Zaštita od ddos napada i WAF arhitektura: kako obezbediti neprekidan rad poslovnog sajta

U savremenom digitalnom poslovanju, nedostupnost veb-sajta ili internet prodavnice tokom samo nekoliko sati više nije samo tehnička neprijatnost za IT odeljenje, već direktan udar na prihod, reputaciju brenda i organsko pozicioniranje na pretraživačima. Dok su pre deset godina distribuirani napadi uskraćivanja usluge (DDoS – Distributed Denial of Service) bili rezervisani za finansijske institucije i državne portale, danas automatizovane mreže zaraženih uređaja (botneti) svakodnevno ciljaju domaće e-commerce prodavnice, medijske portale, SaaS aplikacije i korporativne prezentacije.

Da bi veb-sajt ostao brz, bezbedan i dostupan 99,99% vremena tokom cele godine, neophodno je prevazići zastareli pristup u kojem se bezbednost svodi na instalaciju osnovnog dodatka u CMS sistemu. Ovaj inženjerski vodič detaljno obrađuje anatomiju savremenih mrežnih i aplikativnih napada, arhitekturu zaštitnog zida za veb-aplikacije (WAF – Web Application Firewall) i konkretne korake za zaključavanje izvornog hosting servera.

---

1. Anatomija savremenih ddos napada: od zagušenja linka do iscrpljivanja baze

Distribuirani napad uskraćivanja usluge nastaje kada napadač pomoću hiljada ili stotina hiljada kompromitovanih uređaja širom sveta (od kućnih rutera i IP kamera do iznajmljenih virtuelnih servera) istovremeno usmeri ogroman broj zahteva ka jednoj meti. Cilj je jasan: iscrpeti mrežne ili serverske resurse do tačke u kojoj legitimni posetioci dobijaju grešku 502 Bad Gateway, 503 Service Unavailable ili 504 Gateway Timeout.

U inženjerskoj praksi, svi DDoS napadi dele se u tri osnovne kategorije prema slojevima OSI referentnog modela na kojima deluju:

Upozorenje

Najopasniji oblik napada za vlasnike sajtova u Srbiji jeste aplikativni (L7) napad niskog intenziteta. Dok volumetrijski napad od 50 Gbps lako prepoznaju i filtriraju mrežni ruteri u data centru, svega 300 do 500 vešto sastavljenih HTTP zahteva u sekundi usmerenih na dinamičku pretragu proizvoda (/?s=...) primorava MySQL bazu da izvršava složene upite bez keširanja, što obara tipičan VPS ili namenski server za manje od 15 sekundi.

---

2. Kako funkcioniše WAF (web application firewall) na ivici mreže?

Klasični mrežni zaštitni zid (firewall) na serveru, kao što je iptables, nftables ili UFW, kontroliše samo koje su mrežni portovi otvoreni (npr. blokira port 22 za SSH ili port 3306 za bazu, a propušta portove 80 i 443 za veb-saobraćaj). Međutim, pošto sav normalan saobraćaj posetilaca dolazi upravo kroz port 443 (HTTPS), mrežni zaštitni zid ne vidi šta se nalazi unutar šifrovanog paketa.

Tu na scenu stupa WAF (Web Application Firewall) postavljen kao reverzni proksi na ivici globalne mreže (Edge CDN/WAF). Sav saobraćaj ka vašem domenu prvo stiže do najbližeg čvorišta zaštitne mreže, gde se TLS konekcija dešifruje, dubinski analizira na nivou HTTP zaglavlja, kolačića, URL parametara i tela zahteva (Payload), i tek ukoliko je zahtev potpuno čist, prosleđuje ka vašem izvornom hosting serveru.

[Posetioci + Zlonamerni Botovi]
              |
              v
+-------------------------------------------------------------------+
| 1. ANYCAST DNS I L3/L4 DDoS MITIGACIJA                            |
|    - Apsorpcija volumetrijskih UDP/SYN napada na ivici mreže      |
+-------------------------------------------------------------------+
              |
              v
+-------------------------------------------------------------------+
| 2. SISTEM ZA UPRAVLJANJE BOTOVIMA I RATE LIMITING                 |
|    - Provera TLS otiska (JA3/JA4 fingerprinting) i IP reputacije  |
|    - Blokiranje prekomernog broja zahteva sa iste IP adrese       |
+-------------------------------------------------------------------+
              |
              v
+-------------------------------------------------------------------+
| 3. WAF INSPEKCIJA (OWASP PRAVILA)                                 |
|    - Detekcija SQL Injection, XSS, LFI/RFI i nula-dan ranjivosti  |
+-------------------------------------------------------------------+
              |
              v (Samo čist i ne-keširan saobraćaj kroz mTLS tunel)
+-------------------------------------------------------------------+
| 4. IZVORNI HOSTING SERVER (ORIGIN SERVER)                         |
|    - Prihvata konekcije ISKLJUČIVO sa IP adresa WAF provajdera    |
+-------------------------------------------------------------------+

Ključni slojevi zaštite unutar modernog WAF sistema

1. Upravljana OWASP pravila (Managed Rulesets): Automatski blokiraju pokušaje ubacivanja zlonamernog SQL koda u polja formi (SQL Injection), izvršavanja skripti u pretraživaču (Cross-Site Scripting – XSS), čitanja sistemskih fajlova sa servera (Local File Inclusion) i zloupotrebe poznatih propusta u popularnim platformama kao što su WordPress, WooCommerce, Magento ili Laravel.
2. Analiza otiska pretraživača (TLS / JA3 / JA4 Fingerprinting): Napadači često menjaju User-Agent tekstualni potpis kako bi se njihova Python ili Go skripta predstavila kao Google Chrome pretraživač. Međutim, napredni WAF analizira redosled kriptografskih šifara prilikom samog TLS rukovanja i odmah prepoznaje da zahtev zapravo ne dolazi iz pravog pretraživača, već iz automatizovanog alata za napad.
3. Geografsko filtriranje i reputacija ASN mreža: Ako vaša kompanija posluje isključivo na tržištu Srbije i regiona, a u 3 sata ujutru zabeležite 50.000 pokušaja prijave na administrativni panel sa servera iz data centara na drugim kontinentima, WAF pravilo može automatski postaviti nevidljivi kriptografski izazov (Managed Challenge) za sve posetioce van ciljnog regiona ili sa sumnjivih hosting ASN brojeva.

---

3. Pravilna konfiguracija ograničenja brzine (rate limiting)

Jedna od najefikasnijih linija odbrane od aplikativnih DDoS napada, grubog pogađanja lozinki (Brute Force) i masovnog kopiranja cena i kataloga od strane konkurencije (Web Scraping) jeste precizno definisano ograničenje broja zahteva – Rate Limiting.

Prilikom podešavanja Rate Limiting pravila, česta greška neiskusnih administratora je postavljanje globalnog ograničenja na sve fajlove na sajtu. Ako jedna stranica vaše prodavnice učitava 40 slika proizvoda, 5 CSS fajlova i 10 JavaScript skripti, jedan jedini klik stvarnog kupca generisaće 55 HTTP zahteva u jednoj sekundi! Zato se ograničenja postavljaju selektivno, isključivo na dinamičke rute:

Savet

Prilikom kreiranja Rate Limiting pravila uvek dodajte izuzetak (Whitelist / Skip) za verifikovane robote pretraživača (kao što je Googlebot ili Bingbot, što WAF proverava putem povratnog DNS zapisa, a ne samo na osnovu User-Agent zaglavlja), kao i za IP adresu vašeg sopstvenog sistema za obradu online plaćanja (Payment Gateway callback).

---

4. Zaključavanje izvornog servera (origin shielding): korak koji većina preskače

Postavljanje vrhunskog WAF sistema i CDN mreže ispred sajta potpuno je beskorisno ako napadač može da zaobiđe taj štit i pošalje napad direktno na IP adresu vašeg VPS ili namenskog servera.

Kako napadači pronalaze skrivenu IP adresu servera čak i kada je domen preusmeren na WAF?

1. Istorijski DNS zapisi: Servisi poput SecurityTrails ili Censys čuvaju istoriju svih DNS A zapisa godinama unazad. Ako ste sajt držali na istoj IP adresi pre aktiviranja WAF-a, ta adresa je javno vidljiva u arhivama.
2. Nezaštićeni poddomeni i MX zapisi: Često je glavni domen firma.rs zaštićen proksijem, ali poddomen mail.firma.rs, dev.firma.rs ili cpanel.firma.rs u DNS tabeli direktno pokazuje na pravu IP adresu istog servera.
3. Odlasci sa samog servera: Kada vaš sajt šalje imejl obaveštenje o resetovanju lozinke ili preuzima sliku sa eksternog URL-a, u zaglavlju konekcije otkriva svoju izvornu IP adresu.

Tri koraka za hermetičko zatvaranje izvornog servera

Da biste osigurali da nijedan paket ne može stići do vašeg veb-servera mimo WAF-a:

• Korak 1: Promena IP adrese nakon aktivacije WAF-a: Ukoliko je server bio javno izložen pre uvođenja zaštite, zatražite od svog hosting provajdera dodelu nove IPv4 i IPv6 adrese koja nikada nije bila upisana u javnim DNS istorijatima.
• Korak 2: Odvajanje elektronske pošte od veb-servera: Nikada ne koristite isti server i istu IP adresu za prijem i slanje poslovnih imejlova i za hostovanje kritične veb-aplikacije.
• Korak 3: Konfiguracija mrežnog zaštitnog zida (Whitelist WAF IP opsega): Na nivou operativnog sistema servera (ili hardverskog zaštitnog zida kod provajdera) zabranite sav dolazni saobraćaj na portovima 80 i 443 za ceo internet (0.0.0.0/0), a dozvolite ga isključivo za zvanične IP opsege vašeg Edge WAF provajdera. Dodatno, aktivirajte Authenticated Origin Pulls (mTLS) kako bi vaš Nginx ili Apache veb-server kriptografski proveravao klijentski sertifikat pri svakoj konekciji.

---

5. Optimizacija veb-servera za otpornost u uslovima visokog opterećenja

Čak i uz aktiviran WAF, legitimni skokovi saobraćaja (npr. tokom Crnog petka, velikih PR kampanja ili televizijskog gostovanja) mogu stvoriti efekat sličan DDoS napadu. Zato arhitektura samog hosting okruženja mora biti podešena za visoku propusnost:

1. Mikro-keširanje dinamičkih stranica (FastCGI / Redis Object Cache): Za anonimne posetioce koji samo pregledaju početnu stranicu, kategorije i članke, nema nikakve potrebe da PHP i baza podataka generišu istu HTML stranicu 500 puta u sekundi. Čak i mikro-keširanje u trajanju od svega 5 do 15 sekundi na nivou Nginx servera ili Edge čvorišta smanjuje opterećenje procesora za preko 95%.
2. Ograničavanje vremena trajanja konekcija (Timeouts):Napadi tipa Slowloris drže otvorene konekcije slanjem po jednog bajta podataka svakih nekoliko sekundi. Smanjivanjem parametara client_body_timeout i client_header_timeout u Nginx konfiguraciji na 10 do 12 sekundi, server trenutno prekida spore, zlonamerne konekcije i čuva slobodne slotove za prave kupce.
3. Izolacija resursa i skalabilna Cloud infrastruktura: Izbor ozbiljnog hosting partnera koji koristi brze NVMe diskove, izolovane kontejnere i automatsko vertikalno skaliranje procesorskih jezgara omogućava vašem sajtu da bez štucanja apsorbuje nagle udare saobraćaja.

---

Zaključak: bezbednost i dostupnost kao temelj digitalnog poverenja

Zaštita od DDoS napada i implementacija WAF arhitekture nisu jednokratna kupovina softvera, već promišljena inženjerska strategija koja štiti neprekidan rad vašeg poslovanja. Kombinovanjem Anycast mreže za apsorpciju volumetrijskih udara, pametnih WAF i Rate Limiting pravila na aplikativnom sloju, te potpunim sakrivanjem i zaključavanjem izvornog servera, stvarate digitalnu tvrđavu koja je otporna na savremene sajber pretnje, dok istovremeno vašim klijentima pruža munjevito učitavanje stranica u svakom trenutku.

Saznajte više o profesionalnim uslugama u lokalnom adresaru

Često postavljana pitanja (FAQ)