5 систем защиты сайтов и API от DDoS и ботов

Защита от DDoS и ботов — это компромисс между тем, сколько трафика вы готовы фильтровать, скоростью подключения под атакой и бюджетом. Мы собрали N систем, которые защищают веб-сайты и API: от облачных платформ с фильтрацией на границе сети до сервисов, работающих через центры очистки.

Для каждой разобрали уровни защиты, механику антибота, способы подключения, цены, документы для юрлиц и ограничения.

NGENIX — фильтрация без центров очистки

Облачная платформа для защиты и ускорения веб-приложений: DDoS-фильтрация на уровнях сети и приложений, антибот, облачный WAF, авторитативный DNS и CDN в одном кабинете. Отличается схемой митигации — трафик не перенаправляется в отдельные центры очистки, фильтрация работает на каждом узле распределённой платформы, рядом с пользователем.

Мониторинг блокировок в NGENIX 

Кейсы клиентов и кому подойдёт

Провайдер рассказал два сценария использования:

• Крупный федеральный ритейлер (название под NDA) пришёл в 2024 году с проблемой роста бот-трафика: боты парсили каталог, цены и остатки, резервировали товары без выкупа и искажали аналитику. Антибот-защита с поведенческим анализом, классификацией трафика и WAF в качестве последнего эшелона защиты позволила более чем вдвое сократить объём нежелательного трафика, устранить сценарии массового бронирования товаров, повысить конверсию, снизить показатель отказов на 35% и число клиентских жалоб более чем на 30%.
• Российская авиакомпания в сезонный пик столкнулась с ботами, которые отслеживали цены и бронировали билеты без выкупа — в отдельных случаях автоматика резервировала весь борт. После подключения антибот-защиты удалось существенно сократить количество автоматизированных обращений и обеспечить стабильную работу сервисов бронирования для реальных пользователей даже в период пиковых нагрузок.

Платформа подходит для компаний, которым критически важны доступность веб-ресурсов и бесперебойная доставка легитимного трафика, в том числе в условиях атак и пиковых нагрузок. Для нестандартного паразитного трафика доступна индивидуальная калибровка сигнатур.

Что можно подключить

NGENIX защищает от DDoS-атак на сетевом (L3/L4) и прикладном (L7) уровнях. Фильтрация L3 и L4 включена по умолчанию для всех заказчиков и работает круглосуточно, фильтрация L7 доступна с тарифа Lite. Заявленная мощность митигируемых атак — 7+ Тбит/с и 5 М+ RPS, включая атаки на DNS. IP-адреса веб-инфраструктуры маскируются, а при прямом подключении к платформе скрываются полностью, поэтому атака в обход не проходит.

Антибот строится на классификации: система анализирует поведенческие признаки, отпечатки браузера и сетевого стека и результаты JS-проверок и относит запрос к одной из четырёх категорий — «Публичный бот», «Точно бот», «Вероятно бот» или «Вероятно человек». Для каждой настраивается сценарий: пропустить, ограничить интенсивность через rate limiting, отправить на проверку (JS-челлендж, CAPTCHA, анализ отпечатков) или заблокировать. Строгие проверки применяются только к подозрительным запросам, чтобы исключить ложные срабатывания.

Распределение запросов по бот-категориям в разделе «Бот-аналитика» NGENIX

Для API анализируется не отдельный запрос, а поведение клиента целиком: последовательность вызовов, частота и интервалы, распределение по эндпоинтам. Так отсекаются парсеры с корректной авторизацией, неотличимые от легитимных клиентов по одиночным запросам. Отдельно закрываются скальперы, брутфорсеры, SMS-бомберы и кликеры, а запросы роботов Yandex и Google выделены в категорию публичных ботов.

Способов подключения четыре: делегирование DNS-зоны на серверы NGENIX (рекомендуемый), изменение DNS-записей через Anycast IP или CNAME и подключение по BGP. Среднее время подключения — один рабочий день. Правилами управляют через портал NGENIX Multidesk, открытый API или Terraform, метрики отдаются в формате Prometheus.

Редактор правила обработки запросов в NGENIX

Инфраструктура и экосистема

Более 50 узлов в 23 регионах присутствия в России и ближнем зарубежье, пропускная способность — 7+ Тбит/с, более 1000 провайдеров в прямом взаимодействии. Каждый узел одновременно выполняет функцию центра очистки: анализ и фильтрация идут на месте. По данным провайдера, платформа ежедневно обрабатывает 60 млрд запросов и блокирует 2 млрд. Для анализа поступающего трафика используются технологии машинного обучения, которые помогают выявлять аномальный трафик и определять источники его возникновения. Результаты анализа применяются для классификации трафика и принятия решений о его блокировке либо дополнительной валидации. DNS построен на распределённой сети с производительностью 100+ млн QPS и поддержкой DNSSEC.

Поддержка и каналы связи

Поддержка работает круглосуточно: почта, телефон, мессенджеры, веб-форма и тикет-система в портале. Заявленная скорость реакции на критичные инциденты — до 15 минут, на «Энтерпрайзе» подключается персональный менеджер. Документация по настройке и API открыта в Центре поддержки, на публичной странице публикуется состояния сервисов.

Тарифы, ограничения и условия

Бесплатного тарифа нет, новым пользователям предлагают тестовый период до 14 дней. Публичная линейка — пять тарифов с помесячной оплатой, итоговая стоимость зависит от набора сервисов, пакета обслуживания и SLA. Нелегитимный трафик не тарифицируется: по заявлению провайдера, заказчику не выставляют доплату, если объём вырос за счёт атаки.

Что именно входит в тариф

• Lite — 16 900 ₽ в месяц: 1 веб-ресурс, 100 Гбайт исходящего трафика, 100 млн. легитимных запросов, SLA: 99,4% 
• Start — от 29 900 ₽ в месяц: 2 веб-ресурса, 1 000 Гбайт исходящего трафика, 200 млн. легитимных запросов, SLA: 99,4% 
• Pro — от 69 900 ₽ в месяц при сроке от 12 месяцев,  2+ веб-ресурса, 3 000+ Гбайт или 50+ Мбит/с исходящего трафика, 200+ млн. или 100+ RPS легитимных запросов, SLA: 99,9% 
• Ultimate — по запросу: 2+ веб-ресурса, 3 000+ Гбайт или 50+ Мбит/с исходящего трафика, 200+ млн. или 100+ RPS легитимных запросов, SLA: 99,95%+ 

Для компаний и организаций

Услуги оказывает российское юрлицо — ООО «Современные сетевые технологии» (ИНН 7733546298, ОГРН 1057747348427, Москва). Для регулируемых отраслей есть отдельный продукт: аттестованное публичное облако, соответствующее требованиям ФСТЭК по 152-ФЗ, ГОСТ Р 57580.1 и PCI DSS 4.0.1, с изоляцией сегментов сети.

Официальный сайт: ngenix.net

DDoS-Guard: надежная защита сайтов, API и мобильных приложений от DDoS-атак без тарификации атакующего трафика

DDoS-Guard — российский провайдер защиты от DDoS-атак, работающий с 2011 года. Компания управляет собственной сетью фильтрации ёмкостью 4 Тбит/с и защищает сайты, API и мобильные приложения от DDoS-атак в формате облачного сервиса, подключаемого через смену DNS-записей.

На рынке отличаются тем, что:

• предлагают решения только собственной разработки: не только фильтры DDoS, но и WAF, защита от ботов, капча – собственные продукты провайдера, которые он самостоятельно поддерживает и развивает
• не тарифицируют атакующий трафик, а полоса пропускания легитимного трафика всегда доступна целиком на защите L7
• предоставляют детальную статистику по обработке трафика и работе каждого модуля в отдельности, а также функционал сбора кастомной статистики, который позволяет отслеживать метрики, которых нет в общей статистике по трафику
• оказывают техподдержку пользователям и клиентам без использования ИИ-помощников и автоматизированных скриптов
• предоставляют гибкий сервис под задачи клиента:
есть готовая сетка тарифов с включенным набором опций, а также магазин допуслуг, который позволяет гибко кастомизировать тарифы и добавлять нужные опции без заявок и согласований

Кейсы клиентов и кому подойдёт

Провайдер поделился кейсами:

• Топ-3 сервис по заказу и покупке лекарств в стране столкнулся с техническими проблемами при использовании зарубежного сервиса защиты: высокой задержкой TTFB, медленной реакцией на rerouting и отсутствием гибкости в настройке защиты от DDoS-атак и парсинга, что напрямую влияло на производительность, безопасность и доверие клиентов. DDoS-Guard обеспечил миграцию с минимальным даунтаймом; стабильное соединение с сетью фильтрации и быстрый DNS resolve на территории РФ сразу значительно уменьшили показатель TTFB. Защиту подключили на уровнях L3–L4 и L7, а также настроили набор инструментов управления трафиком — правила защиты, сегментацию сайта и лимит запросов — для эффективной защиты от парсинга и скрейпинга. Дополнительно реализовали «параноидальный режим» с автоматической валидацией CAPTCHA, фильтрацию ботов с помощью JS challenge и управление функционалом через REST API.

•  Крупное российское сообщество стремилось повысить устойчивость к постоянным кибератакам и сложным L7/L3–L4 атакам, сократить время простоя сайта с часов до секунд, а также внедрить инструменты для прозрачного анализа трафика и быстрой диагностики проблем пользователей. DDoS-Guard подключил защиту с постоянной фильтрацией L7-трафика и сетевого уровня (L3–L4): запросы проходят через каскад фильтров, вредоносный трафик блокируется до достижения серверов, а подозрительные запросы проверяются через CAPTCHA для минимизации ложных срабатываний. Также задействовали правила защиты, сегментацию сайта и лимит запросов (rate limiter). Во время аварийных работ в основном дата-центре функция «Активной балансировки» автоматически перевела весь трафик на резервный дата-центр, сохранив непрерывность работы для пользователей. Для ускорения диагностики проблем и сокращения ложных срабатываний разработали и внедрили решение с уникальным Request ID и сервисными страницами, содержащими детальные данные запроса (IP, временная метка).

Профиль клиента — это онлайн-сервисы, веб-ресурсы с высокой посещаемостью и проекты с критическими требованиями к доступности API и мобильных приложений, которым необходима защита от DDoS-атак, скрапинга и парсинга без блокировок легитимных пользователей

Что можно защитить

Обеспечивается полная защита на уровнях модели OSI L3–L7. Под защиту ставятся сайты, API и мобильные приложения, при этом система эффективно фильтрует трафик и отделяет легитимные запросы от ботов-парсеров. Для защиты от скрапинга, брутфорса и SMS-бомбинга доступен модуль «Правила защиты» по условию «доверенный источник запросов», работающий на базе собственной репутационной базы DDoS-Guard. Для API-трафика этот функционал существенно снижает число ложных срабатываний.

Также среди инструментов управления трафиком доступны:

• правила защиты; 
• сегментация сайта; 
• лимит запросов; 
• фильтрация ботов с помощью JS challenge;
• «параноидальный режим» и проверка подозрительных запросов с помощью CAPTCHA. 

Трафик живых пользователей провайдер не режет: при возникновении подозрений со стороны автоматики посетители могут пройти проверки и получить доступ к сайту.

Инфраструктура и экосистема

Суммарная емкость сети фильтрации составляет 4 Тбит/с. Компания использует машинное обучение для поведенческого анализа входящего трафика и формирования репутационной модели источников, что помогает отражать в том числе и атаки нулевого дня.

Управление правилами защиты вынесено в REST API (доступно на всех тарифах, кроме Basic). Решение полностью совместимо с инфраструктурами других облачных провайдеров, таких как AWS, Yandex Cloud и Selectel.

В услугу входят бесплатный SSL-сертификат, DNS-хостинг с полным доступом к управлению записями и CDN.

В личном кабинете доступна детальная статистика по обработке трафика и работе каждого модуля в отдельности, а также реализован функционал сбора кастомной статистики для отслеживания метрик, отсутствующих в общей аналитике.

Пример отчета

Тепловая карта и статистика атак из личного кабинета 

Отзывы и репутация

Из подтверждённой фактуры — запись в едином реестре российского ПО № 3665 от 28.06.2017 на продукт DDoS-GUARD Protection, свидетельство о государственной регистрации программы № 2023618722 от 27.04.2023, лицензия ФСТЭК № Л024-00107-00/00582472 и лицензии на телематические услуги и передачу данных. Компания аккредитована как ИТ-организация с 2016 года

Поддержка и каналы связи

Техническая поддержка и дежурная смена инженеров работают круглосуточно 24/7/365. Основное взаимодействие ведется через тикет-систему в личном кабинете, а в рамках приоритетных каналов связи используются Telegram-чаты.

Обработка обращений во всех каналах осуществляется исключительно сотрудниками — без применения автоматизированных ответов или ИИ-ассистентов. Заявленное время ответа зависит от тарифа: до 2 часов на Basic, до 40 минут на Normal, до 30 минут на Medium, до 15 минут на Premium и до 10 минут на Enterprise. Гарантированный SLA по доступности сервиса — 99,95%.

Тарифы, ограничения и условия

• Basic — 8 000 ₽/мес за один домен, 
• Normal — 20 000 ₽/мес за один домен, 
• Medium — 48 000 ₽/мес за три домена, 
• Premium — 80 000 ₽/мес за пять, 
• Enterprise — 200 000 ₽/мес за десять. 

При оплате за 3, 6 и 12 месяцев действуют скидки 5%, 10% и 15%. Новым пользователям доступны 3 дня бесплатно на Basic.

В базовый тариф уже входят геоблокировки, бесплатный SSL-сертификат, DNS-хостинг и CDN.

Дальше набор услуг расширяется по тарифам:

• Normal: выделенный IP-адрес и поддержка сторонних сертификатов
• Medium: отчёты по L7-атакам и балансировка трафика между несколькими серверами
• Premium: пользовательские правила защиты и уведомления об инцидентах
• Enterprise: кастомные страницы, WAF и Bot Mitigation

Фильтры DDoS работают одинаково на всех тарифах — различия касаются дополнительных модулей и количества пользовательских правил. Атакующий трафик не тарифицируется, так что вам не придется беспокоиться о дополнительных расходах на защиту L7. Необходимые опции можно докупить в магазине допуслуг без заявок.

Ограничения: на Basic нет управления через API и пользовательских правил защиты, WAF и Bot Mitigation подключаются на старших тарифах отдельными модулями, подключение реализовано только сменой DNS-записей — защита собственной сети по BGP относится к другому продукту — «Защита сети», а распространение новых DNS-записей занимает до 24 часов при высоком TTL домена.

Процесс подключения

Быстрое подключение через изменение DNS-записей. Настройка услуги в личном кабинете занимает от 5 минут (в том числе в условиях активной атаки), а само обновление DNS-записей занимает от 5 минут до 24 часов в зависимости от параметров TTL домена.

После активации в личном кабинете становятся доступны инструменты управления трафиком и параметры фильтрации: правила защиты, сегментация сайта, лимит запросов (rate limiter), опции защиты от ботов и скрапинга, а также управление функциональностью через REST API (доступно на всех тарифах, кроме Basic).

Настройка чувствительности DDoS-фильтров в личном кабинете

Для компаний и организаций

Продукт зарегистрирован в реестре российского ПО, у компании есть лицензия ФСТЭК — это закрывает требования по импортозамещению при закупках. Юрлицам доступны оплата по счёту и закрывающие документы, приоритетные каналы связи и сопровождение персональным менеджером на старших тарифах.

Официальный сайт: ddos-guard.ru

Curator: облачная защита сайтов, API и мобильных приложений от DDoS-атак и ботов без капчи

Curator — российский провайдер защиты от DDoS-атак и киберугроз, известный на рынке как Qrator Labs. Компания выросла из исследовательского проекта 2006 года, в 2009-м превратила его в коммерческое облачное решение, а в 2010-м запустила собственную фильтрующую сеть. Сегодня это сеть из 21 центра фильтрации по всему миру с пропускной способностью анализа и фильтрации свыше 6 Тбит/с.

На рынке отличаются тем, что:

• не используют CAPTCHA как основной механизм проверки: защита прозрачна для легитимных пользователей, а вредоносные запросы блокируются с первого обращения
• фильтруют HTTPS-трафик без раскрытия ключей шифрования SSL — это отдельная технология, критичная для банков и финансовых сервисов
• заявляют 0% ложных срабатываний в стандартном режиме работы и не более 5% под массированной атакой
• держат время реакции на атаку менее секунды на L3–L4 и до 60 секунд на L7
• собрали вокруг Anti-DDoS целую линейку из семи продуктов: CURATOR.ANTIDDOS, CURATOR.WAF, CURATOR.ANTIBOT, CURATOR.CDN, CURATOR.BGP, CURATOR.SECONDARYDNS и CURATOR.SCANNER — все работают в едином облачном периметре
• не тарифицируют нежелательный трафик: клиент платит только за легитимную полосу

Профиль клиента — компании с высокими требованиями к непрерывности сервиса, которым нужна защита не только сайта, но и API с мобильными приложениями, и при этом важно не терять живых пользователей на проверках.

Что можно защитить

CURATOR.ANTIDDOS нейтрализует DDoS-атаки всех типов на уровнях L3–L4 и L7, включая мультивекторные. Защитить можно как отдельный веб-ресурс, так и всю инфраструктуру — это зависит от способа подключения.

CURATOR.ANTIBOT закрывает отдельный класс угроз: веб-скрейпинг и копирование контента, брутфорс логинов и промокодов, credential stuffing и захват учётных записей, скликивание рекламы и накрутку метрик, автоматизированные атаки на API, а также бот-трафик, который используется как топливо для L7-атак. Продукт блокирует более 4 млрд бот-запросов ежемесячно.

Для мобильных приложений на iOS и Android предусмотрена отдельная схема: проверка окружения через браузерную аутентификацию при входе и валидация токенов безопасности для API-запросов. Прямые обращения к API тоже фильтруются.

Детектирование строится на JS-снятии цифровых отпечатков браузера и устройства, анализе DOM и поведенческих паттернов, сравнении с профилями легитимных пользователей и сверке с базой известных вредоносных ботов. Режимов работы два — мониторинг и блокировка с настраиваемыми страницами.

CURATOR.WAF защищает от эксплуатации уязвимостей: SQL-инъекции, XSS, command injection, весь OWASP Top 10, атаки на бизнес-логику и на API. Для API доступны валидация HTTP-запросов, контроль параметров и заголовков, rate limiting и блокировка источников при аномалиях.

Инфраструктура и экосистема

21 точка фильтрации по всему миру, суммарная пропускная способность анализа и фильтрации — свыше 6 Тбит/с. Сеть подключена к Tier-1-провайдерам, компания состоит в RIPE NCC с 2016 года и участвует в инициативе MANRS с 2021-го. Команда — более 80 экспертов в шести локациях, партнёрская сеть — свыше 200 партнёров по миру.

Решение полностью облачное: устанавливать модули на стороне клиента не нужно. Подключить можно двумя способами. DNS-подключение защищает веб-ресурсы на L7, работает с TCP-трафиком и не требует собственной автономной системы. BGP-подключение закрывает всю инфраструктуру, поддерживает все протоколы, включая UDP, но требует собственной AS и IP-блока.

Поддержка и каналы связи

Техподдержка доступна по бесплатному номеру, вопросы решаются также через почту mail@curator.pro, Telegram и сообщество во «ВКонтакте».

Гарантированная доступность сервиса зафиксирована в SLA и различается по тарифам: 97% на Professional, 99% на Business, 99,5% на Corporate и 99,9% на Enterprise.

Тарифы, ограничения и условия

• Professional — от 23 000 ₽/мес, SLA 97%, фильтрация вредоносного трафика до 10 Гбит/с
• Business — от 78 000 ₽/мес, SLA 99%, фильтрация до 50 Гбит/с, HTTPS-фильтрация без раскрытия ключей шифрования, защита WebSocket и TCP
• Corporate — от 160 000 ₽/мес, SLA 99,5%, фильтрация до 500 Гбит/с, BGP-подключение и выделенные порты
• Enterprise — по запросу, SLA от 99,9%, индивидуальная настройка

В каждый тариф включено 10 Мбит/с легитимной полосы, дальше — 800 ₽ за каждый дополнительный Мбит/с. Нежелательный трафик не тарифицируется вообще. Каждый IP-адрес сверх первого стоит от 7 000 до 25 000 ₽/мес в зависимости от тарифа. DNS подключается от 8 000 ₽/мес, CDN — от 10 000 ₽/мес. Новым пользователям доступны 7 дней бесплатно.

Ограничения: WAF, антибот, CDN, DNS и управление через API идут отдельными платными опциями, а не входят в базовый функционал. HTTPS-фильтрация без раскрытия ключей недоступна на Professional. BGP-подключение требует собственной автономной системы и IP-блока, поэтому проекту без своей AS остаётся только DNS-схема.

Процесс подключения

Настройка DNS-подключения занимает около 15 минут и не требует установки оборудования или модулей на стороне клиента. Дальше трафик идёт через фильтрующую сеть Curator, а в личном кабинете становятся доступны аналитика в реальном времени и автоматические отчёты по инцидентам. Бесплатный тестовый период — 7 дней, но если ресурс в этот момент уже под атакой, он сокращается до 24 часов.

Для компаний и организаций

ПО в реестре российского ПО и аккредитация ИТ-компании закрывают требования по импортозамещению при закупках. Решение поддерживает соответствие PCI DSS — за счёт фильтрации HTTPS без раскрытия ключей шифрования. Отдельный продукт CURATOR.BGP пригодится тем, кому важен мониторинг маршрутизации и защита от BGP-инцидентов.

Официальный сайт: curator.pro

StormWall: защита сайтов, сетей и TCP/UDP-сервисов от DDoS-атак с оплатой только легитимного трафика

StormWall — российский разработчик и поставщик защиты от DDoS- и хакерских атак для сайтов, серверов, сетей и ИТ-инфраструктур. Сеть очистки трафика состоит из 10 узлов по всему миру с общей ёмкостью фильтрации более 8 000 Гбит/с. Подключение веб-ресурса занимает 10 минут и делается через перенаправление DNS-записи на защищённый IP-адрес StormWall.

На рынке отличаются тем, что:

• держат самую большую заявленную ёмкость фильтрации среди российских провайдеров: более 8 000 Гбит/с
• берут деньги только за легитимный трафик: клиент платит за реальных пользователей, а не за объём атаки
• отбивают атаку быстро и бесплатно даже до заключения договора и отдают отчёт — решение работать дальше остаётся за клиентом
• дают SLA и время реакции прямо в тарифной сетке: от 3 часов на младшем тарифе до 15 минут на старшем
• закрывают не только сайты, но и сети через BGP и произвольные TCP/UDP-сервисы — это отдельные продукты, а не опции к веб-защите
• имеют статус локального интернет-регистратора (LIR), состоят в RIPE и являются официальным партнёром DE-CIX

Профиль клиента — проекты, которым нужна предсказуемая стоимость защиты и прозрачное управление: от личных сайтов на младшем тарифе до банков, страховых, ритейла и провайдеров на старших. Отдельно StormWall работает с интернет-провайдерами и телекомом, онлайн-играми, банками и интернет-магазинами.

Что можно защитить

StormWall для сайта фильтрует весь входящий трафик по технологии проксирования на уровнях L3–L7 и блокирует SYN Flood, UDP Flood, HTTP Flood, Slowloris, DNS amplification и атаки с ботнетов. Помимо веб-ресурсов защита есть для сетей через BGP и для произвольных TCP/UDP-сервисов — это отдельные продукты линейки. Для тех, кому нужна защита в собственной инфраструктуре, существует StormWall Appliance.

Антибот идёт двумя уровнями. Базовый включён во все тарифы на защиту сайта, не требует настройки и отделяет людей от скриптов интерактивными проверками: cookie-валидация, HTTP-редиректы, JavaScript-испытания и капча, когда без неё не обойтись. Продвинутый антибот доступен на тарифе Enterprise: настраиваемые сценарии защиты под конкретную бизнес-логику, анализ TLS-отпечатков JA3 и JA4, списки доверенных и недоверенных отпечатков, моделирование паттернов HTTP-запросов и гибкие комбинации правил. Реакций на срабатывание несколько — пропустить запрос, ограничить частоту, показать интерактивную проверку или заблокировать.

Отдельно закрываются риски: мошеннические транзакции, скальпинг товарных остатков, кража контента, компрометация учётных данных, злоупотребление платёжными картами, накрутка рекламных кликов и SEO-манипуляции.

WAF защищает веб-приложения и API: SQL-инъекции, XSS, CSRF, атаки на API с контролем доступа и rate limiting, эксплуатация бизнес-логики. Покрытие — от OWASP Top 10 до целевых атак на API, с ML-детектом 0-day и 1-day угроз. Вместе с Anti-DDoS и антиботом получается трёхуровневая защита в одном контуре.

Инфраструктура и экосистема

Сеть очистки — 10 узлов общей ёмкостью более 8 000 Гбит/с: Москва (ММТС-9), Санкт-Петербург (Selectel SPB-2), Майами (Equinix MI1), Лос-Анджелес (Equinix LA1), Франкфурт-на-Майне (Equinix FR5 и e-Shelter FR1), Гонконг (Equinix HK1), Сингапур (Equinix SG3), Дубай (SmartHub Fujairah), София (Telepoint Center) и Джакарта. На 2026 год заявлен запуск площадок в Сан-Паулу, Мумбаи и Алматы.

Кэширование статических элементов работает по технологии HyperCache и снимает нагрузку с веб-серверов — CDN идёт внутри подписки, без дополнительных затрат. Защита возможна без раскрытия SSL. На SEO и сервисы аналитики фильтрация не влияет, реальные IP-адреса посетителей сохраняются в HTTP-заголовке.

Личный кабинет даёт аналитику в реальном времени, настраиваемые правила фильтрации, историю атак, аналитику запросов и кодов ответов, автоматические уведомления об атаках, подробные отчёты в PDF и управление субаккаунтами и ролями. Отчёты о защите можно получать на почту не только по расписанию, но и в произвольный момент. На старших тарифах доступны управление антиботом (JA3 и цепочки) и доступ к логам запросов через Graylog.

Технологический стек компания раскрывает открыто: бэкенд на Python, PHP и C, фронтенд на HTML5, CSS3 и JS, PostgreSQL в качестве основной СУБД, контейнеризация по стандарту OCI и оркестрация на Kubernetes во внутренней инфраструктуре.

Поддержка и каналы связи

Поддержка работает круглосуточно, заявленная скорость ответа — до 15 минут. Поддержка в мессенджере доступна начиная с тарифа Business ONE. Гарантированное время реакции на запрос зафиксировано в тарифе: 3 часа на Personal, 30 минут на Business ONE, 15 минут на Enterprise ONE и StormWall Private.

Тарифы, ограничения и условия

Цены на защиту сайта опубликованы открыто (за один домен второго уровня):

• Personal — 12 000 ₽/мес, 25 Мбит/с полосы, SLA 98%, реакция за 3 часа
• Business ONE — 45 000 ₽/мес, 50 Мбит/с, SLA 99,2%, реакция за 30 минут
• Enterprise ONE — от 115 000 ₽/мес, 50 Мбит/с и выше, SLA 99,5%, реакция за 15 минут
• StormWall Private — от 348 000 ₽/мес, премиальная защита по индивидуальным правилам

Процесс подключения

Подключение занимает 10 минут и проходит в три шага. Клиент получает защищённый IP-адрес StormWall, DNS-запись сайта перенаправляется на этот адрес — дальше весь трафик проверяется, фильтруется и оптимизируется, а вредоносные запросы блокируются сразу. На сервер приходит только чистый трафик с сохранением реальных IP-адресов посетителей в HTTP-заголовке. Если у компании есть собственные сети, защиту сайта можно подключить по BGP без смены IP-адреса. Бесплатный тестовый период предусмотрен, а идущую прямо сейчас атаку в StormWall обещают отбить бесплатно и выдать отчёт.

Для компаний и организаций

Юрлицам доступны оплата банковским переводом и заключение договора, договор-оферту можно скачать с сайта до обращения в отдел продаж. Для миграции с зарубежных сервисов у StormWall есть отдельный сценарий: настройки готовятся заранее по анкетам, а переключение проходит поэтапно через тестовый контур.

Официальный сайт: stormwall.pro

Servicepipe: высокоточная защита сайтов, API и мобильных приложений от DDoS-атак и продвинутых ботов — в облаке и на своей инфраструктуре

Servicepipe — российский разработчик систем защиты веб-ресурсов и ИТ-инфраструктуры, работающий с 2015 года. Компания заявляет более 200 компаний под защитой, свыше 500 реализованных проектов, партнёрскую сеть из 110+ компаний и команду более 150 человек — инженеров NOC и SOC, аналитиков данных и разработчиков высоконагруженных систем. Отличие от чисто облачных провайдеров в том, что Servicepipe одинаково закрывает и сценарий «поставьте нам защиту в облаке», и сценарий «разверните её внутри нашего периметра».

На рынке отличаются тем, что:

• дают четыре схемы интеграции вместо одной: облачный Proxy, локальный модуль Cybert на NGINX или Angie, гибрид и IP-Transit с анонсом подсети — можно собрать конфигурацию под требования безопасности, а не подстраиваться под вендора
• принимают решение по каждому запросу менее чем за 1 миллисекунду и анализируют более 100 технических параметров запроса
• заявляют менее 0,01% ложных срабатываний
• работают без капчи по умолчанию: интеграция с CAPTCHA возможна, но не обязательна
• умеют терминировать зашифрованный трафик локально, без передачи ключей SSL/TLS наружу — через Cybert
• фильтруют не по IP-адресу, а по отдельным запросам, что важно для NAT и мобильного трафика
• тарифицируют защиту по полосе легитимного трафика без ограничений по объёму атаки: ни пиковая атака, ни многодневный DDoS не приводят к смене тарифа

Профиль клиента — компании, у которых боты бьют по бизнес-логике: интернет-магазины и маркетплейсы с парсингом цен и скальпингом, финансовые сервисы с брутфорсом и фродом, а также организации с регуляторными требованиями, которым нельзя выпускать расшифрованный трафик за периметр.

Что можно защитить

Под защиту ставятся сайты, веб-приложения, API и мобильные приложения. Система закрывает DDoS-атаки на уровнях L3–L7, включая высокочастотные и низкочастотные, объёмные UDP-флуды с амплификацией, некорректные TCP-соединения, проблемы SSL-сессий и низкочастотные атаки поверх HTTPS.

По ботам список угроз шире обычного: веб-скрейпинг и парсинг контента, сканирование уязвимостей, SMS-бомбинг, брутфорс пользовательских аккаунтов, фейковые регистрации и мошеннические заявки, атаки на бизнес-логику из OWASP API Security Top 10 и OWASP Automated Threats.

Детект строится на нескольких слоях одновременно: сигнатурный анализ в реальном времени по известным паттернам атак, репутационный анализ источника, поведенческая аналитика на ML-моделях и фингерпринтинг с оценкой данных клиентского окружения. Система постоянно донастраивается аналитиками.

Инструменты управления в личном кабинете: собственные правила, списки блокировки и разрешений, географические ограничения и лимиты частоты запросов. Для API отдельно доступен rate limiting.

Облачный WAF подключается поверх и закрывает атаки прикладного уровня. Устроен он необычно: Servicepipe предлагает на выбор три решения — PT Cloud Application Firewall от Positive Technologies, SolidWall от SolidLab и ПроWAF от WMX. Поддержка бывает двух уровней: базовая (подключение, дефолтные политики, сопровождение инфраструктуры) и Managed WAF (настройка политик под приложение, разбор ложных срабатываний, работа с вендором и закрытие уязвимостей правилами WAF).

Инфраструктура и экосистема

Платформа геораспределённая, с присутствием в основных дата-центрах Москвы. Ёмкость сети фильтрации на сайте не раскрывается — этот параметр стоит запросить у вендора.

Схем интеграции четыре. Proxy — облачная фильтрация ботов и DDoS через смену A-записи DNS с передачей SSL/TLS-сертификата. Module — локальный модуль Cybert на веб-сервере NGINX или Angie, без смены DNS-записей и без передачи ключей шифрования. Hybrid — облачная фильтрация DDoS в связке с локальной защитой от ботов через обратный TCP-прокси, при этом терминация SSL остаётся на стороне клиента. IP-Transit — фильтрация DDoS на сетевом уровне через анонс подсети.

Cybert — отдельный продукт для тех, кому нужна локальная защита сайтов, веб-приложений и API внутри собственной инфраструктуры. Работает на L7, решение принимает менее чем за 1 миллисекунду, ложных срабатываний менее 0,01%, поддерживает NGINX и Angie. Продукт соответствует требованиям PCI DSS и ГОСТ Р 57580.1–2017. Cybert используют более 20 российских компаний.

Для инфраструктуры есть DosGate (on-premise) и FlowCollector, для маркетинга — линейка Visibla, отдельно существуют защищённый DNS-хостинг и Digital Fraud Protection. В лабораторном контуре доступны стресс-тестирование и анализ логов веб-сервера.

В личном кабинете есть дашборды, аналитика трафика, логи запросов и кастомные события — видно, что именно и по какой причине заблокировано.

Поддержка и каналы связи

Техническая поддержка работает круглосуточно и в проактивном режиме — она включена в услугу, а не продаётся отдельным пакетом. Заявленное время реакции на инцидент — 10 минут. Связаться можно по телефону, почте welcome@servicepipe.ru для новых обращений и cybert@servicepipe.ru для действующих клиентов. Для WAF отдельно доступен формат Managed, когда политики и разбор ложных срабатываний берёт на себя команда Servicepipe.

Тарифы, ограничения и условия

Стоимость считается индивидуально, по запросу. Известна сама модель тарификации — защита оплачивается по полосе легитимного трафика, без ограничений по объёму атаки. Ни пиковая атака, ни многодневный DDoS не требуют перехода на другой тариф и не приводят к доплате за «мусорный» трафик.

WAF считается отдельно, и модель тарификации зависит от выбранного вендора WAF. Важный нюанс: WAF стоит в цепочке после фильтрации DDoS и ботов, поэтому платить за обработку мусорного трафика на этом уровне тоже не приходится.

Ограничения: WAF работает только в схеме Proxy в связке с Web DDoS Protection или Web DDoS & Bot Protection, потому что для анализа прикладного уровня нужна расшифровка SSL/TLS. Локальный модуль Cybert поддерживает только NGINX и Angie — другие веб-серверы придётся закрывать облачной схемой. Публичных цен нет, так что быстро прикинуть бюджет по сайту не получится.

Процесс подключения

Подключение занимает от 10 до 30 минут. В облачной схеме нужно сменить A-запись DNS и передать SSL/TLS-сертификат — дальше трафик проходит через платформу фильтрации, проверяется и уходит на защищаемый ресурс обратным прокси. В локальной схеме модуль Cybert ставится на NGINX или Angie, менять DNS-записи не требуется. После подключения в личном кабинете становятся доступны правила, списки, геоограничения, лимиты частоты запросов, дашборды и логи.

Перед боевым запуском доступен пилот на 14 дней, а также демонстрация продукта и стресс-тестирование в лабораторном контуре.

Для компаний и организаций

Cybert в реестре российского ПО, у компании три лицензии ФСТЭК — требования по импортозамещению при закупках закрываются. Соответствие ГОСТ Р 57580.1–2017 и PCI DSS делает решение применимым в финансовом секторе, а локальная терминация шифрованного трафика подходит организациям, которым нельзя выпускать расшифрованный трафик за периметр. Для перехода с зарубежных ИБ-решений у компании есть отдельная программа миграции.

Официальный сайт: servicepipe.ruЧто выбрать

Если проблема не в объёме атак, а в ботах, которые работают по бизнес-логике — парсят цены, резервируют товар, накручивают клики, — смотрите NGENIX. Запросы раскладываются по четырём категориям, и для каждой вы сами выбираете сценарий; для API анализируется поведение клиента целиком, а не отдельный запрос.

Если вы под атакой прямо сейчас — DDoS-Guard. Настройка занимает от пяти минут даже в разгар атаки, порог входа — 8 000 ₽/мес за домен, опции докупаются без заявок и согласований, а в поддержке отвечают живые инженеры.

Остальные три — под более узкие задачи:

• Curator — когда нельзя терять живых пользователей на проверках: капча не используется как основной механизм, HTTPS фильтруется без раскрытия ключей.
• StormWall — когда нужно посчитать бюджет, не написав в отдел продаж: прайс открыт. Закрывает и сети по BGP.
• Servicepipe — когда расшифрованный трафик нельзя выпускать за периметр: модуль ставится на ваш NGINX или Angie. Цены по запросу.

Перед договором проверьте два пункта: тарифицируется ли атакующий трафик и какое время реакции поддержки зафиксировано в вашем тарифе.