Как мы провели год под постоянными атаками. Задорно 😄

Продажа SaaS продукта в ниши из серой зоны имеет необычный челендж – некоторые ваши пользователи и конкуренты находят любопытными атаки на вас. Пока я был CTO у такого продукта, нам приходилось сталкиваться с разными инцидентами – от DDoS атак и захвата лендинга до извращенного абьюза бесплатного прайсинг плана. И атаки шли регулярно.

1. DDoS – король. TLDR Влияние на инфру во время атак было в районе 0.

Архитектура системы была обновлена, чтобы встречать DDoS атаки нативно. Никакие чувствительные компоненты не выглядывают наружу. Несколько уровней защиты в лице CloudFlare и AWS сервисов, включая их спецназ по безопасности на телефоне, если ситуация станет слишком серьезной.

С другим продуктом все было куда хуже и его пробивали без проблем. Почему? Детали в полном посте на Boosty.

2. Захват лендинг страницы. Продукт использовал Wordpress для лендинг страницы. Это был не традиционный лендос, а огромная CMS с кучей маркетингового материала.

А где Wordpress там и его плагины, которые нужно часто обновлять иначе получишь дыры. А Wordpress на проде не простой, с ним тащится и бекенд и БД. Лакомая цель для взлома и большой фланг для атаки.

Взламывали лендос часто, всегда через известные дыры в плагинах, которые не успели еще обновить. Почему не обновляли плагины? О тут все очень кудряво и политкорректно ответить не смогу, зато на Boosty ответы есть.

Взломали и что? Cтавили редиректы на турецкие сайты со скамом 😂

В итоге с прода Wordpress убрали, а вместо него оставили статический лендос, который Wordpress генерил. Удачи взламывать CloudFlare теперь 😄

3. Абьюз функционала. Как только мы добавили бесплатный план в продукт, некоторые пользователи решили, что кушать мы не любим и надо обязательно заабьюзить бесплатные фичи.

Создавались сети ботов на бесплатных планах и другие извращенные способы – всех под бан. Я создал кастомную GPT модель, которая раз в неделю анализировала новые регистрации, выявляла различные типы абьюза и отправляла батчи под бан.

Мы не искали серебряную пулю, важно было сделать абьюз более затратным чем покупка нашей подписки✨

Я постарался очень политкорректно описать кейсы, и это было сложно, от некоторых у меня до сих пор подгорает 🤣 На Boosty можно увидеть полную версию без цензуры с техническими деталями.

P.S. Могу помочь с архитектурой и управлением разработкой в ваших компаниях.