Виды трафика и протоколы передачи данных: что нужно знать для защиты от DDoS-атак

Каждый пользовательский запрос к веб-ресурсу формирует трафик, который движется по сети в виде пакетов данных. Знание видов трафика и протоколов, по которым передается трафик, дает понять, почему системы защиты работают с разными типами данных по уникальным алгоритмам и почему универсального фильтра для всех угроз не существует.

Классификация сетевого трафика по направлению и назначению

Сетевой трафик подразделяется на:

• Входящий трафик формируется запросами пользователей к серверу.
• Исходящий трафик формируется ответами веб-ресурса целевым пользователям.

Оба вида трафика являются критически важными для защиты: входящий канал подвержен перегрузке вредоносными запросами, а аномальный рост исходящего трафика часто сигнализирует об успешной атаке.

По целевому назначению трафик подразделяется на следующие категории:

• Пользовательский. HTTP/HTTPS-запросы из браузеров и мобильных приложений.
• Инфраструктурный и служебный. Обмен данными между серверами и технические запросы.
• Мультимедийный (Real-time трафик). Потоковое видео и аудио, онлайн-игры, видеоконференции. Данный тип критичен к сетевым задержкам.

Разграничение этих категорий позволяет специалистам гибко адаптировать алгоритмы фильтрации под каждую задачу, обеспечивая максимальную защиту без ущерба для легитимных пользователей.

Классификация трафика по модели OSI

Помимо деления по направлению и целевому назначению, для построения эффективных систем фильтрации также важен технический анализ структуры данных. Поэтому используется более детальная классификация — по уровням сетевой модели OSI.

• Сетевой уровень (L3). Данные передаются в виде IP-пакетов, фиксируется аномальный наплыв вредоносного трафика во время мощных атак на каналы связи.
• Транспортный уровень (L4). Трафик оформляется в TCP- или UDPсегменты, от корректности обмена зависит установление соединения.
• Прикладной уровень (L7). Трафик приобретает вид конкретных запросов: HTTP-обращения к сайту, DNS-запросы или электронные письма по SMPT (Simple Mail Transfer Protocol).

Атаки на каждый из этих уровней имеют свою специфику. Поэтому классификация по OSI напрямую определяет выбор инструментов и архитектуру защиты.

Протоколы транспортного уровня

Если рассматривать модель OSI в контексте защиты от кибератак, то ключевое значение приобретает анализ транспортного уровня, где передача данных реализуется через два базовых протокола — TCP и UDP.

Протокол TCP (Transmission Control Protocol) ориентирован на гарантированную доставку данных. Перед отправкой протокол устанавливает соединение через процедуру «трехэтапного рукопожатия». TCP контролирует целостность потока, повторно запрашивает потерянные пакеты и адаптирует скорость передачи данных под пропускную способность канала. Это основной протокол для следующих действий: загрузка веб-страниц (HTTP/HTTPS), передача файлов (FTP — File Transfer Protocol) и отправка почты (SMPT).

В отличие от TCP, протокол UDP (User Datagram Protocol) функционирует без установления соединения. Он осуществляет отправку самостоятельных пакетов данных (датаграмм) без подтверждения их приема. Это минимизирует накладные расходы и обеспечивает максимальную скорость передачи. UDP незаменим для ресурсов, требующих минимальные задержки — видеозвонки, онлайн-игры и потоковое вещание. Однако отсутствие проверки подлинности отправителя делает UDP удобным инструментом для атак с подменой IP-адреса и усилением трафика.

Протоколы прикладного уровня

Поверх транспортных протоколов работают прикладные. Они определяют формат конкретных запросов.

HTTP и HTTPS обслуживают веб-трафик — обращение браузеров к сайтам и API. HTTPS дополнительно шифрует данные через TLS (Transport Layer Security), что усложняет их анализ на промежуточных узлах. DNS переводит доменные имена в IP-адреса и сам может стать целью атак или инструментом усиления вредоносного трафика. SMPT и IMAP (Internet Message Access Protocol) обеспечивают отправку и получение электронной почты. FTP отвечает за передачу файлов между серверами. Для голосовых и видеозвонков используются связки SIP (Session Initiation Protocol) и RTP (Real-time Transport Protocol).

Почему протоколы важны для защиты от DDoS-атак

Каждый протокол создает собственный профиль нормального поведения. Атакующие используют эти особенности, выбирая конкретный протокол под конкретную цель. UDP выбирают для объемных атак с усилением. TCP — для истощения ресурсов через открытые полуустановленные соединения. HTTP — для нагрузки на сам ресурс.

Поэтому эффективная защита строится не на одном универсальном правиле. Она строится на понимании того, как должен выглядеть легитимный трафик каждого протокола в конкретной инфраструктуре, и что происходит, когда поведение становится аномальным.

Разнообразие видов трафика и протоколов его передачи говорит о том, что защита от DDoS-атак не может опираться на единый шаблон фильтрации. Каждый протокол требует собственного подхода к анализу и распознаванию аномалий.

Kaspersky DDoS Protection следует этому принципу. Система анализирует трафик на разных уровнях модели OSI и адаптирует фильтрацию под конкретный протокол и профиль легитимной нагрузки ресурса. Такой подход позволяет отражать атаки любого типа и сохранять доступность веб-ресурсов для реальных пользователей даже во время атаки.