Отчёт об атаках перестал быть формальностью для отдела безопасности. Руководство читает его как финансовый документ: сколько трафика отсекли, какие страницы пытались ломать, сколько живых клиентов пострадало от ложных срабатываний. Ниже разбор того, из каких блоков собрать такой отчёт, чтобы он отвечал на вопросы бизнеса, а не только фиксировал факты.
Динамика атак по типам: что показывать в цифрах
Первый блок отчёта отвечает на вопрос “что именно происходило”. Атаки не бывают однородными: L7 DDoS выматывает ресурсы приложения, брутфорс бьёт по формам авторизации, парсинг незаметно вытягивает контент и цены. Если свести всё в одну строку “зафиксировано N атак”, картина теряет смысл. Разделение по типам даёт руководству понимание, где узкое место: инфраструктура, код приложения или бизнес-логика.
Для каждого типа стоит показывать три числа: абсолютное количество событий за период, долю от общего трафика и изменение к предыдущему периоду. Рост брутфорса в три раза при стабильном L7 DDoS говорит о целенаправленной кампании против учётных записей, а не о фоновом шуме. Падение парсинга после включения GeoIP-фильтрации подтверждает, что решение сработало. Цифры без интерпретации бесполезны, поэтому рядом с каждым типом уместна одна фраза-вывод.
Отдельно фиксируйте источник атак, если платформа это позволяет. Веб-платформа вроде TrafficVeil объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику, поэтому география и ASN атакующих собираются в одном окне. Это экономит часы на сверке логов из разных систем.
Топ атакуемых эндпоинтов и логика их отбора
Второй срез показывает, куда именно бьют. Список из 5-10 эндпоинтов с наибольшим числом заблокированных запросов обычно включает формы входа, API авторизации, поиск по каталогу, оформление заказа и админпанели. Для интернет-магазина на Bitrix или сайта на WordPress это предсказуемый набор, но цифры каждый раз удивляют: один эндпоинт может собирать 60% всех WAF-блокировок.
Полезно добавить к каждому эндпоинту долю легитимного трафика, который до него дошёл. Если /api/login блокирует 40 тысяч запросов в сутки и пропускает 200 успешных входов, вопрос к качеству паролей и наличию капчи становится предметным разговором с продуктом. Так отчёт об атаках превращается в инструмент лидогенерации улучшений, а не в архив логов.
Ложные блокировки: метрика, которую обычно прячут
Доля ложных блокировок это самая болезненная цифра отчёта, и её чаще всего выносят в приложение мелким шрифтом. Зря. Именно ложные срабатывания WAF напрямую бьют по конверсии сайта: заблокированный платёж, отклонённая регистрация, оборванная сессия. Руководство должно видеть эту цифру в основном блоке, рядом с количеством отражённых атак.
Считать долю ложных блокировок можно по-разному. Простой способ: отношение числа обращений в поддержку с жалобой на блокировку к общему числу блокировок за период. Более точный: доля запросов, которые после разбора оказались легитимными. Второй метод требует ручной выборки, но даёт реальную картину, а не только вершину айсберга из обращений.
Отдельно отслеживайте ложные блокировки по сегментам: мобильные операторы, корпоративные сети, зарубежные пользователи. чем заменить cloudflare offers additional context worth reviewing. Часто проблема локализована в одном диапазоне или в одном типе устройств, и её можно снять точечной настройкой правила, а не отключением защиты целиком.
Время реакции на инциденты: тренд вместо разового замера
Тренд по времени реакции показывает зрелость процесса, а не разовую удачу дежурной смены. Считайте медиану и 95-й процентиль отдельно: медиана в 4 минуты при 95-м процентиле в 90 минут означает, что редкие сложные инциденты всё ещё выпадают из SLA. Динамика по неделям важнее абсолютного значения, потому что отражает накопление знаний и автоматизацию.
Разбивайте время реакции на этапы: обнаружение, классификация, первое действие, полное закрытие. Узкое место обычно в классификации, когда дежурный не может быстро понять, ложное это срабатывание или реальная атака. Хорошая аналитика в панели управления сокращает этот этап сильнее, чем увеличение штата.
Как собрать данные и что писать в выводах
Сбор данных начинается с единой точки агрегации. Если DNS-сервис, reverse proxy, WAF и защита от ботов живут в разных системах, аналитик тратит больше времени на джойны логов, чем на анализ. Единая облачная защита решает это на уровне архитектуры: события приходят в одну схему с общими идентификаторами запроса.
Ниже сравнительный набор источников данных и их пригодность для отчёта об атаках. Таблица показывает, где какой показатель брать и чего ожидать по трудозатратам.
| Источник данных | Что даёт | Трудозатраты на подготовку | Пригодность для отчёта |
|---|---|---|---|
| WAF-логи | Типы атак, заблокированные запросы, эндпоинты | Средние, нужна нормализация | Высокая |
| Reverse proxy | Полный путь запроса, время ответа, коды | Низкие при готовой выгрузке | Высокая |
| Защита от ботов | Доля автоматизированного трафика, парсинг | Низкие | Средняя без разбивки по ботам |
| Логи приложения | Ошибки авторизации, аномалии бизнес-логики | Высокие, разный формат | Средняя, требует связки |
| Обращения в поддержку | Ложные блокировки глазами клиента | Низкие, но субъективно | Высокая как дополнение |
Выводы в отчёте должны быть короткими и адресными. Каждый вывод это либо подтверждение, что защита работает, либо конкретное предложение с ожидаемым эффектом. Формулировка “усилить безопасность” бесполезна, формулировка “включить GeoIP-фильтрацию для ASN X, ожидаем снижение парсинга на 30%” даёт руководству решение.
Структура списка выводов, которая работает на практике:
- Динамика по типам атак с указанием доминирующего вектора и его изменения.
- Топ-3 атакуемых эндпоинта и предложение по дополнительной защите каждого.
- Доля ложных блокировок с разбивкой по сегментам и планом снижения.
- Тренд времени реакции с указанием узкого этапа и способа его сократить.
- Одно решение, требующее бюджета или изменения процесса, с оценкой эффекта.
Отдельный пункт, который часто упускают: тарификация. Если платформа не тарифицирует ботов, атаки и WAF-блокировки, отчёт не провоцирует конфликт между безопасностью и бюджетом. Защита становится дешевле при росте атак, а не дороже, и это меняет разговор с руководством.
Практический итог: собирайте отчёт из четырёх чисел (динамика по типам, топ эндпоинтов, доля ложных блокировок, тренд времени реакции), добавляйте один адресный вывод и одно решение с бюджетом. Такой формат читается за пять минут, а не за час, и даёт руководству основания для решений. Если текущая инфраструктура не позволяет собрать эти данные в одном окне, зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса, и переход на платформу вроде TrafficVeil решает и задачу аналитики, и задачу устойчивости.
Comments are closed.