WAF та захист від DDoS: у чому різниця та як організувати багаторівневий захист веб-додатків

23.08.2026, 22:07 expert.com.ua

Для онлайн-бізнесу доступність сайту — це лише половина завдання. Веб-додаток може продовжувати відповідати на запити й одночасно піддаватися спробам експлуатації вразливостей, підбору облікових даних або атакам на API. Можливий і зворотний сценарій: сам додаток захищений від типових веб-експлойтів, але інфраструктура не витримує величезного обсягу шкідливого трафіку.

Тому WAF і DDoS Protection не можна вважати взаємозамінними технологіями. WAF аналізує запити до веб-додатка та блокує небезпечні дії на рівні додатка, а DDoS-захист призначений насамперед для забезпечення доступності сервісу під час атак, що створюють надмірне навантаження.

WAF (Web Application Firewall) розташовується між користувачем і веб-додатком та аналізує HTTP/HTTPS-запити.

Його завдання — визначити, чи є запит легітимним, чи містить він ознаки атаки. Залежно від правил WAF може пропустити запит, заблокувати його, обмежити частоту або передати подію до системи моніторингу.

Типові сценарії застосування WAF передбачають захист від:

При цьому WAF аналізує не просто кількість пакетів, а зміст і контекст веб-запиту.

DDoS, або Distributed Denial of Service, — це розподілена атака, мета якої полягає в перевантаженні ресурсу трафіком, з’єднаннями або великою кількістю обчислювально-вимогливих запитів.

Для атаки можуть використовуватися тисячі розподілених джерел, тому просте блокування однієї IP-адреси не вирішує проблему.

DDoS Protection виявляє аномальний потік і фільтрує шкідливий трафік до того, як він перевантажить сервер, мережевий канал або додаток.

У цих технологій є зона перетину на рівні L7. Наприклад, велика кількість зовні коректних HTTP-запитів також може використовуватися для виведення додатка з ладу. Однак це не робить WAF повноцінною заміною спеціалізованого захисту від DDoS-атак.

Уявімо, що зловмисник не намагається використати SQL-ін’єкцію і взагалі не надсилає запитів з явно шкідливим вмістом. Натомість він створює величезний обсяг мережевого трафіку.

Кожен окремий запит може здаватися прийнятним, однак сукупне навантаження може вичерпати пропускну здатність каналу або ресурси інфраструктури.

У такій ситуації додатку потрібен захист, здатний аналізувати та фільтрувати потік ще до того, як він досягне origin-сервера.

Тепер розглянемо протилежний сценарій. Користувач надсилає лише один спеціально сформований запит, спрямований на експлуатацію вразливості веб-додатка.

З точки зору обсягу трафіку жодних аномалій немає. Сервер не перевантажений, мережевий канал вільний, тому класичних ознак об’ємної DDoS-атаки немає.

Однак зміст самого HTTP-запиту може становити загрозу.

Саме тут необхідний контроль на прикладному рівні.

Спрощену архітектуру можна уявити таким чином:

Користувач → глобальна мережа → DDoS Protection → WAF → API / веб-додаток → сервер → дані

Кожен рівень вирішує своє завдання.

Такий підхід зменшує залежність від одного захисного механізму.

Атака може генерувати величезний обсяг мережевого трафіку та намагатися вичерпати наявну пропускну здатність.

Ціллю можуть стати з’єднання та ресурси мережевого стеку. Типовий приклад — велика кількість спроб встановити з’єднання.

Зловмисник надсилає запити безпосередньо до додатка. Їхня кількість може бути значно меншою, але кожен запит вимагає обробки сервером, звернення до бази даних або виконання ресурсомісткої операції.

Саме на рівні L7 особливо помітна необхідність узгодженої роботи DDoS-захисту, WAF та механізмів обмеження пропускної здатності (Rate Limiting).

Не вся шкідлива активність виглядає як класична атака. Іноді проблема полягає у надто великій кількості однотипних запитів до конкретного API або сторінки.

Rate Limiting дозволяє обмежити кількість дій за певний період.

Наприклад:

100 запитів / 60 секунд / один ідентифікатор клієнта

У разі перевищення порогового значення система може уповільнити обробку, тимчасово заблокувати запити або вимагати додаткової перевірки.

Такий механізм є корисним не лише проти DDoS-атак, а й проти спроб підбору паролів, зловживання API та деяких видів автоматизованого трафіку.

Для оцінки пріоритетності захисту корисно розрахувати вартість недоступності хоча б у спрощеному вигляді.

Припустимо, що онлайн-сервіс обробляє в середньому 1 200 замовлень на добу при середньому доході 80 доларів за замовлення.

Середній дохід за годину:

(1 200 × 80) / 24 = 4 000 доларів на годину

Якщо DDoS-атака робить сервіс повністю недоступним на дві години, умовний недоотриманий дохід може становити:

4 000 × 2 = 8 000 доларів

У цей розрахунок ще не включено витрати на відновлення, роботу технічної команди, вплив на SLA та репутаційні втрати.

Для сервісів із високою часткою онлайн-продажів навіть відносно короткий простой може мати істотне економічне значення.

Поєднання WAF та DDoS Protection є особливо актуальним, якщо компанія:

Для таких систем питання вже полягає не в тому, чи потрібен один захисний механізм, а в тому, як розподілити функції між кількома рівнями.

Важливо оцінювати не лише наявність стандартного набору правил. Для реального веб-додатка важливими є можливості створення власних політик, аналіз сучасного API-трафіку, оновлення правил у разі появи нових загроз, якість виявлення та кількість помилкових спрацьовувань.

Також бажано враховувати масштабованість. Якщо фільтрація стає «вузьким місцем» під час зростання легітимного навантаження, захисний механізм сам може погіршувати доступність сервісу.

Як приклад комплексного підходу можна розглянути WAF для захисту веб-додатків у складі Cloudflare Application Services, де захист додатків працює разом з іншими механізмами на глобальній інфраструктурі.

Тут ключове значення мають здатність інфраструктури витримувати масштабні атаки, автоматичне виявлення аномалій, швидкість реагування та можливість фільтрувати трафік до того, як він потрапить на сервер, що захищається.

Для бізнесу також важливим є захист на різних рівнях — від мережевих атак до рівня L7, прозорість підключення та доступність аналітики після інциденту.

Спеціалізований захист від DDoS-атак дає змогу винести фільтрацію шкідливого трафіку за межі власної інфраструктури та зменшити ймовірність того, що атака вичерпає наявні ресурси.

Для критично важливого веб-додатка правильне запитання зазвичай звучить не «WAF чи DDoS», а «які ризики має усувати кожен рівень».

WAF допомагає відповісти на запитання:

Чи є цей конкретний запит безпечним для додатка?

DDoS Protection вирішує інше завдання:

чи весь потік трафіку є легітимним і чи витримає інфраструктура поточне навантаження?

Застосування обох технологій дає змогу одночасно забезпечувати конфіденційність, цілісність та доступність веб-сервісу.

WAF здатний брати участь у захисті від частини атак рівня L7, однак не замінює повноцінний захист від DDoS-атак, спрямованих на великі мережі та протоколи.

Класичний мережевий брандмауер переважно контролює мережеві з’єднання, тоді як WAF аналізує HTTP/HTTPS-трафік та логіку запитів до веб-додатку.

Вони вирішують різні завдання. Для публічного критичного веб-сервісу зазвичай потрібні обидва рівні: захист доступності та аналіз небезпечних запитів користувачів.

Це атака на прикладному рівні, під час якої велика кількість запитів надсилається безпосередньо до функцій сайту або API, що змушує сервер витрачати ресурси на їхню обробку.

Читати повністю…