DDoS uzbrukums: kas tas ir un kā aizsargāties

Kas ir DDoS

DDoS (angļu val. Distributed Denial of Service, sadalīts pakalpojuma atteices uzbrukums) ir uzbrukums, kurā pakalpojumu apber ar pieprasījumu plūsmu no daudzām ierīcēm vienlaikus, līdz tas kļūst nepieejams likumīgajiem lietotājiem. Atšķirībā no ielaušanās šeit netiek pārkāpta datu konfidencialitāte – tiek uzbrukts pieejamībai.

Vārds “sadalīts” ir būtisks. Ja pārslodzi rada viena ierīce, to var nobloķēt ar vienu ierakstu ugunsmūrī. Ja to rada simti tūkstošu ierīču no simtiem valstu, atšķirt uzbrucēju no klienta kļūst par statistikas, nevis konfigurācijas uzdevumu.

Cik izplatīts tas ir

ENISA 2025. gada draudu ainavas pārskatā, kas analizē 4875 incidentus laikā no 2024. gada 1. jūlija līdz 2025. gada 30. jūnijam, DDoS veido aptuveni 76,7 % no visiem fiksētajiem incidentu veidiem. Otrajā vietā ar 17,8 % ir ielaušanās. Lielāko daļu DDoS incidentu virza haktīvistu grupas, bet kibernoziedzības grupējumi veido salīdzinoši nelielu daļu, kas parasti saistīta ar izspiešanu.

Mērogs pēdējos gados ir mainījies kvalitatīvi. Cloudflare 2025. gada ceturtā ceturkšņa pārskatā ziņots, ka 2025. gadā tika mazināti 47,1 miljoni DDoS uzbrukumu – vidēji 5376 uzbrukumi stundā –, kas ir par 121 % vairāk nekā gadu iepriekš. Lielākais fiksētais uzbrukums sasniedza 31,4 terabitus sekundē un ilga tikai 35 sekundes.

Kā tas darbojas

Uzbrucēji izmanto botnetu – inficētu ierīču tīklu, kas pēc komandas vienlaikus sūta pieprasījumus vienam mērķim. Vēsturiski tās bija slikti konfigurētas mājas maršrutētāji un novērošanas kameras; Cloudflare 2025. gada beigu kampaņā dominēja inficēti Android televizori, un botnets tika lēsts 1–4 miljonu ierīču apmērā.

Uzbrukumam nav jāizsit serveris. Pietiek izsmelt jebkuru resursu ceļā uz to: kanāla joslas platumu, ugunsmūra savienojumu tabulu, tīmekļa servera darbinieku pūlu vai datubāzes savienojumus. Tāpēc pareizais jautājums nav “cik jaudīgs ir serveris”, bet “kurš posms padosies pirmais”.

DDoS uzbrukumu veidi

Lietojumslāņa uzbrukumi ir mānīgākie: tie var izlikties par parastu apmeklētāju plūsmu un neizceļas ne datplūsmas grafikā, ne ugunsmūra žurnālā. Tie parasti mērķē uz lapām, kuras servera pusē ir dārgas – meklēšanu, grozu, pieteikšanās formu vai eksporta funkciju.

Kāpēc uzbrūk

• Politiska motivācija. Haktīvistu kampaņas pret valsts iestādēm, medijiem un loģistiku – šobrīd dominējošais DDoS avots Eiropā.
• Izspiešana. Uzbrukums ar prasību samaksāt par tā pārtraukšanu (ransom DDoS).
• Konkurence un sabotāža. Uzbrukumi pikos: izpārdošanas, biļešu tirdzniecības sākums, pieteikšanās termiņi.
• Uzmanības novēršana. Retāk, bet reāli – troksnis, kamēr paralēli notiek ielaušanās vai datu izvilkšana.

Kā atšķirt DDoS no citas problēmas

Ne katra nepieejamība ir uzbrukums. Pirms tiek aktivizēts krīzes režīms, ir vērts nošķirt trīs līdzīgas ainas. Nepareiza diagnoze maksā dārgi: filtri pret savu klientu plūsmu rada tieši to pašu rezultātu, ko uzbrukums.

• Reāls apmeklētāju pieplūdums. Plūsma nāk no daudzām dažādām ierīcēm, bet uzvedība ir normāla: apmeklētāji pārvietojas pa lapām, sesijas ir garas, avoti sakrīt ar kampaņu vai publikāciju.
• Iekšēja kļūme. Datplūsma ir parasta, bet atbildes laiks aug – parasti vainīga datubāze, izsmelts diska apjoms, kļūdains izlaidums vai beidzies sertifikāts.
• DDoS. Pieprasījumu skaits aug lēcienveidīgi, pieprasījumi atkārtojas, sesijas ir īsas, un liela daļa avotu iepriekš nav redzēti.

Praktiskais tests: ja pakalpojums ir nepieejams no interneta, bet no iekšējā tīkla darbojas normāli, problēma visdrīzāk ir ceļā uz serveri, nevis pašā lietotnē. Ja arī iekšēji viss ir lēns, iemesls, visticamāk, meklējams lietotnē vai datubāzē.

Ko DDoS aizsardzība nedara

Aizsardzības pakalpojums filtrē plūsmu, bet neizlabo lietotni. Ja viena lēna meklēšanas lapa noslogo datubāzi ar dažiem simtiem pieprasījumu, uzbrukumam nav vajadzīgs botnets – pietiek ar vienu skriptu. Tāpēc kešošana, vaicājumu optimizācija un ātruma ierobežojumi ir aizsardzības daļa, ne atsevišķs veiktspējas projekts.

Kā aizsargāties

• Izmanto DDoS aizsardzības pakalpojumu vai CDN, kas filtrē kaitīgo plūsmu, pirms tā sasniedz tavu infrastruktūru.
• Neatstāj atklātu izcelsmes servera IP adresi – citādi aizsardzību var vienkārši apiet.
• Ieslēdz ātruma ierobežojumus (rate limiting) dārgajām lietotnes lapām un API galapunktiem.
• Plāno jaudas rezervi un automātisku mērogošanu, bet apzinies, ka mērogošana vien nozīmē arī mērogotu rēķinu.
• Uzraugi datplūsmu un iestati brīdinājumus, lai uzbrukumu pamanītu no monitoringa, nevis no klienta zvana.
• Iepriekš saskaņo kontaktus un eskalācijas ceļu ar interneta pakalpojumu sniedzēju un aizsardzības pakalpojuma sniedzēju.

Ko darīt uzbrukuma laikā

1. Apstiprini, ka tiešām notiek uzbrukums, nevis konfigurācijas kļūme vai reāls apmeklētāju pieplūdums.
2. Aktivizē aizsardzības režīmu un stingrākus filtrus tiem pakalpojumiem, kas cieš.
3. Sazinies ar operatoru un aizsardzības pakalpojuma sniedzēju pa iepriekš saskaņoto kanālu.
4. Saglabā žurnālus un datplūsmas paraugus – tie vajadzīgi gan analīzei, gan ziņošanai.
5. Informē klientus par statusu; nepieejamība bez paskaidrojuma maksā vairāk nekā pati nepieejamība.
6. Pēc uzbrukuma pārskati, kurš posms padevās pirmais, un novērs tieši to.

Regulējums Latvijā

Nacionālās kiberdrošības likuma 31. pants paredz centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem: Ministru kabinets nosaka prasības šādai aizsardzībai, kritērijus resursu iekļaušanai centralizēti aizsargājamo resursu sarakstā un šā saraksta apstiprināšanas kārtību. Ja organizācija ietilpst likuma tvērumā, ir vērts noskaidrot, vai tās resursi šajā sarakstā ir vai varētu būt.

Neatkarīgi no aizsardzības risinājuma paliek ziņošanas pienākums. Likuma 34. pants nosaka, ka par nozīmīgu kiberincidentu agrīnais brīdinājums jāiesniedz 24 stundu laikā, bet ziņojums – 72 stundu laikā. Ilgstoša pakalpojuma nepieejamība var atbilst nozīmīga incidenta kritērijiem, tāpēc lēmums par ziņošanu jāpieņem uzbrukuma laikā, nevis pēc tā.

Biežākās kļūdas

• Aizsardzību pieslēdz uzbrukuma laikā. DNS izmaiņu izplatīšanās aizņem laiku, kāda uzbrukuma laikā nav.
• Aizsargā tikai mājaslapu. API, pasts un VPN parasti ir vērtīgāki mērķi un biežāk paliek atklāti.
• Paļaujas tikai uz automātisko mērogošanu. Tā pārvērš pieejamības problēmu par finanšu problēmu.
• Netestē lietojumslāņa noturību. Slodzes tests ar vienveidīgiem pieprasījumiem nepierāda neko par mērķētu L7 uzbrukumu.