Как защититься от DDoS-атак в онлайн-гемблинге

Онлайн-казино — привлекательная цель для DDoS: пиковые турниры, live-столы, чувствительные платежи и строгие SLA. Атаки бьют по выручке, репутации и лицензии. Эффективная защита — это не один «антимитигатор», а слоистая архитектура: от BGP Anycast и скраббинга до грамотного кэша, WAF-правил, бот-контроля и планов реагирования.

1) Типы атак и почему они опасны для iGaming

L3/4 (объёмные): UDP/ICMP/UDP-reflection, SYN/ACK flood — забивают канал и балансеры.

L7 (приложение): HTTP-flood, cache-busting, Slowloris/slow-POST, WebSocket-шторм, GraphQL/поисковые эндпойнты.

Точечные удары по бизнес-критическим зонам: касса/выплаты, KYC-загрузки, API турнирных таблиц, live-HLS/DASH, WebSocket-шины.

Микс-атаки: параллельно L3/4+L7, переключение вектора при попытке фильтрации.

2) Базовая архитектура стойкости (слои)

1. Edge/Anycast/CDN: глобальный Anycast и сеть скраббинга для рассасывания трафика у края.

2. WAF/бот-менеджмент: сигнатуры, поведенческие модели, JS-челленджи и device-фингерпринт.

3. ЛБ/Origin Shield: L4/L7-балансеры, приватные origin’ы за allow-list’ом IP CDN.

4. Приложение: кэш-первый рендер, дешёвые ответы на дорогие запросы, идемпотентность.

5. Данные/очереди: back-pressure, очереди и деградационные режимы для кассы/KYC.

6. Наблюдаемость: NetFlow/sFlow, WAF-логи, метрики L4/L7, SIEM/алёрты.

7. Оркестрация и IR: авто-масштабирование, фичфлаги, «килл-свитчи», runbook’и.

3) Сетевой периметр: BGP Anycast и скраббинг

Поднимайте защиту у провайдера с глобальными скраббинг-центрами и Anycast-переносом нагрузки.

BGP-черные дыры (RTBH)/flowspec — как крайняя мера для отброса/динамической фильтрации.

NTP/DNS/SSDP-reflection — фильтруются на edge; добавьте фильтры на собственных UDP-сервисах.

4) L7-оборона: WAF и бот-контроль

Правила для дорогих эндпойнтов: поиск, мультиресайз изображений, графовые запросы, экспорт. Ограничивайте параметры, глубину и размер тела.

Челленджи без капчи-боли: незримые проверки (интегритет JS, тайминг, устройство, поведенческий скор), а капчу — только для серых зон.

Пер-ASN/пер-гео квоты: не душите весь трафик — режьте «подозрительные острова».

Dynamic denylist/allowlist: автоматом на 5–30 минут по поведенческим метрикам.

5) Rate-limit и очереди (не дать приложению «захлебнуться»)

Token Bucket/Leaky Bucket на IP/токен/сессию/ASN. Разные лимиты для:

публичного контента (высокие), API баланса/ставок (строгие), KYC/загрузок (низкая параллельность, очереди).
Server-side очереди + страницы ожидания для всплесков.
Timeouts и circuit breakers в микросервисах, чтобы атака не уронила весь граф.

6) Кэш-стратегии и дешёвые ответы

Static & edge-cache: лобби, витрины, ассеты WebGL/аудио — кэшируем с версионированием.

Micro-cache (1–10 сек) для «почти-динамики» (рейтинги, баннеры).

Stale-while-revalidate: отдаём «старое» при перегрузе.

Кэш-ключи против cache-busting: нормализуйте параметры, режьте мусорные query-строки.

7) Live-видео и WebSocket

HLS/DASH: много CDN-edge, короткие сегменты, префетч, защита от частых 404.

WebSocket: rate-limit на establish, heartbeat-контроль, авто-закрытие «тихих» соединений, перевод на SSE при аномалиях.

8) Платежи и KYC: отдельный контур

Изолируйте кассу и KYC за WAF + IP-allow-list провайдеров (PSP/KYC).

Подписи webhooks (HMAC) и анти-replay; повторная доставка с дедупликацией.

Идемпотентность денег: `Idempotency-Key`, уникальные `txn_id`, саги/компенсации — атака не должна создавать дубль выплат.

Degrade-режим: при DDoS — временно отключить «тяжёлые» методы (мгновенные выводы), оставив депозиты/баланс.

9) Дизайн API и приложений

Жёсткая валидация (размеры тела, схемы JSON, запрет «взрывных» фильтров).

Пейджинг и лимиты по умолчанию.

GraphQL: запреты на «суперглубину», cost-анализ.

WebGL/клиент: экспоненциальные ретраи с джиттером, off-switch анимаций, graceful-degradation при ошибках сети.

10) Масштабирование и отказоустойчивость

Актив-актив регионы с глобальным трафик-менеджером; быстрое эвакуационное переключение.

Автоскейл по RPS/CPU/коннектам; подогретые запасные ноды.

Origin Shield и приватные подсети; только трафик с IP CDN/скраббера.

Feature Flags/kill switch для тяжелых фич (турниры, виджеты), чтобы мгновенно срезать нагрузку.

11) Наблюдаемость и телеметрия

NetFlow/sFlow от провайдера + WAF/edge-логи → SIEM/UEBA.

Дашборды: p95/p99 латентность, открытые коннекты, 4xx/5xx по маршрутам, establish-rate WebSocket/HTTP/2.

Ранние сигналы: рост SYN без ACK, всплеск 499/408, аномалии по ASN/гео, «длинные» очереди KYC/платежей.

12) Процедуры реагирования (IR) и коммуникации

Runbook: кто объявляет инцидент, кто переключает регион, кто говорит с PSP и регулятором.

Единое окно статуса: статус-страница для игроков/аффилиатов (не на том же домене!).

Юридические шаги: фиксация в SIEM, запросы в провайдеры/АСО, подготовленные письма регулятору (если нарушены SLA).

Пост-морем: ретроспектива, правки правил WAF, обновление deny/allow-листов и авто-алёртов.

13) Частые ошибки

Один провайдер защиты на всё. Нужен «пояс и подтяжки»: CDN+скраббинг+WAF+облачный ЛБ.

Нет отдельного контура для кассы/KYC. Уязвимые точки бьют первыми.

Слабый кэш/нет micro-cache. Любой L7-флуд становится дорогим на origin.

Отсутствие идемпотентности денег. DDoS превращается в финансовые инциденты.

Веб-сокеты без лимитов. Тысячи «пустых» соединений держат ресурсы.

Единый регион. Переключаться некуда → длительный простой.

14) Чеклист быстрой готовности (сохраните)

Подключен Anycast CDN + скраббинг, RTBH/flowspec согласованы с провайдером
WAF/бот-менеджмент с правилами на дорогие эндпойнты, пер-ASN квоты
Rate-limit (IP/токен/ASN), очереди и страницы ожидания
Micro-cache + stale-while-revalidate, нормализация параметров
WebSocket-лимиты и fallback на SSE
Касса/KYC изолированы, webhooks c HMAC и anti-replay
Идемпотентность денег, саги и дедупликация
Active-active регионы, origin shield, allow-list IP edge
SIEM + NetFlow, алёрты на SYN-rate/5xx/499, дашборд p95/p99
Runbook/ролей и статус-страница вне основного домена

15) Мини-FAQ

DDoS влияет на RNG/RTP? Нет, если инфраструктура изолирована; воспринимаемая «несправедливость» растёт из-за лагов — защищайте L7.

Нужно ли всегда капчу? Используйте умные челленджи и поведение; капча — только для серых зон, с учётом доступности.

Cloud vs on-prem? Гибрид: edge-скраббинг в облаке + приватные origin’ы/кошелёк в изолированном периметре.

Сколько держать micro-cache? 1–10 секунд на горячие страницы — радикально уменьшает стоимость флудов.

Защита от DDoS в онлайн-гемблинге — это дисциплина архитектуры и процессов: распределить трафик у края, удешевить каждый байт запроса, изолировать кассу/KYC, включить наблюдаемость и иметь план переключения. Комбинация Anycast+скраббинг, умного WAF/бот-контроля, кэша и актив-актив топологии превращает даже мощные атаки в управляемые инциденты и сохраняет доверие игроков, партнёров и регуляторов.