DDoS uzbrukums: kas tas ir un kā aizsargāties

Kas ir DDoS

DDoS (angļu val. Distributed Denial of Service, izkliedēts pakalpojumatteices uzbrukums) ir uzbrukums, kurā pakalpojumu apber ar pieprasījumu plūsmu no daudzām ierīcēm vienlaikus, līdz tas kļūst nepieejams likumīgajiem lietotājiem. Atšķirībā no ielaušanās šeit netiek pārkāpta datu konfidencialitāte – tiek uzbrukts pieejamībai.

DDoS uzbrukumā datplūsma nāk no vairākiem avotiem. Tomēr arī viens avots var pārslogot sistēmu vai izmantot atstarotu datplūsmu. Aizsardzībā jāvērtē uzbrukuma slānis, datplūsmas apjoms un iespēja atšķirt kaitīgus pieprasījumus no leģitīmiem, saglabājot pakalpojuma pieejamību.

Cik izplatīts tas ir

ENISA 2025. gada draudu ainavas pārskatā, kas analizē 4875 incidentus laikā no 2024. gada 1. jūlija līdz 2025. gada 30. jūnijam, DDoS veido aptuveni 76,7 % no visiem fiksētajiem incidentu veidiem. Otrajā vietā ar 17,8 % ir ielaušanās. Lielāko daļu DDoS incidentu virza haktīvistu grupas, bet kibernoziedzības grupējumi veido salīdzinoši nelielu daļu, kas parasti saistīta ar izspiešanu.

Mērogs pēdējos gados ir mainījies kvalitatīvi. Cloudflare 2025. gada ceturtā ceturkšņa pārskatā ziņots, ka 2025. gadā tika mazināti 47,1 miljoni DDoS uzbrukumu – vidēji 5376 uzbrukumi stundā –, kas ir par 121 % vairāk nekā gadu iepriekš. Lielākais fiksētais uzbrukums sasniedza 31,4 terabitus sekundē un ilga tikai 35 sekundes.

Kā tas darbojas

Uzbrucēji izmanto botnetu – inficētu ierīču tīklu, kas pēc komandas vienlaikus sūta pieprasījumus vienam mērķim. Botnetos izmanto arī ievainojamus mājas maršrutētājus un novērošanas kameras; Cloudflare 2025. gada beigu kampaņā dominēja inficēti Android televizori, un botnets tika lēsts 1–4 miljonu ierīču apmērā.

Uzbrukumam nav jāizsit serveris. Pietiek izsmelt jebkuru resursu ceļā uz to: kanāla joslas platumu, ugunsmūra savienojumu tabulu, tīmekļa servera pieprasījumu apstrādes procesus vai datubāzes savienojumus. Tāpēc pareizais jautājums nav “cik jaudīgs ir serveris”, bet “kurš posms padosies pirmais”.

DDoS uzbrukumu veidi

Trīs DDoS uzbrukumu pamatveidi

Veids	Ko izsmeļ	Tipiska pazīme	Kur to aptur
Apjoma (tīkla slāņa)	Kanāla joslas platumu	Milzīga UDP vai ICMP plūsma	Pie operatora vai tīrīšanas centrā
Protokolu	Savienojumu tabulas un stāvokli	Daudz nepabeigtu savienojumu (SYN plūdi)	Ugunsmūrī un slodzes sadalītājā
Lietojumslāņa (L7)	Lietotnes un datubāzes resursus	Šķietami likumīgi pieprasījumi uz smagām lapām	Lietotnes līmeņa filtrā vai WAF

Lietojumslāņa uzbrukumi ir mānīgākie: tie var izlikties par parastu apmeklētāju plūsmu un neizceļas ne datplūsmas grafikā, ne ugunsmūra žurnālā. Tie parasti mērķē uz lapām, kuras servera pusē ir dārgas – meklēšanu, grozu, pieteikšanās formu vai eksporta funkciju.

Kāpēc uzbrūk

• Politiska motivācija. Haktīvistu kampaņas pret valsts iestādēm, medijiem un loģistiku – šobrīd dominējošais DDoS avots Eiropā.
• Izspiešana. Uzbrukums ar prasību samaksāt par tā pārtraukšanu (ransom DDoS) – tā pati izspiešanas loģika, kas izspiedējvīrusu uzbrukumos.
• Konkurence un sabotāža. Uzbrukumi pikos: izpārdošanas, biļešu tirdzniecības sākums, pieteikšanās termiņi.
• Uzmanības novēršana. Retāk, bet reāli – troksnis, kamēr paralēli notiek ielaušanās vai datu izvilkšana.

Kā atšķirt DDoS no citas problēmas

Ne katra nepieejamība ir uzbrukums. Pirms tiek aktivizēts krīzes režīms, ir vērts nošķirt trīs līdzīgas ainas. Nepareiza diagnoze maksā dārgi: filtri pret savu klientu plūsmu rada tieši to pašu rezultātu, ko uzbrukums.

• Reāls apmeklētāju pieplūdums. Plūsma nāk no daudzām dažādām ierīcēm, bet uzvedība ir normāla: apmeklētāji pārvietojas pa lapām, sesijas ir garas, avoti sakrīt ar kampaņu vai publikāciju.
• Iekšēja kļūme. Datplūsma ir parasta, bet atbildes laiks aug – parasti vainīga datubāze, izsmelts diska apjoms, kļūdains izlaidums vai beidzies sertifikāts.
• DDoS. Pieprasījumu skaits aug lēcienveidīgi, pieprasījumi atkārtojas, sesijas ir īsas, un liela daļa avotu iepriekš nav redzēti.

Praktiskais tests: ja pakalpojums ir nepieejams no interneta, bet no iekšējā tīkla darbojas normāli, problēma visdrīzāk ir ceļā uz serveri, nevis pašā lietotnē. Ja arī iekšēji viss ir lēns, iemesls, visticamāk, meklējams lietotnē vai datubāzē.

Ko DDoS aizsardzība nedara

Aizsardzības pakalpojums filtrē plūsmu, bet neizlabo lietotni. Ja viena lēna meklēšanas lapa noslogo datubāzi ar dažiem simtiem pieprasījumu, uzbrukumam nav vajadzīgs botnets – pietiek ar vienu skriptu. Tāpēc kešošana, vaicājumu optimizācija un ātruma ierobežojumi ir aizsardzības daļa, ne atsevišķs veiktspējas projekts.

Kā aizsargāties

• Izmanto DDoS aizsardzības pakalpojumu vai CDN, kas filtrē kaitīgo plūsmu, pirms tā sasniedz tavu infrastruktūru.
• Ierobežo tiešu piekļuvi izcelsmes serverim, atļaujot tikai paredzēto aizsardzības pakalpojuma plūsmu. Ar IP adreses slēpšanu vien nepietiek.
• Ieslēdz ātruma ierobežojumus (rate limiting) dārgajām lietotnes lapām un API galapunktiem.
• Plāno jaudas rezervi un automātisku mērogošanu, bet apzinies, ka mērogošana vien nozīmē arī mērogotu rēķinu.
• Uzraugi datplūsmu un iestati brīdinājumus, lai uzbrukumu pamanītu no monitoringa, nevis no klienta zvana.
• Iepriekš saskaņo kontaktus un eskalācijas ceļu ar interneta pakalpojumu sniedzēju un aizsardzības pakalpojuma sniedzēju.

Ko darīt uzbrukuma laikā

1. Apstiprini, ka tiešām notiek uzbrukums, nevis konfigurācijas kļūme vai reāls apmeklētāju pieplūdums.
2. Aktivizē aizsardzības režīmu un stingrākus filtrus tiem pakalpojumiem, kas cieš.
3. Sazinies ar operatoru un aizsardzības pakalpojuma sniedzēju pa iepriekš saskaņoto kanālu.
4. Saglabā žurnālus un datplūsmas paraugus – tie vajadzīgi gan analīzei, gan ziņošanai.
5. Informē klientus par pārbaudīto statusu un nākamo atjauninājuma laiku; neapsoli atjaunošanu, kamēr termiņš nav pamatots.
6. Pēc uzbrukuma pārskati, kurš posms padevās pirmais, un novērs tieši to.

Regulējums Latvijā

Nacionālās kiberdrošības likuma 31. pants paredz centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem: Ministru kabinets nosaka prasības šādai aizsardzībai, kritērijus resursu iekļaušanai centralizēti aizsargājamo resursu sarakstā un šā saraksta apstiprināšanas kārtību. Ja organizācija ietilpst likuma tvērumā, ir vērts noskaidrot, vai tās resursi šajā sarakstā ir vai varētu būt.

Ja organizācija ir Nacionālās kiberdrošības likuma subjekts un incidents atbilst nozīmīga incidenta kritērijiem, jāziņo nekavējoties. Agrīnais brīdinājums jāiesniedz ne vēlāk kā 24 stundās, sākotnējais ziņojums – 72 stundās pēc konstatēšanas; uzticamības pakalpojumu sniedzējiem sākotnējais termiņš ir 24 stundas. Ilgstoša nepieejamība jāizvērtē uzbrukuma laikā. Jāplāno arī noslēguma vai progresa ziņojums.

Biežākās kļūdas

• Aizsardzību pieslēdz uzbrukuma laikā. DNS izmaiņu izplatīšanās aizņem laiku, kāda uzbrukuma laikā nav.
• Aizsargā tikai mājaslapu. API, pasts un VPN parasti ir vērtīgāki mērķi un biežāk paliek atklāti.
• Paļaujas tikai uz automātisko mērogošanu. Tā pārvērš pieejamības problēmu par finanšu problēmu.
• Netestē lietojumslāņa noturību. Slodzes tests ar vienveidīgiem pieprasījumiem nepierāda neko par mērķētu L7 uzbrukumu.