервер держит полуоткрытые соединения, пока не исчерпает ресурсы). Сюда же относят ACK‑флуд, RST‑флуд.
• L5 (сеансовый уровень, атаки на управление диалогом). Злоумышленник не забивает канал трафиком, а эксплуатирует сам протокол управления сеансом. Цель - заставить сервер держать тысячи "условно активных" сеансов в ожидании, пока не кончатся ресурсы (память, дескрипторы, потоки). Классический пример - атака "Session Flood": ботнет инициирует множество сеансов, отправляет минимальный сигнал "я здесь", но никогда не завершает соединение. Сервер ждёт таймаут (иногда минуты), а в это время новые легитимные пользователи не могут подключиться.
  Другой пример - эксплуатация уязвимостей в протоколах RPC (удалённого вызова процедур) или NetBIOS. Атакующий отправляет специально сформированные пакеты, которые нарушают логику управления сеансом, вызывая сбой.
• L6 (уровень представления, атаки на преобразование данных). Здесь атаки направлены на этап, когда данные "приводятся к общему виду". Например, при использовании SSL/TLS (шифрование) злоумышленник может инициировать многократные рукопожатия без передачи полезной нагрузки, заставляя сервер тратить время на криптографические операции. Это называется "TLS renegotiation flood" - пересогласование параметров шифрования сотни раз в секунду.
  Другой вектор - отправка данных в нестандартном, поломанном формате (например, неправильная кодировка, нарушенная структура XML/JSON). Сервер пытается распарсить, преобразовать, валидировать - и тратит огромные ресурсы CPU на обработку мусорных данных.
• L7 (прикладной уровень, Application Layer) - самый сложный тип. Атака имитирует поведение реальных пользователей, но с огромной частотой. Примеры: HTTP‑флуд (тысячи запросов одной и той же тяжёлой страницы в секунду), Slowloris (медленное открытие множества соединений по частям), запросы к API с нелепыми параметрами. Цель - не забить канал, а исчерпать процессорное время и память веб‑сервера, базы данных.

Ключевая информация о продукте Гарда Anti‑DDoS

Что защищает Гарда Anti‑DDoS, и для кого предназначена.

Что такое "Гарда Anti‑DDoS"

"Гарда Anti‑DDoS" - это программный комплекс, предназначенный для защиты сетевой инфраструктуры от сложных комбинированных DDoS‑атак на уровнях L3-L7 (от сетевого до прикладного). Он способен работать как в сети оператора связи (масштаб национального провайдера), так и на стороне корпоративного заказчика, защищая IT‑инфраструктуру предприятия. По оценкам самой компании, более 50 % российского сегмента интернета уже защищено при участии её продуктов; решения "Гарды" используются для безопасности цифровых сервисов и мероприятий федерального масштаба.

Для кого предназначен продукт "Гарда Anti‑DDoS"

"Гарда Anti‑DDoS" востребован в отраслях, где недоступность сервисов приводит к прямым финансовым потерям или репутационному ущербу:

• Финансовый сектор - банки, платёжные системы, инвестиционные платформы.
• Телеком-операторы и хостинг-провайдеры - защита инфраструктуры и клиентских сегментов.
• Государственные организации и объекты КИИ - для выполнения требований регуляторов (ФСТЭК, 152‑ФЗ, приказы № 17, № 239).
• Крупные промышленные предприятия, e‑commerce, СМИ и др.

История и эволюция "Гарда Anti‑DDoS"

"Гарда Anti‑DDoS" развивается с середины 2010‑х годов и изначально разрабатывался как российская альтернатива зарубежным системам. Продукт регулярно обновляется, а в 2024-2025 годах были внесены наиболее значимые изменения: добавлена фильтрация по содержимому TCP/UDP пакетов, поддержка произвольных атрибутов для правил детекции, улучшены механизмы выявления ковровых DDoS‑атак (Carpet Bombing), реализован модуль L7‑экран. В 2026 году продукт прошёл повторную сертификацию ФСТЭК по ужесточённым требованиям.

Технологии фильтрации и ключевые возможности "Гарда Anti‑DDoS"

Многоуровневая фильтрация L3-L7 (сетевой - прикладной уровни)

Система фильтрует трафик на всех уровнях модели OSI:

• L3-L4 - отражение объёмных атак (UDP‑флуд, SYN‑флуд, ICMP‑флуд, амплификационные атаки).
• L5-L6 - контроль сеансовых протоколов, защита от истощения таблиц соединений.
• L7 (прикладной уровень) - анализ HTTP/HTTPS, защита веб‑приложений, API, DNS, SIP.

"L7‑экран" - фильтрация шифрованного трафика без блокировки IP

Версия 2026 года включает новый модуль L7‑экран, который работает с шифрованным трафиком (HTTPS) на уровне приложений. Его ключевое преимущество - возможность обнаружить и остановить вредоносные веб‑запросы без блокировки IP‑адреса источника, что исключает случайное отсечение легитимных посетителей, пользующихся прокси или NAT. Инструмент особенно ценен для интернет‑магазинов, платформ бронирования, платёжных систем и мобильных приложений, где точность фильтрации напрямую влияет на клиентский опыт.

Глубокая фильтрация содержимого TCP/UDP

У системы есть возможность фильтровать трафик прямо по содержимому пакета (payload‑фильтрация) с использованием регулярных выражений (regex). Это позволяет создавать до пяти правил на один объект защиты, причём разный трафик обрабатывается разными регулярными выражениями, что повышает точность. Такой механизм жизненно необходим, например, при защите DNS от туннелирования данных или при блокировке скрытых каналов в SIP/RTP (протоколы VoIP/видеоконференций).

Отражение ковровых DDoS‑атак (Carpet Bombing)

В отличие от классической DDoS, ковровая атака бьёт не по одному IP, а распределённо по всей адресной маске подсети. И традиционный мониторинг хостов её просто не замечает, потому что нагрузка на отдельный узел выглядит незначительной. "Гарда Anti‑DDoS" умеет выявлять такие атаки за счёт мониторинга целых подсетей, а не отдельных IP, и время такого обнаружения значительно сократилось благодаря тонким настройкам для объектов и их сегментов.

Облачная сигнализация pSignal 2.0 и BGP FlowSpec

Для эшелонированной защиты (операторский + клиентский уровни) используется протокол облачной сигнализации pSignal 2.0. При обнаружении атаки:

• Клиентский комплекс автоматически подключает к отражению операторский уровень защиты.
• Один клиентский комплекс может координироваться сразу с несколькими операторскими, что особенно важно для дата‑центров и хостинг-провайдеров.
• Для маршрутизации правил фильтрации применяется BGP FlowSpec (Border Gateway Protocol Flow Specification) - современный стандарт, позволяющий передавать через BGP правила фильтрации на пограничные маршрутизаторы. Это даёт возможность блокировать атакующий трафик на максимально раннем этапе, не затрачивая ресурсы центра очистки.

Фильтр коротких TCP‑сессий

Новый метод подавления атак снижает нагрузку на системы заказчика за счёт блокировки множества коротких TCP‑соединений, в которых не передаются данные (так называемые "нулевые окна"). Этот механизм особенно эффективен против инструментов типа Slowloris и "медленных" атак, цель которых не забить канал, а занять все доступные соединения на сервере.

Анализ фонового шума и поведенческие модели

Алгоритм обнаружения атак стал включать каскадный подход: сигнатурный анализ → метрики → машинное обучение. В результате трафик автоматически относится к одной из трёх категорий:

• Фоновый шум
• Нормальное поведение
• Потенциально вредоносные запросы

Такая классификация снижает количество ложных срабатываний и даёт специалисту ясную картину происходящего в сети, что критично для крупных инфраструктур с разнородным трафиком.

Искусственный интеллект и машинное обучение

Как "Гарда Anti‑DDoS" самообучается для более эффективного отражения атак.

Поиск аномалий без учителя (Unsupervised Anomaly Detection)

Новое в версии 2025 года - модель выявления подозрительных хостов, которая не требует обучения на предварительно размеченных атаках. Она сама выделяет аномалии в структуре запросов, что позволяет оперативно реагировать на редкие типы угроз (zero‑day DDoS), которые не описаны в сигнатурных базах.

Машинное обучение на журналах веб‑серверов

Глубокая интеграция с логами NGINX, Apache и других веб‑серверов. Система анализирует исторические данные, автоматически профилирует объекты защиты по ключевым параметрам (протоколы, объём трафика, клиенты, страны, TCP‑флаги) и на основе этих профилей отклоняет запросы, не соответствующие привычному поведению пользователя.

Использование TLS-отпечатков (JA3 / JA4)

В систему добавлена поддержка TLS-отпечатков нового типа - JA4. Это цифровой "слепок" параметров TLS‑рукопожатия, который позволяет отличать легитимного клиента от бота даже без расшифровки содержимого сессии. Механизм помогает выявлять вредоносные соединения в зашифрованном трафике, не требуя наличия частных SSL‑ключей.

Варианты масштабирования и внедрения Гарда Anti‑DDoS

Две базовые архитектуры: операторская vs корпоративная

Гарда Anti‑DDoS предлагает два варианта инсталляции:

• Операторский уровень - разворачивается на сетях связи и дата‑центрах для защиты большого количества клиентов и транспортной инфраструктуры (обычно в связке с BGP FlowSpec).
• Корпоративный уровень - устанавливается на площадке отдельного предприятия для защиты его IT‑сервисов, сайтов, API и т.д.

Облачная сигнализация pSignal 2.0 и горизонтальное масштабирование

При резком росте нагрузки корпоративный комплекс через pSignal 2.0 автоматически подключает операторский уровень, не требуя дополнительных лицензий или остановки сервиса. Кроме того, поддерживается каскадирование, когда один клиентский комплекс защищается сразу несколькими операторскими.

Интеграция с внешними системами и API

"Гарда Anti‑DDoS" интегрируется с межсетевыми экранами, балансировщиками нагрузки, SIEM-системами (Security Information and Event Management - системы сбора и анализа событий информационной безопасности). Управление может осуществляться через веб‑интерфейс, командную строку и REST API, что позволяет вписывать систему в уже существующие процессы DevOps и оркестрации.

Поддержка аврального режима работы

Интерфейс теперь отображает количество уникальных атакованных IP по каждому вектору ковровой атаки. Это точнее показывает масштаб воздействия и помогает администраторам принимать решения о дополнительной фильтрации, не тратя время на анализ сырых логов.

Безопасность Гарда Anti‑DDoS и соответствие регуляторам

Сертификация ФСТЭК 2026 года (4 уровень доверия / 4 класс защиты)

В феврале 2026 года "Гарда Anti‑DDoS" прошёл полный цикл испытаний в аккредитованной лаборатории ФСТЭК России (Федеральная служба по техническому и экспортному контролю) и получил сертификат соответствия. Он подтверждает выполнение требований:

• 4 уровня доверия для средств технической защиты информации (приказ № 76);
• 4 класса защиты для средств противодействия атакам на отказ в обслуживании (приказ № 132 с изменениями 2025 года).

Благодаря этому продукт может применяться в системах с высокими требованиями: ГИС 1 класса, ИСПДн 1 уровня и значимых объектах критической информационной инфраструктуры (ЗО КИИ) 1 категории включительно.

Обновлённые требования 2025 года

С 2025 года регулятор ужесточил требования к средствам защиты от DDoS - в частности, усилил критерии к безопасности разработки и порядку тестирования. Команда "Гарды" адаптировала под них продукт и документацию, расширила функциональность и повысила стабильность работы в промышленной эксплуатации.

Ценообразование, лицензирование и доступность Гарда Anti‑DDoS

"Гарда Anti‑DDoS" не продаётся как "услуга за 5 тысяч рублей" (как облачные WAF для малого бизнеса). Продукт - комплексный, чаще всего поставляется perpetual‑лицензией (постоянное право использования) с ежегодной технической поддержкой. Формула цены зависит от:

• защищаемой пропускной способности канала (в Гбит/с);
• количества защищаемых объектов (IP/подсетей/доменов);
• варианта развёртывания (корпоративный vs операторский);
• наличия сертификации ФСТЭК (включена в базовые поставки для госзаказчиков).

Примерная стоимостная вилка: для крупного предприятия с каналом от 1 Гбит/с нужно рассчитывать на бюджет от нескольких миллионов рублей одномоментно или на лизинг с пометкой Enterprise. Для точного коммерческого предложения необходимо заполнить опросный лист у аккредитованного партнёра "Гарда".

Где заказать / купить: на сайте garda.ai, через партнёрскую сеть (например, "СиСофт" / "Инфосистемы Джет"), через тендерные процедуры (44‑ФЗ, 223‑ФЗ) для госзаказчиков и КИИ.

Отзывы и опыт внедрения (обобщённо)

Прямых публичных отзывов на сторонних площадках немного в силу корпоративной специфики (NDA). Однако из открытых комментариев на профильных форумах (Anti‑Malware, tadviser, CNews) и кейс‑стади в пресс‑релизах "Гарды" часто фигурируют:

• Финансовая организация (банк из топ‑20): после внедрения "Гарда Anti‑DDoS" снизилось количество ложноположительных срабатываний на API на 30 %, а время отражения L7-атаки за счёт L7-экрана и определителей JA4 - сократилось с нескольких минут до секунд.
• Телеком-провайдер (федеральный уровень): интеграция pSignal 2.0 позволила автоматически подключать к отражению распределённые центры очистки без участия инженеров. Атака в 400 Гбит/с была купирована до того, как нагрузка легла на пользовательское оборудование.
• Государственный портал (КИИ 1‑й категории): сертификат ФСТЭК закрыл требования регулятора, и комплекс был принят без замечаний по безопасности, что позволило эксплуатировать систему в защищённом сегменте сети.

Часто задаваемые вопросы (FAQ)

Можно ли использовать "Гарда Anti‑DDoS" без разрыва SSL (не передавая сертификаты)?
Да. L7‑экран и механизмы JA3/JA4 анализируют метаданные TLS‑соединений, а не содержимое трафика. Для построения поведенческих профилей расшифровка не нужна, что критично для финансовых организаций и КИИ.

Решение защищает от ботов и парсинга?
Не прямо. Для автоматизированного спама, брутфорса и API‑злоупотреблений требуется отдельный WAF или средства API Security. Компания предлагает "Гарда WAF" для защиты от SQL‑инъекций, XSS, эксплуатации уязвимостей веб‑приложений и нежелательных ботов.

Можно ли сначала протестировать продукт?
Да, "Гарда" предоставляет возможность тестового внедрения на ограниченный период (обычно до 30 дней) по запросу через официальный сайт или партнёра. На стенде проверяется детекция атак, настройка правил и поведение системы под нагрузкой.

Почему продукт позиционируется для крупного бизнеса и госсектора?
Из‑за сложности внедрения, ресурсоёмкости и требований к экспертизе. Для небольшого сайта будет избыточен; малый бизнес лучше рассматривать облачные DDoS‑сервисы (DDoS‑Guard, StormWall).

Экспертное резюме: кому подходит "Гарда Anti‑DDoS"

"Гарда Anti‑DDoS" - профессиональный, технически продвинутый программный комплекс для эшелонированной защиты от DDoS всех типов. Он не пытается быть "дешёвым и простым"; его сила - в глубокой фильтрации на всех уровнях (L3-L7), поддержке ковровых атак, возможности фильтрации по содержимому пакетов и встроенном анализе на базе машинного обучения.

Идеальный портрет клиента:

• Оператор связи, дата‑центр, хостинг-провайдер, которому нужна защита не только клиентских сайтов, но и транспортной сети.
• Госорганы, объекты КИИ (критической информационной инфраструктуры), финансовые организации, обязанные использовать сертифицированные средства защиты с определённым классом / уровнем доверия ФСТЭК.
• Крупные корпорации, чьи сервисы не могут позволить себе простои из‑за атак уровня L7 или ковровых бомбардировок, и имеющие внутреннюю ИБ-команду.

Если ваш бюджет ограничен, а защищать нужно один‑два сайта, стоит присмотреться к классическим облачным сервисам (без офлайн‑инсталляции). Но если вам нужна система, на которую вы опираетесь годами, которая стоит "внутри" контура и при этом закрывает жёсткие требования регуляторов, - "Гарда Anti‑DDoS" сейчас, вероятно, единственный полнофункциональный сертифицированный комплекс в своём классе на российском рынке.