← Cloudflare Radar / radar / reference

Ежеквартальные отчёты об угрозах DDoS

Ежеквартальные отчёты об угрозах DDoS дают исчерпывающий обзор DDoS-атака аналитику и тенденции за трехмесячный период.

Благодаря масштабной сети Cloudflare мы предоставляем данные о развитии угроз: об изменениях в размерах атак, применяемых техниках, странах-источниках, а также странах и отраслях, чаще всего становящихся целью атак. Каждый отчёт даёт общую картину, подробно разбирает значимые атаки и кампании и показывает, как меняется тактика DDoS, сочетая анализ данных с выводами, которые помогают лучше понять картину киберугроз.

Последние квартальные отчёты об угрозах DDoS доступны в разделе Отчеты ↗ раздела Cloudflare Radar.

Основная система защиты от DDoS у Cloudflare, DDoS Managed Ruleset, генерирует отпечатки DDoS-атак в реальном времени, которые она автоматически обнаруживает и блокирует. Хотя для одной DDoS-атаки или кампании атак может быть сгенерировано несколько отпечатков, мы подсчитываем уникальные отпечатки, приведшие к блокировке, чтобы получить представление о количестве DDoS-атак за определённый период времени. В некоторых случаях можно наблюдать «взрыв» количества отпечатков из-за рандомизированных DDoS-атак, но в целом этот показатель служит надёжным индикатором для отслеживания динамики во времени.

На данный момент количество DDoS-атак не учитывает система Advanced TCP Protection или система Advanced DNS Protection. Мы также не учитываем блокировки, выполненные с помощью правил или конфигураций, созданных клиентом.

Системы Cloudflare постоянно анализируют трафик и автоматически применяют меры защиты при обнаружении DDoS-атак. Каждому клиенту, подвергшемуся атаке, предлагается автоматизированный опрос, чтобы помочь Cloudflare лучше понять характер атаки и результативность защиты. Более двух лет Cloudflare опрашивает клиентов, подвергшихся атакам. Один из вопросов опроса спрашивает респондентов, получали ли они угрозу или требование выкупа. В последние несколько лет Cloudflare в среднем собирает около 200 ответов за квартал. Ответы на этот опрос используются для расчета доли DDoS-атак с требованием выкупа.

На уровне приложений Cloudflare определяет страну происхождения атак по IP-адресам атакующих. Это возможно, поскольку на этом уровне IP-адреса нельзя подделать ¹ (или изменены). Однако на сетевом уровне исходные IP-адреса можно подделать. Поэтому вместо того чтобы определять источник по IP-адресу, Cloudflare использует расположение дата-центра, в который поступили пакеты атаки. Благодаря широкому глобальному покрытию Cloudflare, охватывающему более 300 локаций по всему миру, удаётся добиться высокой географической точности.

И для DDoS-атак на уровне приложений, и для атак на сетевом уровне данные об атаках и трафике группируются по стране, указанной в биллинговом адресе клиента. Это помогает Cloudflare определить, какие страны чаще подвергаются атакам.

И для DDoS-атак на уровне приложений, и для атак на сетевом уровне данные об атаках и трафике группируются по отрасли клиента согласно внутренней системе управления взаимоотношениями с клиентами. Это помогает Cloudflare определить, какие отрасли чаще подвергаются атакам.

Как для анализа источников, так и для анализа целей атак Cloudflare учитывает общий объём трафика атак по отношению ко всему трафику в качестве одного показателя. Кроме того, Cloudflare учитывает долю трафика атак, направленного на определённую страну или отрасль либо исходящего из них. Так мы получаем «показатель активности атак» для конкретной страны или отрасли, нормализованный по общему объёму их трафика. Это помогает устранить смещение, возникающее из-за того, что страна или отрасль, которая обычно получает много трафика, соответственно получает и больше трафика атак.

Для анализа источников, целей и отраслей Cloudflare может рассчитывать «Rank» для каждого измерения. При расчёте учитываются HTTP DDoS-атаки, атаки на сетевом уровне, а также общий объём и доля трафика DDoS-атак от общего трафика для каждого типа атак. Система рейтингов позволяет Cloudflare выразить одним простым показателем, например, насколько сильно атакуется определённая отрасль. На графиках значения Rank отображаются в инвертированном виде: чем длиннее столбец на диаграмме, тем выше рейтинг и больше атак.

Чтобы рассчитать размер атаки, ее длительность, векторы атаки и новые угрозы, Cloudflare группирует атаки по интервалам и указывает долю каждой группы от общего количества по каждому измерению.

Однако в Распределение атак сетевого уровня графика Security & Attacks ↗ странице Radar эти тренды вместо этого рассчитываются по количеству байт. Поскольку атаки могут сильно отличаться друг от друга по количеству байт, тренды в квартальных отчётах и на графике в Cloudflare Radar могут различаться.

Когда Cloudflare указывает «топ стран» как источник или цель атак, это не обязательно означает, что атаке подверглась именно страна. Речь идет о том, что атакам подверглись организации, для которых эта страна указана как страна выставления счетов.

Аналогично, фраза «атаки, исходящие из страны» не означает, что атаку организовала именно эта страна: она означает лишь то, что атака была запущена с IP-адресов, привязанных к этой стране. Злоумышленники управляют глобальными ботнетами с узлами по всему миру и часто также используют VPN (виртуальные частные сети) и прокси-серверы для сокрытия истинного местоположения. Это означает, что страна источника может указывать на наличие в ней exit-узлов или узлов ботнета.

Аналитика и тенденции, представленные в квартальных отчетах, не включают отдельные страны и отрасли, если данных недостаточно для получения статистически значимых результатов.

На картографических диаграммах страны и регионы окрашены по расходящейся шкале: от белого (минимальное значение) до красного (максимальное значение). Шкала меняется в зависимости от выбранной группы континентов.