Гарда проанализировала распределение DDoS-атак за Q4 и весь 2025 год

Центр компетенций группы компаний «Гарда» провел анализ изменений ландшафта и особенностей DDoS-атак за весь 2025 год. Цель исследования — определить основные типы атак, которым подвергались компании и их распределение по отраслям в четвертом квартале и за весь 2025 год.

Распределение DDoS-атак как по отраслям, так и по типам существенно изменилось, при этом оба среза дополняют друг друга и отражают единый тренд на усложнение и целенаправленность воздействий. По отраслевому признаку злоумышленники концентрируются на телекоммуникационном сегменте и госсекторе, где совокупная доля инцидентов стабильно росла или удерживалась на высоком уровне. Одновременно снизилось количество DDoS-атак, приходящихся на ИТ-сектор и услуги, тогда как промышленность и медицина, ранее находившиеся на периферии статистики, закрепились в распределении. Это указывает на расширение круга приоритетных целей и смещение интереса злоумышленников к организациям с критичными сервисами и менее однородным уровнем сетевой безопасности.

Распределение по типам подтверждает изменение применяемых техник. В течение года резко выросла доля DNS amplification и IP fragmentation, тогда как классические TCP ACK и UDP-нагрузки последовательно теряли позиции. Кратковременные всплески отдельных TCP-сценариев во втором и третьем кварталах носили, скорее, экспериментальный характер и не закрепились к концу года. В результате к финалу 2025 года основную роль стали играть усиленные и низкоуровневые методы, позволяющие обходить традиционные средства фильтрации и эффективнее расходовать ресурсы атакующих.

Причины таких изменений связаны сразу с несколькими факторами. С одной стороны, выросла общая защищенность крупных ИТ- и телеком-компаний, что вынуждает злоумышленников адаптироваться и искать новые векторы и техники. С другой — увеличилось количество IoT-устройств, расширилась доступность отражающих сервисов и облачной инфраструктуры, что упростило применение amplification- и гибридных сценариев. Техники с усилением неплохо подходят для простых массовых и интенсивных атак, с обходом геофильтров и списков доверия. В совокупности это приводит к тому, что DDoS-атаки в 2025 году все чаще используются не для массовой перегрузки каналов, а для точечного воздействия на конкретные сервисы и сегменты инфраструктуры.

Статистика за четвертый квартал подтверждает общий тренд года и указывает на дальнейшую эволюцию тактик злоумышленников и закрепление новых приоритетов. С одной стороны, сохраняется высокая концентрация давления на телекоммуникационный сектор, который остается основной целью. С другой — устойчиво высокий уровень нагрузки на госсектор, а также рост долей промышленности и медицины говорят о расширении круга приоритетных отраслей и смещении фокуса в сторону организаций с критичными сервисами и менее зрелыми механизмами защиты.

Одновременно происходит изменение применяемых техник. В четвертом квартале резко усиливается роль DNS amplification и IP fragmentation, тогда как доля классических TCP- и UDP-нагрузок оказывается ниже прошлогодних значений. Это свидетельствует о том, что отрасли достаточно быстро адаптируются к инструментам и техникам атак на сервисы, и злоумышленникам приходится прибегать к более интенсивным атакам, которые задействуют большее количество устройств, а также позволяют обходить традиционные средства фильтрации и эффективнее расходовать собственные ресурсы. Кратковременные всплески отдельных TCP-сценариев в предыдущих кварталах сменяются сценариями с большей вероятностью реализации.

Данные подтверждают трансформацию ландшафта DDoS-атак: простые однотипные нагрузки уступают место усиленным и труднофильтруемым сценариям, требующим более глубокой сетевой и прикладной защиты.