Jak chronić się przed atakami DDoS w hazardzie online

Kasyna online są atrakcyjnym celem dla DDoS: turnieje szczytowe, stoły na żywo, wrażliwe płatności i ścisłe SLA. Ataki wpłynęły na dochody, reputację i licencję. Skuteczna ochrona nie jest jednym „anty-mitigatorem”, ale warstwową architekturą: od BGP Anycast i szorowania do właściwego pamięci podręcznej, zasad WAF, kontroli botów i planów reagowania.

1) Typy ataków i dlaczego są niebezpieczne dla iGaming

L3/4 (objętościowy): UDP/ICMP/UDP-odbicie, SYN/ACK powódź - zatkać kanał i balancery.

L7 (aplikacja): HTTP-flood, cache-busting, Slowloris/slow-POST, WebSocket storm, GraphQL/search endpoints.

Hity punktowe w kluczowych obszarach biznesowych: kasa/płatności, pliki do pobrania KYC, tabele turniejowe API, live-HLS/DASH, autobusy WebSocket.

Ataki mieszane: równoległe L3/4 + L7, przełączanie wektorów podczas próby filtrowania.

2) Podstawowa architektura trwałości (warstwy)

1. Krawędź/Anycast/CDN: Globalna sieć Anycast i szorowania w celu resorbowania ruchu w pobliżu krawędzi.

2. Zarządzanie WAF/bot: podpisy, modele behawioralne, wyzwania JS i odciski palców urządzenia.

3. LB/Origin Shield: L4/L7 balancery, prywatne pochodzenie za CDN IP listy zezwoleń.

4. aplikacji: cache pierwszy render, tanie odpowiedzi na drogie prośby, idempotencja.

5. Dane/kolejki: ciśnienie wsteczne, kolejki i tryby degradacji dla pulpitu/ACC.

6. Obserwowalność: NetFlow/sFlow, dzienniki WAF, mierniki L4/L7, SIEM/alerty.

7. Orkiestra i IR: automatyczne skalowanie, flagi funkcyjne, „wyłączniki zabijania”, runbook'i.

3) Obwód sieci: Anycast BGP i szorowanie

Zwiększ ochronę dostawcy z globalnymi centrami szorowania i transferem obciążenia Anycast.

BGP-czarne dziury (RTBH )/flowspec - w ostateczności do filtrowania odrzutów/dynamicznego.

Odbicie NTP/DNS/SSDP - filtrowane na krawędzi; Dodaj filtry do własnych usług UDP.

4) Obrona L7: WAF i kontrola botów

Zasady dla drogich punktów końcowych: wyszukiwanie, multiresize obrazów, pytania graficzne, eksport. Ograniczyć ustawienia ciała, głębokość i rozmiar.

Wyzwania bez bólu captcha: niewidoczne kontrole (integracja JS, czas, urządzenie, prędkość behawioralna) i captcha - tylko dla obszarów szarych.

Kwoty per-ASN/per-geo: nie dławić całego ruchu - wyciąć „podejrzane wyspy”.

Dynamiczny denylist/permlist: automatyczny przez 5-30 minut na metrykach behawioralnych.

5) Limit stawki i kolejki (zapobiec dławieniu aplikacji)

Wiadro Token/Leaky Bucket na IP/Token/Session/ASN. Różne limity dla:

zawartość publiczna (wysoka), równowaga/oferta API (ścisła), LCC/pliki do pobrania (niska paralelizm, kolejki).
Kolejki po stronie serwera + strony oczekujące na wybuchy.
Timeouts i wyłączniki w mikroservicach, aby atak nie spadł cały wykres.

6) Strategie gotówkowe i tanie odpowiedzi

Static & edge-cache: lobby, sklepy, aktywa WebGL/audio - buforujemy z wersioning.

Micro-cache (1-10 sekund) dla „bliskiej dynamiki” (oceny, banery).

Stale-while-revalidate: zrezygnować z „starego” po przeciążeniu.

Klawisze pamięci podręcznej kontra cache-busting: normalizacja parametrów, cięcie linii zapytań śmieci.

7) Wideo na żywo i WebSocket

HLS/DASH: wiele krawędzi CDN, krótkie segmenty, prefetch, ochrona przed częstym 404.

WebSocket: tempo-limit do ustalenia, bicie serca-kontrola, automatyczne zamykanie „cichych” połączeń, tłumaczenie na SSE w przypadku anomalii.

8) Płatności i KYC: oddzielny obwód

Odizolować pulpit i KYC za WAF + IP-list dostawców (PSP/KYC).

podpisy webhooks (HMAC) i anty-replay; redelivery z deduplication.

Money idempotency: 'Idempotency-Key', unikalny 'txn _ id', sagi/kompensacje - atak nie powinien tworzyć podwójnej wypłaty.

Tryb degradacji: z DDoS - tymczasowo wyłączyć „ciężkie” metody (wyjścia natychmiastowe), pozostawiając depozyty/saldo.

9) API i projekt aplikacji

Walidacja twarda (rozmiary ciała, schematy JSON, zakaz filtrów „wybuchowych”).

Domyślne przystawki i limity.

GraphQL: zakazy dotyczące „super-głębokości”, analizy kosztów.

WebGL/client: przekładnie wykładnicze z jitterem, animacje wyłączane, wdzięczna degradacja błędów sieciowych.

10) Skalowalność i tolerancja uszkodzeń

regiony aktywów z globalnym zarządcą ruchu; szybkie przełączanie ewakuacji.

Autoskale poprzez RPS/CPU/połączenia; podgrzewane węzły zapasowe.

Tarcza pochodzenia i prywatne podsieci; tylko ruch z IP CDN/Scrabber.

Funkcja Flags/kill switch dla ciężkich funkcji (turnieje, widżety), aby natychmiast odciąć obciążenie.

11) Obserwowalność i telemetria

NetFlow/sFlow od dostawcy + logi WAF/edge → SIEM/UEBA.

Deski rozdzielcze: opóźnienie p95/p99, połączenia otwarte, trasy 4xx/5xx, szybkość WebSocket/HTTP/2.

Wczesne sygnały: wzrost SYN bez ACK, wzrost 499/408, anomalie ASN/geo, „długie” kolejki LCC/płatności.

12) Procedury reagowania (IR) i komunikacja

Runbook: Kto deklaruje incydent, kto przełącza region, kto mówi do PSP i regulatora.

Pojedyncze okno stanu: strona statusu dla graczy/podmiotów stowarzyszonych (nie w tej samej domenie!).

Kroki prawne: rejestracja w SIEM, wnioski do dostawców/ASO, przygotowane listy do regulatora (w przypadku naruszenia SLA).

Post-sea: retrospektywne, zmiany zasad WAF, aktualizacja odmowy/zezwala na listy i auto-alerty.

13) Częste błędy

Jeden ochroniarz na wszystko. Potrzebujemy „pas i szelki”: CDN + szorowanie + WAF + chmura LB.

Nie ma odrębnego zarysu dla kasy/kasy. Słabe punkty trafiły najpierw.

Słaby pamięć podręczna/brak mikro-pamięci podręcznej. Każda powódź L7 staje się droga u źródła.

Brak pieniędzy. DDoS zamienia się w incydenty finansowe.

Nieograniczone gniazda internetowe. Tysiące „pustych” połączeń posiada zasoby.

Jeden region. Nie ma gdzie przełączać → długi czas przestoju.

14) Lista kontrolna szybkiej gotowości (zapisz)

Anycast CDN + Szorowanie podłączone, RTBH/flowspec uzgodnione z dostawcą
Zarządzanie WAF/bot z zasadami dla drogich punktów końcowych, kontyngenty na ASN
Limit stawek (IP/token/ASN), kolejki i strony oczekujące
Mikro-cache + stale-while-revalidate, normalizacja parametrów
Limity WebSocket i spadek na SSE
Cash desk/CCM izolowane, haki z HMAC i anty-replay
Money idempotence, sagi i deduplication
Aktywne regiony, tarcza pochodzenia, krawędź IP listy zezwoleń
SIEM + NetFlow, wpisy na SYN-rate/5xx/499, deska rozdzielcza p95/p99
Runbook/role i strona stanu poza domeną podstawową

15) Mini-FAQ

Czy DDoS wpływa na RNG/RTP? Nie, jeżeli infrastruktura jest odizolowana; postrzegane „niesprawiedliwość” rośnie z powodu opóźnień - ochrony L7.

Czy zawsze potrzebuję captcha? Korzystaj z inteligentnych wyzwań i zachowań; Captcha - tylko dla obszarów szarych, biorąc pod uwagę dostępność.

Chmura vs on-prem? Hybryda: szorowanie krawędzi w chmurze + prywatne pochodzenie/portfel w izolowanym obwodzie.

Ile do utrzymania mikro-pamięci podręcznej? 1-10 sekund na gorących stronach - radykalnie zmniejsza koszty powodzi.

Ochrona DDoS w grach hazardowych online to dyscyplina architektury i procesów: dystrybucja ruchu na krawędzi, zmniejszenie kosztów każdego bajtu żądania, izolacja kasjera/CCM, umożliwienie obserwacji i posiadanie planu przełączania. Połączenie Anycast + szorowania, inteligentnej kontroli WAF/bot, pamięci podręcznej i aktywnej topologii zamienia nawet potężne ataki w kontrolowane incydenty i zachowuje zaufanie graczy, partnerów i regulatorów.