Як захиститися від DDoS-атак в онлайн-гемблінгу

Онлайн-казино - приваблива мета для DDoS: пікові турніри, live-столи, чутливі платежі і строгі SLA. Атаки б'ють по виручці, репутації та ліцензії. Ефективний захист - це не один «антимітігатор», а шарувата архітектура: від BGP Anycast і скрабінгу до грамотного кешу, WAF-правил, бот-контролю і планів реагування.

1) Типи атак і чому вони небезпечні для iGaming

L3/4 (об'ємні): UDP/ICMP/UDP-reflection, SYN/ACK flood - забивають канал і балансери.

L7 (додаток): HTTP-flood, cache-busting, Slowloris/slow-POST, WebSocket-шторм, GraphQL/пошукові ендпойнти.

Точкові удари по бізнес-критичних зонах: каса/виплати, KYC-завантаження, API турнірних таблиць, live-HLS/DASH, WebSocket-шини.

Мікс-атаки: паралельно L3/4 + L7, перемикання вектора при спробі фільтрації.

2) Базова архітектура стійкості (шари)

1. Edge/Anycast/CDN: глобальний Anycast і мережа скрабінгу для розсмоктування трафіку біля краю.

2. WAF/бот-менеджмент: сигнатури, поведінкові моделі, JS-челленджі і device-фінгерпринт.

3. ЛБ/Origin Shield: L4/L7-балансери, приватні origin'и за allow-list'ом IP CDN.

4. Додаток: кеш-перший рендер, дешеві відповіді на дорогі запити, ідемпотентність.

5. Дані/черги: back-pressure, черги та деградаційні режими для каси/КУС.

6. Спостережуваність: NetFlow/sFlow, WAF-логи, метрики L4/L7, SIEM/алерти.

7. Оркестрація та IR: авто-масштабування, фічфлаги, «кілл-світчі», runbook'і.

3) Мережевий периметр: BGP Anycast і скрабінг

Піднімайте захист у провайдера з глобальними скрабінг-центрами і Anycast-перенесенням навантаження.

BGP-чорні діри (RTBH )/flowspec - як крайня міра для відкидання/динамічної фільтрації.

NTP/DNS/SSDP-reflection - фільтруються на edge; додайте фільтри на власних UDP-сервісах.

4) L7-оборона: WAF і бот-контроль

Правила для дорогих ендпойнтів: пошук, мультиресайз зображень, графові запити, експорт. Обмежуйте параметри, глибину і розмір тіла.

Челленджі без капчі-болю: незримі перевірки (інтегритет JS, таймінг, пристрій, поведінковий швидкість), а капчу - тільки для сірих зон.

Пер-ASN/пер-гео квоти: не душіть весь трафік - ріжте «підозрілі острови».

Dynamic denylist/allowlist: автоматом на 5-30 хвилин за поведінковими метриками.

5) Rate-limit і черги (не дати додатку «захлинутися»)

Token Bucket/Leaky Bucket на IP/токен/сесію/ASN. Різні ліміти для:

публічного контенту (високі), API балансу/ставок (суворі), КУС/завантажень (низька паралельність, черги).
Server-side черги + сторінки очікування для сплесків.
Timeouts і circuit breakers в мікросервісах, щоб атака не впустила весь граф.

6) Кеш-стратегії і дешеві відповіді

Static & edge-cache: лобі, вітрини, асети WebGL/аудіо - кешуємо з версіонуванням.

Micro-cache (1-10 сек) для «майже-динаміки» (рейтинги, банери).

Stale-while-revalidate: віддаємо «старе» при перевантаженні.

Кеш-ключі проти cache-busting: нормалізуйте параметри, ріжте сміттєві query-рядки.

7) Live-відео та WebSocket

HLS/DASH: багато CDN-edge, короткі сегменти, префетч, захист від частих 404.

WebSocket: rate-limit на establish, heartbeat-контроль, авто-закриття «тихих» з'єднань, переклад на SSE при аномаліях.

8) Платежі та KYC: окремий контур

Ізолюйте касу і KYC за WAF + IP-allow-list провайдерів (PSP/KYC).

Підписи webhooks (HMAC) і анти-replay; повторна доставка з дедуплікацією.

Ідемпотентність грошей: 'Idempotency-Key', унікальні'txn _ id', саги/компенсації - атака не повинна створювати дубль виплат.

Degrade-режим: при DDoS - тимчасово відключити «важкі» методи (миттєві висновки), залишивши депозити/баланс.

9) Дизайн API і додатків

Жорстка валідація (розміри тіла, схеми JSON, заборона «вибухових» фільтрів).

Пейджинг і ліміти за замовчуванням.

GraphQL: заборони на «суперглубину», cost-аналіз.

WebGL/клієнт: експоненціальні ретраї з джиттером, off-switch анімацій, graceful-degradation при помилках мережі.

10) Масштабування і відмовостійкість

Актив-актив регіони з глобальним трафік-менеджером; швидке евакуаційне перемикання.

Автоскейл по RPS/CPU/коннектам; підігріті запасні ноди.

Origin Shield і приватні підмережі; тільки трафік з IP CDN/скраббера.

Feature Flags/kill switch для важких фіч (турніри, віджети), щоб миттєво зрізати навантаження.

11) Спостережуваність і телеметрія

NetFlow/sFlow від провайдера + WAF/edge-логи → SIEM/UEBA.

Дашборди: p95/p99 латентність, відкриті коннекти, 4xx/5xx за маршрутами, establish-rate WebSocket/HTTP/2.

Ранні сигнали: зростання SYN без ACK, сплеск 499/408, аномалії по ASN/гео, «довгі» черги КУС/платежів.

12) Процедури реагування (IR) та комунікації

Runbook: хто оголошує інцидент, хто перемикає регіон, хто говорить з PSP і регулятором.

Єдине вікно статусу: статус-сторінка для гравців/афіліатів (не на тому ж домені!).

Юридичні кроки: фіксація в SIEM, запити в провайдери/АСО, підготовлені листи регулятору (якщо порушені SLA).

Пост-морем: ретроспектива, правки правил WAF, оновлення deny/allow-листів і авто-алертів.

13) Часті помилки

Один провайдер захисту на все. Потрібен «пояс і підтяжки»: CDN + скрабінг + WAF + хмарний ЛБ.

Немає окремого контуру для каси/КУС. Уразливі точки б'ють першими.

Слабкий кеш/немає micro-cache. Будь-який L7-флуд стає дорогим на origin.

Відсутність ідемпотентності грошей. DDoS перетворюється на фінансові інциденти.

Веб-сокети без лімітів. Тисячі «порожніх» з'єднань тримають ресурси.

Єдиний регіон. Перемикатися нікуди → тривалий простій.

14) Чеклист швидкої готовності (збережіть)

Підключений Anycast CDN + скрабінг, RTBH/flowspec узгоджені з провайдером
WAF/бот-менеджмент з правилами на дорогі ендпойнти, пер-ASN квоти
Rate-limit (IP/токен/ASN), черги та сторінки очікування
Micro-cache + stale-while-revalidate, нормалізація параметрів
WebSocket-ліміти і fallback на SSE
Каса/КУС ізольовані, webhooks c HMAC і anti-replay
Ідемпотентність грошей, саги і дедуплікація
Active-active регіони, origin shield, allow-list IP edge
SIEM + NetFlow, алерти на SYN-rate/5xx/499, дашборд p95/p99
Runbook/ролей і статус-сторінка поза основного домену

15) Міні-FAQ

DDoS впливає на RNG/RTP? Ні, якщо інфраструктура ізольована; сприймана «несправедливість» зростає через лагів - захищайте L7.

Чи потрібно завжди капчу? Використовуйте розумні челенджі і поведінку; капча - тільки для сірих зон, з урахуванням доступності.

Cloud vs on-prem? Гібрид: edge-скрабінг в хмарі + приватні origin'и/гаманець в ізольованому периметрі.

Скільки тримати micro-cache? 1-10 секунд на гарячі сторінки - радикально зменшує вартість флудів.

Захист від DDoS в онлайн-гемблінгу - це дисципліна архітектури і процесів: розподілити трафік біля краю, здешевити кожен байт запиту, ізолювати касу/КУС, включити спостережуваність і мати план перемикання. Комбінація Anycast + скрабінг, розумного WAF/бот-контролю, кешу і актив-актив топології перетворює навіть потужні атаки в керовані інциденти і зберігає довіру гравців, партнерів і регуляторів.