IGaming платформалары үчүн DDoS коргоо жана WAF

1) iGaming тобокелдик кароо: биз кадимки электрондук соода айырмаланат

График боюнча трафиктин жарылышы: турнирлер, провайдердин релиздери, агымдар; жонокой L7-Flood жаап.

Акча агымдары: логиндер/депозиттер/корутундулар - credential stuffing, carding, L7-fluds үчүн төлөм endpoint 'ams максаты.

Реал убакыт: Live оюндар (WebSocket/WebRTC), Беттинг үчүн Quotes; p95> 150-250 ms сезгич.

Гео/лицензия: geofencing; чабуулчулар айланып өтүү үчүн прокси/ASN ротациясын колдонушат.

KPI коргоо: аптайм ≥ 99. 95%, p95 кечигүү ≤ 200 ms web/ ≤ 120 ms API, FPR WAF <0. 3% критикалык Flow боюнча (логин, депозиттик), MTTD <1 мин, MTTR ≤ 15 мин толук турукташтыруу чейин.

2) Көп баскычтуу DDoS-коргонуу (L3-L7)

Тармак деңгээли (L3/L4):

Anycast CDN/Edge + scrubbing борборлору: көлөмдүк чабуулдарды чачыратуу (UDP/ICMP, SYN/ACK агымы).
BGP анти-DDoS жөнөтүүчү аркылуу кулактандыруу: blackhole/RTBH экстремалдык чара катары, жакшы - периметри боюнча тазалоо.
Коннекттерге Rate-limit, SYN-кукилер, стандарттуу эмес MSS/желектерди өчүрүү.

Колдонмо деңгээл (L7):

CDN-кэш жана прото-валидация (HTTP/2/3): аномалдуу аталыштарды, толук эмес суроо-талаптарды (Slowloris), кызыктай ALPN ыргытып.
IP/ASN/сессиянын ачкычы боюнча Request-budget; токен-bucket (leaky bucket) критикалык ыкмалары боюнча.
Dynamic upstream shedding: периметри "кулатат" маанилүү эмес руталар (медиа, оор отчеттор), auth/payments калтыруу.

3) WAF мээси L7-коргоо катары

Негизги профилдер:

OWASP Top-10 (SQLi/XSS/XXE/RCE), протокол-талдоо (аталыштар, ыкма/мазмун-тайп), анти-evasions.
API үчүн оң модели: катуу схемалар (JSON-схема/OpenAPI), whitelisting ыкмалары жана талаалар.

iGaming өзгөчөлүктөрү:

Логин/каттоо: IP/түзмөк/подсети боюнча лимиттер; JS-чакырык (көзгө көрүнбөгөн) ордуна Captcha биринчи аракет.
Төлөм формалары: реферерди текшерүү, вебхуктардын кол тамгалары (HMAC), AVS/CVV каталарына "муздак" жооптор.
Промо-запастар: кэш-бастингден коргоо, бонустарга/фрипинге суроо-талаптардын жыштыгы, idempotency-ачкычтары.

Чыгаруу саясаты:

FPR/TPR метриктер менен shadow → simulate → блок режими.
Рыноктор боюнча эрежелерди сегментациялоо (KYC-катуулук, жергиликтүү төлөм провайдерлери), трафик (web/app/API).

4) Boots: credential stuffing тартып бонустук кыянаттык

Сигналдар:

IP/ASN айлануу, headless browser, туруктуу басуу аралыктары, WebGL/фонтандар жоктугу, ciphersuites "аноним".
Жүрүм-туруму: көп логиндер, 2FA тандоо аракети, промо/джекпот жогорку текшерүү жыштыгы, электрондук почта сөздүгү/номерлери ырааттуулугу.

Чаралар:

JS/бихевиоралдык чакырык (көзгө көрүнбөгөн текшерүүлөр) → капча гана эскалация.
Эсеп коргоо катмарлары: сырсөз + 2FA негизделген тобокелдик, кайталоо үчүн прогрессивдүү кечигүү, device-bind.
Bot-башкаруу провайдер/модулу: edge деъгээлинде моделдер, теги "бот болушу мүмкүн".
Credential stuffing: have-I-been-pwned-окшош сырсөздөрдү текшерүү, ачыкка комбинацияларды тыюу салуу.

5) API жана реалдуу убакыт каналдарды коргоо

оң модели менен API-WAF: JSON-схемасы, тереңдик/өлчөм чеги, ашыкча талааларды тыюу, canonicalization.

mTLS жана кол суроолор (timestamp + nonce, терезе ≤ 300 с) өнөктөш бириктирүү үчүн.

WebSocket/WebRTC (Live Casino, реалдуу убакыт коюмдар): Кыска TTL Token Autentification, 401 боюнча кайра иштетүү, билдирүүлөрдүн жыштыгын чектөө, "бош" пингдерди өчүрүү.

GraphQL (эгерде бар болсо): Прода introspection тыюу, суроо-талаптын татаалдыгы/тереңдиги боюнча лимиттер.

6) Edge/CDN архитектура жана кэш

Anycast PoP оюнчу жакын, кэш статикалык/медиа; URI жана аталыштарын нормалдаштыруу менен API bypass кэш.

Кэш-ачкычтар: параметр-таштандыларды камтыбайт; кэш-бастингден коргоо (hash-allowlist).

Слои: Edge-WAF → Origin-WAF → App-GW. Ар биринин өзүнүн лимиттери жана канарейка эрежелери бар.

7) Гео, ASN жана комплаенс

Geo-фильтрлери (лицензиядан тышкаркы өлкөлөр) edge; жумшак жооп 403 нейтралдуу бет менен.

ASN тизмеси: хостинг/VPN катары "сары тизме" күчөтүлгөн чакырыктар менен; төлөм провайдерлеринин жана жашоо оюндарынын студияларынын ак тизмелери.

Legal-hold: туура бөгөттөө барактары (техникалык бөлүктөрүн агып жок), аудиторлор/жөнгө салуучу үчүн өзгөчөлүктөрдүн логикасы.

8) Байкоо жана эрте аныктоо

SLO-топтому: p95/p99 latency, error-rate, saturation edge/origin, share challenge/блоктор, success-ratio логин/депозит.

Кол салуулардын белгилери: бир типтеги ыкмалардын көтөрүлүшү, 401/403/429 өсүшү, "жалпак" география, кайталанган user-agent.

Синтетика: ар кайсы аймактардан туруктуу логин/депозиттик/чендер.

Threat-intel: Boot подсети жазылуу/индикаторлор, авто-апдейт тизмеси.

9) Инцидент-менеджмент: биринчи мүнөттөн пост-мортемге чейин

Runbook (сокр.):

1. Детект (SLO/signature талдоо боюнча алерт) → SEV-деңгээл жарыялоо.

2. Катмар аныктоо: тармак (L3/L4) же колдонмо (L7).

3. Митигирлөө: WAF күчөтүлгөн профилдерин, rate-limits жогорулатуу, JS чакырыгын киргизүү, оор руттарды/экспортту убактылуу жабуу.

4. Бизнес-өзгөчөлүктөрдү макулдашуу: VIP/өнөктөштөр/төлөмдөр боюнча allow-list.

5. Байланыш: статус-бет, саппорттук билдирүүлөрдүн шаблондору (ашыкча техникалык жок).

6. Деэскалация жана ретро: "катаал" эрежелерди алып салуу, үлгүлөрдү бекитүү, плейбуктарды жаңыртуу.

10) Коргоо сыноо жана "аскердик машыгуу"

Purple-команда сессиясы: L7-fluds (HTTP/2 rapid reset, header abuse, cache-busting), жай кол салуу (Slowloris/POST) тууроо.

Жүктөө тесттер: промо/агымдардын чокулары (x5-x10 baseline), "кыска жарылуу" профилдери (бурст 30-90 с).

Chaos-drills: RoR/CDN аймактарынын баш тартуусу, бир WebSocket каналын алып салуу, edge сертификатынын мөөнөтү аяктайт.

Canary-эрежелери: 5-10% жол менен жаңы белгилерди чыгаруу.

11) Performance жана UX коргоону камтыйт

ар кандай сүрүлүү: бардык үчүн көрүнбөгөн JS-чакырык; capcha/step-up - кооптуу сигналдар менен гана.

Session-PIN: кайра чынчыл оюнчу "жулуп" үчүн эмес, сессияга тобокелдик-баа берүү.

10-30 мин TTL боюнча сезгич текшерүү (AS reputation, гео) кэш.

12) WAF антифрод/тобокелдик менен бириктирүү

Шина окуялар: WAF белгилери/бот менеджери → Чичи antifrod (логин/төлөм эсеби).

Чечимдер эки тарапта: тобокелдик кыймылдаткычы WAF конкреттүү IP/ASN/түзмөктөргө жана тескерисинче тоскоолдук көтөрүүнү суранышы мүмкүн.

Бирдиктүү иш кабинети: "эмне үчүн оюнчу бөгөттөлгөн" (саппорт жана жөнгө салуучу үчүн).

13) Атайын зоналар: Live Casino жана Беттинг

WebRTC/RTMP: TURN/STUN (rate-limit alloc/bind) коргоо, 30-60 секунданын ичинде токендер, гео-чектөө.

Fid коэффициенттери: катуу чектери жана edge кэш менен read-only endpoints; өнөктөштөр үчүн кол коюлган суроо-талаптар.

Мазмун берүүчүлөр: атайын каналдар/ASN allow-list, мониторинг jitter/packet-loss.

14) Эрежелердин/саясаттын мисалдары (жөнөкөйлөштүрүлгөн)

WAF POST/api/payments/deposit үчүн оң модели

Метод: `POST`, `Content-Type: application/json`

JSON-Schema: `amount:number 1..10000`, `currency:[EUR,USD,...]`, `payment_method:[card,crypto]`

Лимиттер: '≤ 5 req/60s' IP жана '≤ 3 req/60s' эсеби

Иш-аракеттер: > лимиттер → 429 + токен-чакырык; schema-fail → 400 жана белги "schema_violation"

Bot-policy логин

5 мүнөттө ийгиликсиз логиндерди 5 → көрүнбөгөн чакырык

10 ийгиликсиз → капча + прогрессивдүү кечигүү

ASN = хостинг + жаңы түзмөк → дароо JS-чакырык

Edge-rate-limit для /promo/claim

10 суроо/IP/мин; 2/мин эсеп; жооп кэш 30 менен edge.

15) Киргизүү чек-тизмеси

Anycast CDN + L3/L4 scrubbing, BGP-protect.
WAF OWASP профили менен + API үчүн оң схемалар.
Bot-башкаруу: көзгө көрүнбөгөн челлендж, капчыга чейин эскалация.
Geo/ASN-саясат, allow-list төлөм/live-оюн провайдерлери.
WebSocket/WebRTC коргоо: TTL белгилер, билдирүүлөрдүн чектери.
SLO мониторинг, синтетика негизги Flow.
Runbook окуялар, байланыш үлгүлөрү, ретро тартиби.
Үзгүлтүксүз машыгуу: L7-Flood, cache-busting, PoP баш тартуу.
WAF окуяларды Entegration antifrod/тобокелдик кыймылдаткыч.

Резюме

iGaming платформасын натыйжалуу коргоо - бул катмарлуу пирог: Anycast + scrubbing on network, колдонмонун оң модели менен акылдуу WAF, эсеп/промо/төлөмдөр үчүн бот-менеджмент жана SLO/инцидент-менеджменттин катуу тартиби. Эрежелерди чыныгы оюн флоусу үчүн тууралаңыз, тобокелчиликте гана сүрүлүүнү күчөтүңүз, команданы "согуш" сценарийлерине үйрөтүңүз - жана сиз олуттуу чабуул астында да убакытты, ылдамдыкты жана конверсияны сактап каласыз.