2022年第一季度DDoS攻擊趨勢(shì)（上）

歡迎閱讀我們2022年度的第一份DDoS報(bào)告，也是迄今為止第九份報(bào)告。本報(bào)告包括2022年1月至3月期間，在Cloudflare全球網(wǎng)絡(luò)的應(yīng)用層和網(wǎng)絡(luò)層觀察到的新數(shù)據(jù)點(diǎn)和深入分析。

2022年第一季度，應(yīng)用層DDoS攻擊出現(xiàn)激增，但網(wǎng)絡(luò)層DDoS攻擊的總數(shù)有所下降。盡管如此，我們觀察到的容量耗盡型DDoS攻擊仍較上一季度增加了645%，而且我們緩解了一次新的零日反射攻擊，其放大系數(shù)達(dá)到22億倍。

在俄羅斯和烏克蘭的網(wǎng)絡(luò)空間，受到最多攻擊的是網(wǎng)絡(luò)媒體和廣播媒體。在我們位于阿塞拜疆和巴勒斯坦的Cloudflare數(shù)據(jù)中心，我們已經(jīng)看到DDoS活動(dòng)激增——表明這些地區(qū)內(nèi)有僵尸網(wǎng)絡(luò)在運(yùn)行。

要點(diǎn)

俄羅斯與烏克蘭網(wǎng)絡(luò)空間

·俄羅斯網(wǎng)絡(luò)媒體公司成為第一季度俄羅斯國(guó)內(nèi)受到最多攻擊的行業(yè)。第二大目標(biāo)是互聯(lián)網(wǎng)行業(yè)，其次是加密貨幣，再次是零售。盡管針對(duì)俄羅斯加密貨幣公司的許多攻擊源自烏克蘭或美國(guó)，但另一個(gè)主要攻擊來(lái)源來(lái)自俄羅斯國(guó)內(nèi)本身。

·針對(duì)俄羅斯公司的大多數(shù)HTTP DDoS攻擊源于德國(guó)、美國(guó)、新加坡、芬蘭、印度、荷蘭和烏克蘭。值得注意的是，能夠識(shí)別網(wǎng)絡(luò)攻擊流量的來(lái)源不同于能夠識(shí)別攻擊者的位置。

·對(duì)烏克蘭發(fā)動(dòng)的攻擊以廣播媒體和出版網(wǎng)站為目標(biāo)，且顯得更為分散，源于更多國(guó)家/地區(qū)，這可能表明攻擊者使用了全球僵尸網(wǎng)絡(luò)。盡管如此，大多攻擊流量源于美國(guó)、俄羅斯、德國(guó)、中國(guó)、英國(guó)和泰國(guó)。

勒索DDoS攻擊

·2022年1月，超過(guò)17%的受攻擊者報(bào)稱(chēng)成為勒索DDoS攻擊的目標(biāo)或提前收到威脅。

·這個(gè)數(shù)字在2月期間大幅下降至6%，然后在3月下降至3%。

·整個(gè)第一季度期間，僅10%的受訪者報(bào)告勒索DDoS攻擊；同比下降28%，環(huán)比下降52%。

應(yīng)用層DDoS攻擊

·2022年第一季度是過(guò)去12個(gè)月內(nèi)應(yīng)用層攻擊最活躍的季度。HTTP層DDoS攻擊同比增長(zhǎng)164%，環(huán)比增長(zhǎng)135%。

·更深入分析可見(jiàn)，2022年3月的HTTP DDoS攻擊比整個(gè)第四季度都要多（也超過(guò)第三季度的總數(shù)和第一季度的總數(shù)）。

·繼中國(guó)連續(xù)四個(gè)季度為HTTP DDoS攻擊的最大來(lái)源后，美國(guó)在本季度上升到首位。源于美國(guó)的HTTP DDoS攻擊環(huán)比增長(zhǎng)6777%，同比增長(zhǎng)2225%。

網(wǎng)絡(luò)層DDoS攻擊

·第一季度期間，網(wǎng)絡(luò)層攻擊同比增長(zhǎng)71%，但環(huán)比下降58%。

·網(wǎng)絡(luò)層DDoS攻擊的最主要目標(biāo)是電信行業(yè)，其次為游戲和博彩公司，信息技術(shù)和服務(wù)業(yè)。

·第一季度容量耗盡型攻擊錄得增長(zhǎng)。超過(guò)10Mpps的攻擊環(huán)比增長(zhǎng)300%，超過(guò)100 Gpbs的攻擊環(huán)比增長(zhǎng)645%。

本報(bào)告基于Cloudflare DDoS防護(hù)系統(tǒng)自動(dòng)檢測(cè)并緩解的DDoS攻擊。

簡(jiǎn)要說(shuō)明一下我們?nèi)绾螠y(cè)量在我們網(wǎng)絡(luò)上觀察到的DDoS攻擊。

為分析攻擊趨勢(shì)，我們計(jì)算“DDoS活動(dòng)”率，即攻擊流量占我們?nèi)蚓W(wǎng)絡(luò)上觀察到的總流量（攻擊+清洗）、或在特定地點(diǎn)、或特定類(lèi)別（如行業(yè)或賬單國(guó)家）流量中的百分比。通過(guò)測(cè)量百分比，我們能夠?qū)?shù)據(jù)點(diǎn)進(jìn)行標(biāo)準(zhǔn)化，并避免絕對(duì)數(shù)字所反映出來(lái)的偏差。例如，如果某個(gè)Cloudflare數(shù)據(jù)中心接收到更多流量，則其也可能受到更多攻擊。

勒索攻擊

我們的系統(tǒng)持續(xù)分析流量，并在檢測(cè)到DDoS攻擊時(shí)自動(dòng)應(yīng)用緩解措施。每個(gè)遭受DDoS攻擊的客戶都會(huì)收到自動(dòng)調(diào)查的提示，以幫助我們更好地了解攻擊的性質(zhì)和緩解是否成功。

兩年多來(lái)，Cloudflare一直對(duì)受到攻擊的客戶進(jìn)行調(diào)查，其中一個(gè)問(wèn)題是客戶是否收到勒索信，要求其支付贖金來(lái)?yè)Q取停止DDoS攻擊。在前一個(gè)季度——2021年第四季度，我們觀察到報(bào)告的勒索DDoS攻擊占比達(dá)到創(chuàng)紀(jì)錄的水平（20%）。這個(gè)季度期間，我們觀察到勒索DDoS攻擊比例有所下降，僅10%的受訪者報(bào)告勒索DDoS攻擊；同比下降28%，環(huán)比下降52%。

報(bào)告遭受勒索DDoS攻擊或在攻擊前收到威脅的受訪者所占百分比

按月細(xì)分，2022年1月是第一季度期間最多受訪者報(bào)告收到勒索信的月份。比例接近五分之一（17%）。

應(yīng)用層DDoS攻擊

應(yīng)用層DDoS攻擊，特別是HTTP DDoS攻擊，旨在通過(guò)使HTTP服務(wù)器無(wú)法處理合法用戶請(qǐng)求來(lái)造成破壞。如果服務(wù)器收到的請(qǐng)求數(shù)量超過(guò)其處理能力，服務(wù)器將丟棄合法請(qǐng)求甚至崩潰，導(dǎo)致對(duì)合法用戶的服務(wù)性能下降或中斷。

應(yīng)用層DDoS攻擊月度分布

第一季度期間，應(yīng)用層DDoS攻擊同比激增164%，環(huán)比激增135%，成為過(guò)去一年內(nèi)攻擊最活躍的季度。

2022年第一季度期間，應(yīng)用層DDoS攻擊上升至歷史新高。僅3月而言，HTTP DDoS攻擊就超過(guò)整個(gè)2021年第四季度（也超過(guò)第三季度的總數(shù)和第一季度的總數(shù)）。

（圖）過(guò)去12個(gè)月每季度應(yīng)用層DDoS攻擊的月度分布

應(yīng)用層DDoS攻擊：行業(yè)分布

消費(fèi)電子是第一季度期間受到最多攻擊的行業(yè)。

全球范圍內(nèi)，消費(fèi)電子行業(yè)是受到最多攻擊的行業(yè)，環(huán)比增長(zhǎng)5086%。居第二位的是網(wǎng)絡(luò)媒體行業(yè)，環(huán)比增長(zhǎng)2131%。第三位是計(jì)算機(jī)軟件公司，環(huán)比增長(zhǎng)76%，同比增長(zhǎng)1472%。

然而，如果僅關(guān)注烏克蘭和俄羅斯，則廣播媒體、網(wǎng)絡(luò)媒體公司和互聯(lián)網(wǎng)公司受到最多攻擊。

應(yīng)用層DDoS攻擊：來(lái)源國(guó)家/地區(qū)分布

為了解HTTP攻擊的來(lái)源，我們查看產(chǎn)生攻擊HTTP請(qǐng)求的客戶端的源IP地址。與網(wǎng)絡(luò)層攻擊不同，HTTP攻擊中的源IP無(wú)法假冒。特定國(guó)家/地區(qū)的高DDoS活動(dòng)率通常表明有僵尸網(wǎng)絡(luò)在其境內(nèi)運(yùn)行。

繼中國(guó)連續(xù)四個(gè)季度為HTTP DDoS攻擊的最大來(lái)源后，美國(guó)在本季度上升到首位。源于美國(guó)的HTTP DDoS攻擊環(huán)比增長(zhǎng)6777%，同比增長(zhǎng)2225%。中國(guó)居第二位，其后是印度、德國(guó)、巴西和烏克蘭。

應(yīng)用層DDoS攻擊：目標(biāo)國(guó)家/地區(qū)分布

為確定哪些國(guó)家/地區(qū)遭受到最多攻擊，我們按客戶的賬單所屬國(guó)家/地區(qū)統(tǒng)計(jì)DDoS攻擊，并計(jì)算占DDoS攻擊總數(shù)的百分比。

繼連續(xù)三個(gè)季度居首位后，美國(guó)在本季度退居第二位。中國(guó)的組織受到最多HTTP DDoS攻擊，其次為美國(guó)、俄羅斯和塞浦路斯。

網(wǎng)絡(luò)層DDoS攻擊

應(yīng)用層攻擊的目標(biāo)是（OSI模型）第七層的應(yīng)用程序，其上運(yùn)行著最終用戶嘗試訪問(wèn)的服務(wù)（對(duì)我們而言是HTTP/S），而網(wǎng)絡(luò)層攻擊旨在使網(wǎng)絡(luò)基礎(chǔ)設(shè)施（例如內(nèi)聯(lián)路由器和服務(wù)器）及互聯(lián)網(wǎng)鏈路本身不堪重負(fù)。

網(wǎng)絡(luò)層DDoS攻擊：月份分布

第一季度期間，雖然HTTP DDoS攻擊大幅增長(zhǎng)，但網(wǎng)絡(luò)層DDoS攻擊實(shí)際上環(huán)比減少了58%，不過(guò)同比仍增長(zhǎng)了71%。

對(duì)第一季度深入分析可見(jiàn)，網(wǎng)絡(luò)層DDoS攻擊在整個(gè)季度期間基本保持穩(wěn)定，每月發(fā)生的攻擊占三分之一左右。

Cloudflare緩解零日放大DDoS攻擊

以上網(wǎng)絡(luò)層DDoS攻擊也包括被Cloudflare自動(dòng)檢測(cè)并緩解的零日DDoS攻擊。

3月初，Cloudflare的研究人員幫助調(diào)查并暴露了Mitel商業(yè)電話系統(tǒng)中的一個(gè)零日漏洞，該漏洞與也能被攻擊者利用發(fā)起放大式DDoS攻擊。這種類(lèi)型的攻擊從存在漏洞的Mitel服務(wù)器將流量反射到受害者，在此過(guò)程中將發(fā)送的流量放大了22億倍?？稍谖覀冏罱牟┛臀恼轮辛私飧嘈畔ⅰ?/p>

在我們的網(wǎng)絡(luò)上觀察到幾次這樣的攻擊。其中一次攻擊的目標(biāo)是一家使用Cloudflare Magic Transit的北美云服務(wù)提供商。此次攻擊來(lái)自100個(gè)源IP，主要來(lái)自美國(guó)、英國(guó)、加拿大、荷蘭、澳大利亞及另外約20個(gè)國(guó)家。攻擊峰值超過(guò)50Mpps（約22Gpbs），被Cloudflare系統(tǒng)自動(dòng)檢測(cè)并緩解。