← Cloudflare Radar / radar / investigate
Атаки на уровне приложений
Находясь в HTTP-запросы вы можете анализировать все виды веб-запросов, тогда как в application layer attacks доступны только заблокированные HTTP-запросы. Такие запросы могут быть заблокированы одним из нескольких продуктов Cloudflare, например WAF, Cloudflare DDoS Protection, Решения Cloudflare для защиты от ботов и другие.
Поскольку мы анализируем атаки, можно рассмотреть обе стороны атаки: место источника и место цели. Для определения источника атаки Cloudflare использует местоположение, связанное с IP-адресом, с которого атака исходит (учтите, что человек, организовавший атаку, может находиться не в том месте, где расположен компьютер, с которого атака фактически исходит). Для определения цели атаки Cloudflare использует платёжный адрес, связанный с зоной, подвергшейся атаке.
Возможность фильтрации по обеим сторонам атаки доступна только в top locations конечных точек. Если не указано иное, остальные конечные точки фильтруются по местоположению источника, например по локации, откуда исходила атака.
Величина атаки определяется общим количеством заблокированных запросов.
Как и в HTTP-запросы, эти эндпоинты можно разделить на возможность получить временной ряд, единое значение, обобщающее весь диапазон дат, и список топ-локаций.
Список конечных точек
Timeseries
Пример: почасовые запросы на снижение угроз по продуктам
Рассмотрим глобальное распределение заблокированных запросов по продуктам.
curl "https://api.cloudflare.com/client/v4/radar/attacks/layer7/timeseries_groups/mitigation_product?aggInterval=1h&dateRange=1d&name=attacks&format=json" \
--header "Authorization: Bearer <API_TOKEN>"Из приведённого ниже сокращённого ответа видно, что распределённые атаки типа «отказ в обслуживании» (DDoS) составляют большинство запросов: это закономерно, поскольку DDoS-атаки по самой своей природе порождают больше запросов. За ними следуют запросы WAF, а затем запросы IP reputation.
{
"success": true,
"errors": [],
"result": {
"attacks": {
"timestamps": ["2022-11-05T11:00:00Z", ".."],
"ddos": ["53.824302", "54.305823", ".."],
"waf": ["39.760956", "39.31228", ".."],
"ip_reputation": ["5.623487", "5.485468", ".."],
"access_rules": ["0.648368", "0.676456", ".."],
"bot_management": ["0.139733", "0.217155", ".."],
"api_shield": ["0.003154", "0.002819", ".."],
"data_loss_prevention": ["0.0", "0.0", ".."]
},
"meta": {
"dateRange": {
"startTime": "2022-11-05T11:00:00Z",
"endTime": "2022-11-06T11:00:00Z"
},
// ...
}
}
}Дополнительные сведения см. в Получение временного ряда атак уровня 7 по способу защиты.
Сводка
Пример: запросы на снижение угроз по продуктам
Также можно фильтровать по географическому источнику и рассмотреть атаки, исходящие из конкретного места. В следующем примере рассматриваются атаки, исходящие из Великобритании:
curl "https://api.cloudflare.com/client/v4/radar/attacks/layer7/summary?location=GB&name=attacks_gb&aggInterval=1h&dateRange=1d&format=json" \
--header "Authorization: Bearer <API_TOKEN>"{
"success": true,
"errors": [],
"result": {
"attacks_gb": {
"waf": "75.012138",
"ddos": "18.539149",
"ip_reputation": "5.721021",
"access_rules": "0.592515",
"bot_management": "0.131998",
"api_shield": "0.003178",
"data_loss_prevention": "0.0"
},
"meta": {
// ...
}
}
}Это означает, что 75% всех заблокированных запросов, поступивших из Великобритании, были заблокированы с помощью WAF продукт.
Дополнительные сведения см. в Получение сводки атак уровня 7.
Топ
Пример: топ целевых локаций
В следующем примере мы рассмотрим основные локации, которые чаще всего становятся целью атак на уровне приложений за последние 24 часа:
curl "https://api.cloudflare.com/client/v4/radar/attacks/layer7/top/locations/target?name=attacks_target&limit=5&dateRange=1d&format=json" \
--header "Authorization: Bearer <API_TOKEN>"{
"success": true,
"errors": [],
"result": {
"attacks_target": [
{
"targetCountryName": "Belgium",
"targetCountryAlpha2": "BE",
"value": "18.536740",
"rank": 1
},
{
"targetCountryName": "United States",
"targetCountryAlpha2": "US",
"value": "16.116210",
"rank": 2
},
{
"targetCountryName": "China",
"targetCountryAlpha2": "CN",
"value": "13.864696",
"rank": 3
},
{
"targetCountryName": "India",
"targetCountryAlpha2": "IN",
"value": "4.344139",
"rank": 4
},
{
"targetCountryName": "Germany",
"targetCountryAlpha2": "DE",
"value": "4.182777",
"rank": 5
}
],
"meta": {
"dateRange": {
"startTime": "2022-11-05T12:00:00Z",
"endTime": "2022-11-06T12:00:00Z"
},
// ...
}
}
}За указанный период запросы на снижение угроз для зон с платежным адресом в Бельгии составляют 18%.
Дополнительные сведения см. в Получение основных целевых локаций атак уровня 7.
Пример: топ атак
Какие пары локаций источник и цель формируют самые крупные атаки за последние 24 часа?
curl "https://api.cloudflare.com/client/v4/radar/attacks/layer7/top/attacks?limit=5&dateRange=1d&format=json" \
--header "Authorization: Bearer <API_TOKEN>"Типичный ответ будет выглядеть примерно так:
{
"success": true,
"errors": [],
"result": {
"top_0": [
{
"originCountryName": "United States",
"originCountryAlpha2": "US",
"targetCountryName": "United States",
"targetCountryAlpha2": "US",
"value": "3.790724",
"rank": 1
},
{
"originCountryName": "United States",
"originCountryAlpha2": "US",
"targetCountryName": "Belgium",
"targetCountryAlpha2": "BE",
"value": "3.602177",
"rank": 2
},
{
"originCountryName": "China",
"originCountryAlpha2": "CN",
"targetCountryName": "Netherlands",
"targetCountryAlpha2": "NL",
"value": "3.017341",
"rank": 3
},
{
"originCountryName": "China",
"originCountryAlpha2": "CN",
"targetCountryName": "China",
"targetCountryAlpha2": "CN",
"value": "2.472068",
"rank": 4
},
{
"originCountryName": "Indonesia",
"originCountryAlpha2": "ID",
"targetCountryName": "China",
"targetCountryAlpha2": "CN",
"value": "2.056729",
"rank": 5
}
],
"meta": {
// ...
}
}
}Это означает, что 3.79% всех заблокированных запросов приходится на трафик внутри США в обе стороны, 3.6% всех заблокированных запросов приходится на трафик из США в Бельгию и так далее.
Дополнительные сведения см. в Получение основных пар атак уровня 7.
Следующие шаги
См. Атаки сетевого уровня для получения дополнительной информации о данных на третьем уровне модели взаимодействия открытых систем (OSI).