Защита от DDoS и WAF ломаются не на атаке, а на неверной логике правил

Защита от DDoS и WAF ломаются не на атаке, а на неверной логике правил

DDoS-режим и WAF нельзя настраивать как две независимые системы. Если WAF слишком агрессивен, он начнёт блокировать легитимный всплеск трафика и скроет реальную картину атаки. Если порог DDoS слишком мягкий, лишняя нагрузка уйдёт в origin и даст ложные срабатывания на уровне приложений.

Рабочая схема обычно выглядит так:
— сначала отделяем сетевую аномалию от прикладной;
— затем выносим критичные URI, API и формы авторизации в отдельные политики;
— для чувствительных зон задаём более жёсткие правила, но с исключениями по методам, стране, ASN и известным ботам.

Главная ошибка — включать «всё сразу» в режиме блокировки. Правильнее начинать с log или challenge, смотреть на совпадения по user-agent, частоте запросов, JA3/JA4 и географии, а уже потом переводить правило в блок. Иначе вы получите не защиту, а хаотичный отказ в обслуживании для своих же пользователей.

Отдельно проверяйте порядок срабатывания: rate limiting, managed rules, custom rules и исключения должны быть согласованы. Без этого одно правило нейтрализует другое. Разбираем логи, оптимизируем кэширование, минимизируем задержки.

Стабильная защита строится не на максимальной жёсткости, а на предсказуемости: чем прозрачнее политика, тем проще отличить атаку от рабочего пика.