Ozon разрабатывает собственный межсетевой экран для защиты от киберугроз
Ozon разрабатывает свой WAF – систему защиты веб-приложений от атак. Как написали Habr, ServerNews, CNews и ICT.Moscow, на это указывает открытая вакансия старшего дата-специалиста, в которой говорится о расширении команды под новый проект.
WAF защищает сайты и API от вредоносного трафика: SQL-инъекций, межсайтового скриптинга, сканирования уязвимостей, атак на бизнес-логику, подозрительных запросов и ботов. Для маркетплейса это гарантия безопасности аккаунтов покупателей, кабинетов продавцов, платежей, API и инфраструктуры распродаж.
Путь к собственным системам
Ozon – одна из крупнейших цифровых платформ страны. В 2025 году оборот компании с учётом услуг вырос на 45% до 4,16 трлн рублей, а выручка до 998 млрд рублей. Изменения в защите затрагивают миллионы покупателей, продавцов и финансовых операций. Сам факт разработки WAF указывает на то, что крупные компании уходят от готовых ИБ-решений к собственным системам под свою архитектуру и трафик. Это особенно значимо для электронной коммерции с атаками на аккаунты, данные и бизнес-логику.
Пользователи получают более стабильную работу сервиса, ограничение ботов, меньше сбоев во время распродаж и лучшую защиту аккаунтов и платежей. На фоне роста рынка WAF и защиты от DDoS-атак в стране развивается собственная экспертиза в кибербезопасности. Если система для нагруженного маркетплейса докажет свою эффективность, то может быть востребована на других рынках, нуждающихся в независимых решениях.
Для себя и на перспективу
Ключевое направление развития WAF Ozon – внутренняя защита экосистемы: API, маркетплейса, кабинетов продавцов, логистических и финтех-сервисов. Такой подход поможет оперативнее настраивать защиту под свои сценарии и не зависеть от обновлений внешних поставщиков.
Рынок защиты веб-приложений и API растет. Рост потребности отмечают 80% компаний, 56% уже применяют WAF, защиту от бот-атак используют 52% организаций. Электронная коммерция остаётся одной из основных целей атак. В 2025 годуна неё пришлось около пятой части DDoS-атак, а вместе с финтехом, медиа, ИТ и телекомом этот сектор собирает до 80% всех инцидентов.
В краткосрочной перспективе проект можно рассматривать как внутренний продукт OzonTech, но в будущем допускается тиражирование практик на рынке и появление B2B-компонентов для партнёров. Разработка WAF корпоративного уровня – задача непростая. Создание такого решения для крупной инфраструктуры оценивается от сотни миллионов рублей до полумиллиарда, без учёта регулярной поддержки и развития.
Усложнение российских решений в сфере информационной безопасности
В 2024 году YandexCloud запустил Web Application Firewall в составе сервиса Smart Web Security. Он защищает веб-приложения от DDoS-атак и ботов на уровне L7 и разрешает подключать WAF и Advanced Rate Limiter. Это пример того, как крупный облачный провайдер развивает WAF как часть комплексной защиты приложений. К 2025 году WAFстал стандартом. Его стали использовать больше половины компаний, часть планирует внедрение. Это формирует благоприятный фон для Ozon и отражает общий рост спроса на защиту веб-приложений и API.
В первой половине 2025 года доля запросов, связанных с разведкой уязвимостей веб-приложений, увеличилась больше чем в пять раз – с 6,8% до 38,65% всех вредоносных обращений. Это важно для ритейла, где атаки нередко начинаются с изучения инфраструктуры, а не с немедленного взлома. В этот же период электронная торговля вошла в число основных целей DDoS-атак. Российский рынок WAF и anti-DDoS вырос до 11 млрд рублей. Оценка BI.ZONE о потенциальном ущербе свыше 50 млн рублей от одной успешной веб-атаки делает инвестиции Ozon в собственный WAF частью общего тренда на усиление и усложнение российских ИБ-решений.
Инфраструктурная зрелость
Ozon создаёт платформу прикладной киберзащиты, а не отдельный ИБ-инструмент. Это элемент инфраструктурной зрелости крупного маркетплейса. Защита должна учесть реальные сценарии работы сервиса: карточки товаров, корзину, оплату, личные кабинеты продавцов, промоакции, API и антифрод, а также активность ботов.
Прогнозируется, что в ближайшие пару лет компания будет развивать связку WAF, антибот-защиты, поведенческой аналитики и защиты API. А решение при этом останется внутренним – до накопления практики и подтверждения эффективности на высоких нагрузках.
Для рынка это сигнал о переходе от точечных WAF-продуктов к комплексным платформам защиты веб-приложений. Наибольшей популярностью такие решения будут пользоваться у маркетплейсов, банков и финтеха, служб доставки, онлайн-образования и медиа – сфер, где устойчивость и безопасность онлайн-сервисов критически важна.
