Online kumarda kendinizi DDoS saldırılarından nasıl korursunuz

Online casinolar DDoS için cazip bir hedeftir: zirve turnuvaları, canlı tablolar, hassas ödemeler ve sıkı SLA'lar. Saldırılar gelir, itibar ve lisansı vurdu. Etkili koruma bir "anti-mitigator'değil, katmanlı bir mimaridir: BGP Anycast ve fırçalamadan yetkili önbelleğe, WAF kurallarına, bot kontrolüne ve yanıt planlarına kadar.

1) Saldırı türleri ve iGaming için neden tehlikeli oldukları

L3/4 (hacimsel): UDP/ICMP/UDP yansıması, SYN/ACK taşması - kanalı ve dengeleyicileri tıkar.

L7 (uygulama): HTTP-flood, cache-busting, Slowloris/slow-POST, WebSocket storm, GraphQL/arama uç noktaları.

İş için kritik alanlarda nokta vuruşları: nakit masa/ödemeler, KYC indirmeleri, turnuva tabloları API, live-HLS/DASH, WebSocket otobüsleri.

Mix saldırıları: paralel L3/4 + L7, filtrelemeye çalışırken vektör anahtarlama.

2) Temel dayanıklılık mimarisi (katmanlar)

1. Edge/Anycast/CDN: Kenara yakın trafiği yeniden yönlendirmek için küresel bir Anycast ve ovma ağı.

2. WAF/bot yönetimi: imzalar, davranış modelleri, JS zorlukları ve cihaz parmak izi.

3. LB/Origin Shield: L4/L7 dengeleyiciler, izin listesi IP CDN'nin arkasındaki özel kökenler.

4. Uygulama: önbellek ilk render, pahalı isteklere ucuz cevaplar, idempotence.

5. Veri/kuyruklar: nakit masası/ACC için geri basınç, kuyruklar ve bozulma modları.

6. Gözlemlenebilirlik: NetFlow/sFlow, WAF günlükleri, L4/L7 metrikleri, SIEM/uyarıları.

7. Orkestrasyon ve IR: otomatik ölçeklendirme, özellik bayrakları, "kill switchler", runbook've.

3) Ağ Çevresi: BGP Anycast ve Scrubbing

Global ovma merkezlerine ve Anycast yük transferine sahip bir sağlayıcıdan korumayı artırın.

BGP-kara delikler (RTBH )/flowspec - atma/dinamik filtreleme için son çare olarak.

NTP/DNS/SSDP-yansıma - kenarında filtrelenmiş; Kendi UDP servislerinize filtreler ekleyin.

4) L7 savunması: WAF ve bot kontrolü

Pahalı uç noktalar için kurallar: arama, çok boyutlu görüntüler, grafik sorguları, dışa aktarma. Gövde ayarlarını, derinliğini ve boyutunu sınırlayın.

Captcha ağrısı olmayan zorluklar: görünmez kontroller (JS entegrasyonu, zamanlama, cihaz, davranışsal hız) ve captcha - sadece gri alanlar için.

Per-ASN/per-geo kotaları: tüm trafiği boğmayın - "şüpheli adaları" kesin.

Dinamik denilist/allowlist: Davranışsal ölçümlerde 5-30 dakika otomatik.

5) Hız sınırı ve kuyruklar (uygulamanın boğulmasını önleyin)

IP/Token/Session/ASN üzerinde Token Bucket/Leaky Bucket. Aşağıdakiler için farklı sınırlar:

Genel içerik (yüksek), denge/teklif API'si (katı), LCC/indirmeler (düşük paralellik, kuyruklar).
Sunucu tarafı kuyrukları + patlamalar için bekleyen sayfalar.
Zaman aşımları ve devre kesiciler mikro hizmetlerde, böylece saldırı tüm grafiği düşürmez.

6) Nakit stratejileri ve ucuz cevaplar

Statik ve kenar önbellek: lobi, vitrinler, WebGL/ses varlıkları - sürüm ile önbellek.

"Yakın dinamikler" (derecelendirmeler, afişler) için mikro önbellek (1-10 sn).

Bayat-while-revalidate: aşırı yüklendiğinde'eski'den vazgeçin.

Önbellek bozmaya karşı önbellek anahtarları: parametreleri normalleştirir, çöp sorgu satırlarını keser.

7) Canlı video ve WebSocket

HLS/DASH: Çok sayıda CDN kenarı, kısa segmentler, prefetch, sık 404'e karşı koruma.

WebSocket: kurmak için hız sınırı, kalp atışı kontrolü, "sessiz" bağlantıların otomatik olarak kapatılması, anomaliler durumunda SSE'ye çeviri.

8) Ödemeler ve KYC: ayrı devre

Nakit masasını ve KYC'yi WAF + IP-allow-list sağlayıcılarının (PSP/KYC) arkasında izole edin.

Webhooks imzaları (HMAC) ve anti-replay; Tekilleştirme ile yeniden dağıtım.

Para idempotency: 'Idempotency-Key', benzersiz 'txn _ id', sagas/tazminatlar - saldırı çift ödeme oluşturmamalıdır.

Degrade modu: DDoS ile -'ağır "yöntemleri (anlık çıkışlar) geçici olarak devre dışı bırakarak depozito/denge bırakır.

9) API ve Uygulama Tasarımı

Sert doğrulama (vücut boyutları, JSON şemaları, "patlayıcı" filtrelerin yasaklanması).

Varsayılan sayfalama ve sınırlar.

GraphQL: "Süper derinlik" yasakları, maliyet analizi.

WebGL/client: jitter ile üstel retrays, off-switch animasyonlar, ağ hataları için zarif-degradation.

10) Ölçeklenebilirlik ve hata toleransı

Küresel bir trafik yöneticisine sahip varlık bölgeleri; Hızlı tahliye geçişi.

RPS/CPU/bağlantılar aracılığıyla otomatik ölçeklendirme; Isıtılmış yedek düğümler.

Origin Shield ve özel alt ağlar; Sadece IP CDN/Scrabber'dan gelen trafik.

Yükü anında kesmek için ağır özellikler (turnuvalar, widget'lar) için Feature Flags/kill switch.

11) Gözlemlenebilirlik ve telemetri

Sağlayıcıdan NetFlow/sFlow + WAF/kenar günlükleri - SIEM/UEBA.

Panolar: p95/p99 gecikme süresi, açık bağlantılar, 4xx/5xx rotaları, kur hızı WebSocket/HTTP/2.

Erken sinyaller: ACK olmadan SYN büyümesi, 499/408 dalgalanması, ASN/jeo anomalileri, "uzun" LCC/ödeme kuyrukları.

12) Yanıt Prosedürleri (IR) ve İletişim

Runbook: Olayı ilan eden, bölgeyi değiştiren, PSP ve düzenleyiciyle konuşan.

Tek durum penceresi: oyuncular/bağlı kuruluşlar için durum sayfası (aynı alanda değil!).

Yasal adımlar: SIEM'e kayıt, sağlayıcılara/ASO'lara talepler, düzenleyiciye hazırlanan mektuplar (SLA'lar ihlal edilirse).

Deniz sonrası: Geriye dönük, WAF kurallarında değişiklikler, reddetme/izin verme listelerinin güncellenmesi ve otomatik uyarılar.

13) Sık yapılan hatalar

Her şey için bir güvenlik sağlayıcısı. Bir "kemer ve diş teline" ihtiyacımız var: CDN + ovma + WAF + bulut LB.

Yazar kasa/yazarkasa için ayrı bir taslak yoktur. Önce savunmasız noktalar vurulacak.

Zayıf önbellek/mikro önbellek yok. Herhangi bir L7 seli başlangıçta pahalı hale gelir.

Para idempotency eksikliği. DDoS finansal olaylara dönüşür.

Sınırsız web soketleri. Binlerce "boş" bağlantı kaynakları tutar.

Tek bölge. Geçiş yapacak hiçbir yer yok - uzun bir kesinti.

14) Hızlı hazırlık kontrol listesi (kaydet)

Anycast CDN + Scrubbing bağlı, RTBH/flowspec sağlayıcı ile anlaştı
Pahalı uç noktalar için kurallarla WAF/bot yönetimi, ASN kotaları başına
Fiyat sınırı (IP/token/ASN), kuyruklar ve bekleme sayfaları
Micro-cache + stale-while-revalidate, parametre normalizasyonu
WebSocket sınırları ve geri dönüş SSE
Nakit masası/CCM izole, HMAC ve anti-replay ile webhooks
Para idempotans, sagas ve veri tekilleştirme
Etkin-etkin bölgeler, başlangıç kalkanı, izin-listesi IP kenarı
SIEM + NetFlow, SYN-rate/5xx/499 uyarıları, pano p95/p99
Birincil etki alanı dışındaki Runbook/rolleri ve durum sayfası

15) Mini-SSS

DDoS, RNG/RTP'yi etkiler mi? Altyapı izole edilirse olmaz; Gecikmeler nedeniyle algılanan "adaletsizlik" büyüyor - L7'yi koruyun.

Her zaman bir captcha'ya ihtiyacım var mı? Akıllı zorlukları ve davranışları kullanın; Captcha - erişilebilirliği dikkate alarak sadece gri alanlar için.

Bulut vs on-prem? Hibrit: Bulutta kenar ovma + izole bir çevrede özel kökenler/cüzdan.

Mikro önbellek tutmak için ne kadar? Sıcak sayfalarda 1-10 saniye - taşkınların maliyetini radikal bir şekilde azaltır.

Çevrimiçi kumarda DDoS koruması bir mimari ve süreç disiplinidir: kenarda trafik dağıtmak, isteğin her baytının maliyetini azaltmak, kasiyer/CCM'yi izole etmek, gözlemlenebilirliği sağlamak ve bir anahtarlama planına sahip olmak. Anycast + scrubbing, akıllı WAF/bot kontrolü, önbellek ve aktif-aktif topolojinin birleşimi, güçlü saldırıları bile kontrollü olaylara dönüştürür ve oyuncuların, ortakların ve düzenleyicilerin güvenini korur.