← Cloudflare Radar / radar / investigate

Атаки сетевого уровня

Атаки сетевого уровня показывают DDoS ↗ трендов атак на сетевом уровне. Эти атаки можно разделить по используемому сетевому протоколу: ICMP ↗, TCP ↗, UDP ↗ и другие.

При фильтрации по локации или автономной системе (AS) выполняется фильтрация по локации или AS источника атаки. Она может значительно отличаться от местонахождения человека, организовавшего атаку. Подробнее см. ботнеты ↗, где это описано подробнее.

Список конечных точек

Timeseries

Пример: почасовая процентная разбивка по методу атаки

В следующем примере мы сравним распределение отражённых атак по сетевому протоколу в мире и в Сингапуре:

curl "https://api.cloudflare.com/client/v4/radar/attacks/layer3/timeseries_groups?name=global&dateRange=1d&location=&name=singapore&location=SG&dateRange=1d&aggInterval=1h&format=json" \
--header "Authorization: Bearer <API_TOKEN>"

Если рассмотреть сокращённый ответ ниже, можно сделать вывод, что глобально в указанные моменты времени UDP и TCP атаки были распределены примерно поровну.

{
  "success": true,
  "errors": [],
  "result": {
    "global": {
      "timestamps": ["2022-11-06T13:00:00Z", "2022-11-06T14:00:00Z", "..."],
      "udp": ["50.784034", "51.055221", "..."],
      "tcp": ["49.213944", "48.943769", "..."],
      "icmp": ["0.002023", "0.001009", "..."],
      "gre": ["0.0", "0.0", "0.0", "..."]
    },
    "singapore": {
      "timestamps": ["2022-11-06T13:00:00Z", "2022-11-06T14:00:00Z", "..."],
      "tcp": ["79.605287", "83.943885", "..."],
      "udp": ["20.394594", "16.056115", "..."],
      "icmp": ["0.000119", "0.0", "..."],
      "gre": ["0.0", "0.0", "..."]
    },
    "meta": {
      "dateRange": {
        "startTime": "2022-11-06T13:00:00Z",
        "endTime": "2022-11-07T13:00:00Z"
      },
      "normalization": "PERCENTAGE",
			// ...
    }
  }
}

Также можно сделать вывод, что распределение атак на сетевом уровне, поступающих из Сингапура (точнее, достигающих дата-центра Cloudflare, расположенного в Сингапуре), заметно отличается от общемирового распределения. В эти периоды времени распределение атак на сетевом уровне явно смещено в сторону TCP ↗.

Дополнительную информацию см. в Справочник по API для этой конечной точки.

Сводка

Пример: Россия, общая процентная разбивка по сетевым протоколам

Также можно фильтровать по географическому источнику и рассмотреть атаки, исходящие из России:

curl "https://api.cloudflare.com/client/v4/radar/attacks/layer3/summary?location=RU&name=attacks_ru&dateRange=1d&format=json" \
--header "Authorization: Bearer <API_TOKEN>"

{
  "success": true,
  "errors": [],
  "result": {
    "attacks_ru": {
      "udp": "86.682356",
      "tcp": "11.928664",
      "gre": "1.381015",
      "icmp": "0.007965"
    },
    "meta": {
      "dateRange": {
        "startTime": "2022-11-06T15:00:00Z",
        "endTime": "2022-11-07T15:00:00Z"
      },
      "normalization": "PERCENTAGE",
			// ...
    }
  }
}

Ответ показывает, что атаки, исходящие из России в другие локации, чаще всего использовали UDP ↗ сетевого протокола в эти моменты времени.

Дополнительную информацию см. в Справочник по API для этой конечной точки.

Следующие шаги

См. DNS чтобы узнать больше об агрегированных и анонимизированных DNS-запросах к резолверу Cloudflare 1.1.1.1 службы публичного резолвера.