Пару проектов подряд получил в подарок по полной программе — ддос. В итоге пришлось всерьёз разбираться, что реально помогает, а что чисто на бумаге. Начал с облачных защит типа Cloudflare и подобных — с базовым уровнем защиты вроде не плохо, но если атака на уровне гигабит, то без прокачанных правил и доп.фильтров быстро проседает. Потом добавил собственный файрвол и rate limiting на уровне сервера — сразу стало меньше шума, но сложнее настроить, чтобы нормальный трафик не слёг.

Пару раз ловил DDOS «внутри» сети — тут уже железо и маршрутизация решают. Например, использование ACL и черные списки на сетевом оборудовании здорово снижает нагрузку. И да, если есть возможность, стоит задействовать провайдерские антиддос-сервисы — они могут фильтровать ещё до входа на ваш сервер.

Самое странное — наблюдения, что классический SYN flood или UDP flood сегодня не всегда работают так, как раньше. Всё больше «умных» ддос с легитимным трафиком или сессиями, которые сложно отличить. Значит, чистый трафик надо смотреть в связке с поведенческим анализом и даже лёгкой автоматизацией.

В общем, в антивирусных и фаерволах надо дополнять защиту скриптами и живым мониторингом, иначе быстро «прогоришь». Сейчас в моем арсенале — облако + honeypot-сервисы + внутренние фильтры + провайдерская помощь. Важно держать баланс между защитой и юзабилити, иначе сами клиенты пожалуются.

Кто что ещё использует? Особых бьют по UDP или чаще классика? И как с поведенческим анализом у вас?