Torrent Gear

DDoS-захист і WAF для iGaming-платформ

1) Ризик-профіль iGaming: чим ми відрізняємося від звичайної e-commerce

Сплески трафіку за розкладом: турніри, релізи провайдера, стріми; легко маскують L7-флуди.

Грошові потоки: логіни/депозити/висновки - мета для credential stuffing, carding, L7-флудів за платіжними endpoint'ам.

Реал-тайм: лайв-ігри (WebSocket/WebRTC), котирування для беттінгу; чутливі до p95> 150-250 мс.

Гео/ліцензії: geofencing; зловмисники використовують проксі/ротацію ASN для обходу.

KPI захисту: Аптайм ≥99. 95%, p95 затримки ≤ 200 мс web/ ≤ 120 мс API, FPR WAF <0. 3% на критичних флоу (логін, депозит), MTTD <1 хв, MTTR ≤ 15 хв до повної стабілізації.

2) Багаторівнева DDoS-оборона (L3-L7)

Рівень мережі (L3/L4):

Anycast CDN/Edge + scrubbing-центри: розсіювання об'ємних атак (UDP/ICMP, SYN/ACK flood).
BGP-анонс через провайдера анти-DDoS: blackhole/RTBH як крайня міра, краще - чистка на периметрі.
Rate-limit на коннекти, SYN-cookies, відсічка нестандартних MSS/прапорів.

Рівень додатків (L7):

CDN-кеш і прото-валідація (HTTP/2/3): відкидати аномальні заголовки, неповні запити (Slowloris), дивні ALPN.
Request-budget на IP/ASN/ключ сесії; токен-bucket (leaky bucket) на критичні методи.
Dynamic upstream shedding: периметр «упускає» неважливі рути (медіа, heavy-reports), залишаючи auth/payments.

3) WAF як мозок L7-захисту

Базові профілі:

OWASP Top-10 (SQLi/XSS/XXE/RCE), протокол-аналіз (стрічки заголовків, метод/контент-тайп), анти-evasions.
Позитивна модель для API: строгі схеми (JSON-Schema/OpenAPI), whitelisting методів і полів.

Специфіка iGaming:

Логін/реєстрація: ліміти по IP/пристрою/підмережі; JS-челендж (невидимий) замість капчі на перших спробах.
Платіжні форми: перевірка реферера, підписи вебхуків (HMAC з ротацією), «холодні» відгуки на часті помилки AVS/CVV.
Промо-ендпоінти: захист від кеш-бастингу, частоти запитів до бонусів/фрипінів, idempotency-ключі.

Політики випуску:

Режим shadow → simulate → block з метриками FPR/TPR.
Сегментація правил по ринках (KYC-жорсткість, локальні провайдери оплати), по трафіку (web/app/API).

4) Боти: від credential stuffing до бонус-аб'юзу

Сигнали:

Ротація IP/ASN, headless-браузери, стабільні міжклікові інтервали, відсутність WebGL/фонтів, ciphersuites «знеособлені».
Поведінка: багаторазові логіни, спроби підбору 2FA, високі частоти перевірок промо/джекпоту, послідовності за словником емейлів/номерів.

Заходи:

JS/біхевіоральний челендж (невидимі перевірки) → капча тільки на ескалації.
Шари захисту облікового запису: пароль + ризик-базована 2FA, прогресивні затримки на повтори, device-bind.
Bot-management провайдера/модуля: моделі на рівні edge, мітки «ймовірно бот».
Credential stuffing: have-I-been-pwned-подібні перевірки паролів, заборона витеклих комбінацій.

5) Захист API і real-time каналів

API-WAF з позитивною моделлю: JSON-Schema, ліміт глибини/розміру, заборона зайвих полів, canonicalization.

mTLS і підписи запитів (timestamp + nonce, вікно ≤ 300 с) для партнерських інтеграцій.

WebSocket/WebRTC (лайв-казино, ставки в реальному часі): автентифікація токеном короткого TTL, перезапит при 401, обмеження частоти повідомлень, відсічення «порожніх» пінгів.

GraphQL (якщо є): заборона introspection в проді, ліміти на складність/глибину запиту.

6) Edge/CDN-архітектура і кеш

Anycast PoP ближче до гравця, кеш статик/медіа; API bypass cache з нормалізацією URI і заголовків.

Кеш-ключі: не включати параметри-сміття; захист від кеш-бастингу (hash-allowlist).

Шари: Edge-WAF → Origin-WAF → App-GW. На кожному - власні ліміти і канарські правила.

7) Гео, ASN і комплаєнс

Geo-фільтри (країни поза ліцензією) на edge; м'яка відповідь 403 з нейтральною сторінкою.

ASN-листи: хостинги/VPN як «жовтий список» з посиленими челенджами; білі списки платіжних провайдерів і студій лайв-ігор.

Legal-hold: коректні сторінки блокувань (без витоків тех-деталей), логіка винятків для аудиторів/регулятора.

8) Спостережуваність і раннє виявлення

SLO-набір: p95/p99 latency, error-rate, saturation edge/origin, share челенджів/блоків, success-ratio логіна/депозиту.

Сигнатури атак: сплеск однотипних методів, зростання 401/403/429, «плоска» географія, повторювані user-agent.

Синтетика: постійні проби логіну/депозиту/ставки з різних регіонів.

Threat-intel: підписки на ботові підмережі/індикатори, авто-апдейти списків.

9) Інцидент-менеджмент: від першої хвилини до пост-мортема

Runbook (скор.):

1. Детект (алерт по SLO/аналіз сигнатур) → оголосити SEV-рівень.

2. Ідентифікація шару: мережа (L3/L4) або додаток (L7).

3. Мітигувати: включити посилені профілі WAF, підняти rate-limits, включити JS-челендж, тимчасово закрити важкі рути/експорти.

4. Узгодити бізнес-винятки: VIP/партнери/платіжки по allow-list.

5. Комунікація: статус-сторінка, шаблони повідомлень саппорту (без зайвої технічні).

6. Деескалація і ретро: зняти «жорсткі» правила, зафіксувати патерни, оновити плейбуки.

10) Тестування захисту та «бойові навчання»

Purple-team сесії: імітація L7-флудів (HTTP/2 rapid reset, header abuse, cache-busting), повільних атак (Slowloris/POST).

Навантажувальні тести: піки промо/стрімів (x5-x10 baseline), профілі «коротких вибухів» (burst 30-90 с).

Chaos-drills: відмова РоР/регіонів CDN, вилучення одного каналу WebSocket, закінчення сертифіката edge.

Canary-правила: викочувати нові сигнатури на 5-10% трафіку.

11) Продуктивність і UX при включеній захисту

Диференціюйте тертя: невидимий JS-челендж для всіх; капча/step-up - тільки при ризикових сигналах.

Session-піни: закріплюйте ризик-оцінку на сесію, щоб не «смикати» чесного гравця повторно.

Кешуйте нечутливі перевірки (AS reputation, гео) на TTL 10-30 хв.

12) Інтеграція WAF з антифродом/ризиком

Шина подій: мітки WAF/бот-менеджера → фічі антифроду (скоринг логіну/платежу).

Рішення в обидві сторони: ризик-рушій може просити WAF підняти бар'єр на конкретні IP/ASN/пристрої і навпаки.

Єдиний кабінет кейсів: трасування «чому заблокований гравець» (для саппорту і регулятора).

13) Спеціальні зони: лайв-казино та беттінг-фіди

WebRTC/RTMP: захист TURN/STUN (rate-limit alloc/bind), токени на 30-60 с, гео-обмеження.

Фіди коефіцієнтів: read-only endpoints з жорсткими лімітами і кешем на edge; підписані запити для партнерів.

Постачальники контенту: виділені канали/ASN allow-list, моніторинг jitter/packet-loss.

14) Приклади правил/політик (спрощено)

WAF позитивна модель для POST/api/payments/deposit

Метод: `POST`, `Content-Type: application/json`

JSON-Schema: `amount:number 1..10000`, `currency:[EUR,USD,...]`, `payment_method:[card,crypto]`

Ліміти: '≤ 5 req/60s'на IP і'≤ 3 req/60s'на аккаунт

Дії: > лімітів → 429 + токен-челендж; schema-fail → 400 і мітка «schema_violation»

Bot-policy логіна

5 неуспішних логінів за 5 хв → невидимий челендж

10 неуспішних → капча + прогресивна затримка

ASN = хостинг + новий девайс → відразу JS-челендж

Edge-rate-limit для /promo/claim

10 запитів/IP/хв; 2/хв на аккаунт; кешування відповіді 30 с на edge.

15) Чек-лист впровадження

Anycast CDN + L3/L4 scrubbing, BGP-protect.
WAF c OWASP-профілем + позитивні схеми для API.
Bot-management: невидимі челенджі, ескалація до капчі.
Гео/ASN-політики, allow-list платіжок/провайдерів лайв-ігор.
WebSocket/WebRTC захист: токени TTL, ліміти повідомлень.
Моніторинг SLO, синтетика по ключовим флоу.
Runbook інцидентів, шаблони комунікацій, ретро-процедура.
Регулярні навчання: L7-флуди, cache-busting, відмова PoP.
Інтеграція подій WAF ↔ антифрод/ризик-рушій.

Резюме

Ефективний захист iGaming-платформи - це листковий пиріг: Anycast + scrubbing на мережі, розумний WAF з позитивною моделлю на додатку, бот-менеджмент для обліків/промо/платежів і сувора дисципліна SLO/інцидент-менеджменту. Налаштовуйте правила під реальні ігрові флоу, ескалуйте тертя тільки при ризику, тренуйте команду на «бойових» сценаріях - і ви збережете аптайм, швидкість і конверсію навіть під серйозною атакою.