Снижение нагрузки на сервер с помощью WAF: реальный кейс WordPress/WooCommerce

[ivan_zhuck]

Интересно, было бы решение настроить веб-сервер на отдачу 403 ответа по определенному пулу подсетей, из которых шел мусорный трафик, более простым и экономичным нежели подключение стороннего WAF?

[Slava_B]

В данном конкретном случае за сутки было около 23,5 тыс. запросов с 19,2 тыс. разных IP-адресов. IP-адреса и пулы динамически меняются, при этом они пересекаются с IP-пулами реальных живых пользователей. Поведенческие боты работают в том числе через широкие диапазоны мобильных операторов РФ, охватывая значительную долю живой аудитории. Парсеры и сканеры работают из множества глобальных IP-пулов и ASN, через которые одновременно работают полезные и нужные сайту сервисы.

Тотальная блокировка 403 по IP-пулам не останавливает распределённый динамический трафик и не решает проблему поведенческих ботов, которые работают из разных стран, постоянно меняя как IP-пулы, так и ASN. При этом такой подход неизбежно приведёт к блокировке большого количества реальных пользователей, поисковых краулеров и необходимых сайту сервисов.

Если бы нежелательный трафик шёл из небольшого количества стабильных и однозначно вредоносных подсетей, блокировка на уровне веб-сервера действительно была бы более простым. Но в данном случае задача состоит не в составлении огромного blacklist IP-подсетей, а в том, чтобы отличать нежелательную автоматизацию от легитимного трафика даже тогда, когда они приходят из одних и тех же сетей.