DDoS-attacker: vad de är, hur du känner igen en och hur du skyddar din webbplats

En DDoS-attack (Distributed Denial of Service) är ett försök att göra en webbplats eller tjänst otillgänglig genom att översvämma den med trafik. Tänk dig en butik där tusentals personer som inte vill köpa något trängs vid dörren, så att riktiga kunder inte kommer in. "Folkmassan" är ett nätverk av infekterade datorer och enheter, ett så kallat botnät, som angriparen styr.

Syftet är sällan att stjäla data. Det är att orsaka driftstopp, kräva pengar, skada en konkurrent eller avleda ditt IT-team från en andra attack.

Så märker du att du är under attack

• Webbplatsen blir mycket långsam eller öppnas inte alls, trots att inget ändrats.
• Trafiken ökar plötsligt från några få länder eller adresser, ofta på natten, utan att ordrarna ökar.
• Servern använder nästan hela processorn eller minnet, eller får slut på anslutningar.
• Ditt webbhotell skickar en varning om ovanlig belastning.
• Kunder rapporterar att de inte når er.

Var försiktig: en plötslig framgång, som ett viralt inlägg eller en stor kampanj, kan se likadan ut. Kontrollera din analys och dina loggar innan du bestämmer dig.

Varför attacker beställs

• Utpressning: "betala, annars håller vi butiken nere".
• Illojal konkurrens, särskilt före rea- och högsäsong.
• Hämnd eller aktivism.
• Ett rökridå medan något annat hackas.

Huvudtyper

• Volymattacker (som UDP- och ICMP-flood): fyller hela anslutningen med skräptrafik.
• Protokollattacker (som SYN-flood): tömmer serverns förmåga att öppna nya anslutningar.
• Applikationsattacker (HTTP-flood, långsamma anslutningar som Slowloris): ser ut som vanliga besökare men överbelastar själva webbplatsen, till exempel med tusentals sök- eller inloggningsförfrågningar.

Applikationsattacker är svårast att upptäcka eftersom varje förfrågan ser harmlös ut.

Så skyddar du din webbplats

1. Sätt ett skyddslager framför sajten. Ett CDN eller en DDoS-skyddstjänst (många har gratis eller billiga planer) tar emot skräptrafiken och släpper bara igenom riktiga besökare. För de flesta små företag är det det enskilt mest effektiva steget.
2. Välj webbhotell med skydd inkluderat och fråga vad det täcker och vad som händer under en attack.
3. Använd en webbapplikationsbrandvägg (WAF) med hastighetsgränser, så att en adress inte kan skicka hundratals förfrågningar per sekund.
4. Cacha sidor så att de flesta förfrågningar besvaras utan tungt arbete för servern.
5. Dölj serverns verkliga adress, till exempel bakom CDN:et, och lämna inte gamla direktadresser öppna.
6. Håll programvaran uppdaterad och stäng tjänster du inte använder.
7. Ha reservkapacitet, så att en vanlig topp inte fäller sajten.
8. Övervaka och larma. Få ett meddelande när sajten ligger nere eller belastningen hoppar, så att du agerar på minuter.

Vad du gör under en attack

1. Bekräfta att det är en attack och inte en vanlig topp.
2. Kontakta ditt webbhotell eller din skyddsleverantör direkt.
3. Slå på det strängaste skyddsläget och blockera de uppenbara källorna.
4. Informera teamet och kunderna lugnt: ett kort meddelande i sociala medier eller per e-post undviker panik.
5. Spara loggar för senare analys, och för polisen om attacken åtföljs av ett utpressningskrav. Betala inte.

Förbered dig innan det händer. En testad plan och ett skyddslager på plats kostar mycket mindre än en dags förlorad försäljning.