← Cloudflare Radar / radar / reference

Čtvrtletní zprávy o hrozbách DDoS

Čtvrtletní zprávy o hrozbách DDoS poskytují ucelený přehled o útok DDoS přehledy a trendy za období tří měsíců.

Díky své rozsáhlé síti poskytuje Cloudflare přehled o vyvíjejícím se bezpečnostním prostředí, včetně změn ve velikosti útoků, použitých technikách, hlavních zdrojových a cílových zemích a cílených odvětvích. Každá zpráva nabízí globální pohled, podrobně popisuje významné útoky a kampaně a sleduje vývoj taktik DDoS útoků. Zprávy tak kombinují analýzu dat s poznatky, které pomáhají lépe porozumět prostředí kybernetických hrozeb.

Nejnovější čtvrtletní zprávy o hrozbách DDoS najdete v Reporty ↗ Cloudflare Radaru.

Hlavní systém Cloudflare pro ochranu proti DDoS, DDoS Managed Ruleset, generuje otisky v reálném čase pro DDoS útoky, které automaticky detekuje a zmírňuje. Pro jeden DDoS útok nebo útočnou kampaň může vzniknout více otisků, proto počítáme unikátní otisky, u kterých došlo ke zmírnění, abychom získali přehled o počtu DDoS útoků za dané období. V některých případech sice můžeme kvůli náhodně generovaným DDoS útokům vidět takzvanou explozi otisků, ve většině případů nám ale tento ukazatel poskytuje spolehlivý údaj pro sledování v čase.

Počet útoků DDoS aktuálně nezohledňuje systém Advanced TCP Protection nebo systém Advanced DNS Protection. Nezohledňujeme také žádná zmírnění vytvořená pravidly nebo konfigurací zákazníka.

Systémy Cloudflare neustále analyzují provoz a při zjištění útoku DDoS automaticky uplatní zmírnění. Každému napadenému zákazníkovi se zobrazí automatizovaný dotazník, který Cloudflare pomáhá lépe porozumět povaze útoku a úspěšnosti zmírnění. Cloudflare tímto způsobem oslovuje napadené zákazníky již více než dva roky. Jedna z otázek dotazníku se ptá respondentů, zda obdrželi hrozbu nebo výhružný dopis s požadavkem výkupného. Za posledních několik let Cloudflare v průměru shromáždil kolem 200 odpovědí za čtvrtletí. Odpovědi z tohoto dotazníku slouží k výpočtu podílu útoků DDoS s výkupným.

Na aplikační vrstvě Cloudflare využívá IP adresy útočníků ke zjištění země původu útoků, protože na této vrstvě nelze IP adresy podvrhnout ¹ (nebo upravena). Na síťové vrstvě je však možné zdrojové IP adresy podvrhnout. Cloudflare proto při určování zdroje nevychází z IP adres, ale z polohy datových center, ve kterých byly útočné pakety přijaty. Díky rozsáhlému globálnímu pokrytí Cloudflare, které zahrnuje více než 300 lokalit po celém světě, lze dosáhnout vysoké geografické přesnosti.

U útoků DDoS na aplikační i síťové vrstvě se útoky a provoz seskupují podle fakturační země zákazníka. Díky tomu Cloudflare zjišťuje, které země čelí většímu počtu útoků.

U útoků DDoS na aplikační i síťové vrstvě se útoky a provoz seskupují podle odvětví zákazníka, a to na základě interního systému pro správu vztahů se zákazníky. Díky tomu Cloudflare zjišťuje, která odvětví čelí většímu počtu útoků.

Pro přehledy zdroje i cíle Cloudflare porovnává celkový objem útočného provozu s celkovým provozem jako jeden datový bod. Kromě toho Cloudflare zohledňuje také procento útočného provozu směřujícího do dané země nebo z ní, případně do daného odvětví. Díky tomu získáváme „míru útočné aktivity" pro danou zemi nebo odvětví, normalizovanou podle celkové úrovně jejich provozu. To nám pomáhá odstranit zkreslení u zemí nebo odvětví, které běžně přijímají velký objem provozu, a tím pádem i velký objem útočného provozu.

Pro přehledy zdroje, cíle a odvětví může Cloudflare pro každou dimenzi vypočítat „pořadí". Výpočet zohledňuje útoky DDoS na aplikační vrstvě, útoky DDoS na síťové vrstvě a celkový objem i procento útočného provozu DDoS z celkového provozu pro každý typ útoku. Systém pořadí umožňuje Cloudflare poskytnout jednoduché skóre, které vyjadřuje, jak moc je dané odvětví například napadáno. V grafech se hodnoty pořadí zobrazují obráceně (delší sloupec v grafu znamená vyšší pořadí a více útoků).

Pro výpočet velikosti útoku, jeho trvání, vektorů útoku a nově vznikajících hrozeb Cloudflare rozděluje útoky do bucketů a poté u každé dimenze uvádí podíl jednotlivých bucketů na celkovém počtu.

Nicméně v Rozložení útoků na síťové vrstvě grafu Bezpečnost a útoky ↗ Radaru se tyto trendy počítají místo toho podle počtu bajtů. Vzhledem k tomu, že se útoky mohou v počtu bajtů výrazně lišit, mohou se trendy uvedené ve čtvrtletních zprávách lišit od grafu zobrazeného v Cloudflare Radaru.

Když Cloudflare označuje „top countries“ jako zdroj nebo cíl útoků, neznamená to nutně, že byla napadena určitá země jako celek, ale spíše že útokům byly vystaveny organizace, které tuto zemi uvádějí jako svou fakturační zemi.

Podobně platí, že „útoky pocházející z dané země“ neznamenají, že daná země útoky spustila, ale že útok byl veden z IP adres přiřazených k tomuto státu. Aktéři hrozeb provozují globální botnety s uzly po celém světě a často také využívají VPN (virtuální privátní sítě) a proxy servery k zamaskování své skutečné polohy. To znamená, že země původu může naznačovat přítomnost exit uzlů nebo uzlů botnetu v dané zemi.

Poznatky a trendy uvedené ve čtvrtletních zprávách nezahrnují některé země a odvětví, pokud pro ně není dostatek dat pro statisticky významné závěry.

V mapových grafech jsou země a regiony obarveny pomocí divergentní škály, která sahá od bílé (minimální hodnota) po červenou (maximální hodnota). Škála se liší podle vybrané skupiny světadílů.