Bandwidth-амплификация x783 через HTTP/2: новая угроза для корпоративных CDN

В июле 2026 года исследователи безопасности обнаружили новый метод усиления DDoS-атак, использующий особенности трансляции протоколов HTTP/2 в HTTP/1.1 на стороне CDN. Коэффициент амплификации достиг рекордных значений — до 783 раз. Это означает, что злоумышленник, отправляя один байт трафика, может заставить CDN сгенерировать до 783 байт в направлении жертвы. Угроза особенно актуальна для корпоративных сетей, использующих публичные CDN для ускорения доставки контента.

🔍 Механизм амплификации: HTTP/2 → HTTP/1.1 трансляция

HTTP/2 поддерживает мультиплексирование — несколько запросов могут передаваться по одному TCP-соединению одновременно. При этом клиент может отправлять кадры PRIORITY, RST_STREAM и другие управляющие сообщения. Когда CDN (например, Cloudflare) получает HTTP/2-запрос и транслирует его в HTTP/1.1 для origin-сервера, возникает асимметрия: небольшие управляющие кадры HTTP/2 могут приводить к генерации полноценных HTTP/1.1-запросов с большими заголовками и телом. Дополнительный эффект даёт механизм server push, который может быть инициирован клиентом через манипуляции с приоритетами.

В результате злоумышленник, контролируя один HTTP/2-поток, способен заставить CDN многократно пересылать одни и те же данные или генерировать ответы большого объёма. Коэффициент x783 получен в лабораторных условиях при оптимальной конфигурации атаки; в реальных сценариях он может варьироваться от 100 до 500.

⚠️ Почему корпоративные CDN под ударом

Корпоративные сети часто используют CDN для разгрузки origin-серверов и улучшения пользовательского опыта. Cloudflare, Akamai, Fastly и другие провайдеры поддерживают HTTP/2 на своих edge-серверах. При этом трансляция в HTTP/1.1 выполняется на стороне CDN, что создаёт точку уязвимости. Злоумышленник может направить специально сформированные HTTP/2-кадры на edge-сервер, который затем сгенерирует лавину HTTP/1.1-запросов к защищаемому origin-серверу. В результате жертвой становится не сам CDN, а конечный сервер клиента.

Особенно уязвимы конфигурации, где разрешён server push, не ограничено количество параллельных потоков, а origin-сервер не имеет собственной защиты от амплификации. Даже если CDN фильтрует трафик на своём уровне, часть усиленного трафика может пройти к цели.

📊 Сравнение с другими видами амплификации

Хотя Memcached даёт больший коэффициент, его использование ограничено из-за необходимости доступа к открытым Memcached-серверам, которых становится всё меньше. HTTP/2-амплификация использует легитимные CDN-инфраструктуры, что делает её более устойчивой и трудно блокируемой.

🛡️ Методы защиты

Настройка лимитов на стороне CDN

• Ограничить количество параллельных HTTP/2-потоков на одно соединение (рекомендуется не более 100).
• Отключить server push, если он не критичен для бизнеса.
• Установить лимиты на размер заголовков и тела запроса при трансляции.

Использование WAF и систем обнаружения аномалий

• Настроить WAF (например, ModSecurity или облачные WAF) на анализ аномальных паттернов HTTP/2-кадров.
• Внедрить SIEM-систему для мониторинга резких скачков трафика от CDN к origin.
• Применить поведенческий анализ: если один клиент генерирует необычно много запросов — временно блокировать.

Архитектурные меры

• Разместить origin-сервер за дополнительным балансировщиком, который фильтрует избыточный трафик.
• Использовать протокол HTTP/3 (QUIC) как альтернативу — он менее подвержен данному типу амплификации.
• Регулярно тестировать устойчивость CDN к амплификации с помощью нагрузочных тестов.

✅ Чек-лист для администраторов CDN

1. Проверьте, поддерживает ли ваш CDN-провайдер HTTP/2 и как настроена трансляция в HTTP/1.1.
2. Отключите server push, если он не используется.
3. Ограничьте максимальное количество потоков HTTP/2 до 100.
4. Настройте мониторинг трафика между CDN и origin-сервером на предмет аномального роста.
5. Внедрите WAF с правилами для HTTP/2-амплификации (например, блокировка кадров PRIORITY с определёнными флагами).
6. Проведите нагрузочное тестирование с имитацией атаки (используйте инструменты вроде h2load или custom скрипты).
7. Обновите план реагирования на инциденты, включив в него сценарий амплификации через CDN.

Угроза bandwidth-амплификации через HTTP/2 требует немедленного внимания со стороны команд безопасности. В отличие от классических DDoS, этот вектор использует легитимные механизмы протокола и инфраструктуру CDN, что делает его сложным для обнаружения. Проактивная настройка лимитов, мониторинг и использование современных WAF помогут снизить риск до минимума. Рекомендуется следить за обновлениями от CDN-провайдеров и исследовательских групп — на момент написания статьи официальные CVE ещё не присвоены, но патчи и рекомендации уже появляются.

📚 Читайте также

• Оценка эффективности SOC: ключевые метрики и KPI для руководителя
• DNS-туннелирование: как злоумышленники прячут трафик в DNS-запросах и как это выявить
• WAF: как выбрать и настроить Web Application Firewall в 2026
• Неотключаемый бэкдор в роботах-газонокосилках Yarbo: риски IoT для умного дома
• Cloud Security: 10 критических настроек AWS/Azure/GCP

📖 Термины

DNS · SIEM · WAF · Сетевой трафик

🔗 Источники

• Bandwidth амплификация с коэффициентом x783, вызванная трансляцией HTTP/2 → HTTP/1.1 в Cloudflare(2026-07-28 ✓)
• ClickFix на macOS: как работает атака через «Терминал» и как защититься | Блог Касперского(2026-07-28 ✓)
• Когда недостаточно проверить URL: атака Device Code Phishing через ресурс Microsoft(2026-07-28 ✓)