Using Unequal-Cost Multipath to Cope with Leaf-and-Spine Fabric Failures
Scott submitted an interesting the comment to my Does Unequal-Cost Multipath (UCMP) Make Sense blog post:
How about even Large CLOS networks with the same interface capacity, but accounting for things to fail; fabric cards, links or nodes in disaggregated units. You can either UCMP or drain large parts of your network to get the most out of ECMP.
Before I managed to write a reply (sometimes it takes months while an idea is simmering somewhere in my subconscious) Jeff Tantsura pointed me to an excellent article by Erico Vanini that describes the types of asymmetries you might encounter in a leaf-and-spine fabric: an ideal starting point for this discussion.
Using Unequal-Cost Multipath to Cope with Leaf-and-Spine Fabric Failures
Scott submitted an interesting the comment to my Does Unequal-Cost Multipath (UCMP) Make Sense blog post:
How about even Large CLOS networks with the same interface capacity, but accounting for things to fail; fabric cards, links or nodes in disaggregated units. You can either UCMP or drain large parts of your network to get the most out of ECMP.
Before I managed to write a reply (sometimes it takes months while an idea is simmering somewhere in my subconscious) Jeff Tantsura pointed me to an excellent article by Erico Vanini that describes the types of asymmetries you might encounter in a leaf-and-spine fabric: an ideal starting point for this discussion.
Get Smart About Cloud Networking – A Packet Pushers Livestream Event, April 22
There are lots of reasons to get educated about cloud networking. You might: Be responsible for connecting end users to numerous cloud services Have to link an application in Cloud A to services and data in Cloud B Support a hybrid application that has one foot in your DC and another in AWS, Azure, or […]
The post Get Smart About Cloud Networking – A Packet Pushers Livestream Event, April 22 appeared first on Packet Pushers.
How to Publish AVS Workloads on the Internet
Azure VMware Solution (AVS) is a VMware–validated private cloud solution, managed and maintained by Azure. It runs on dedicated, bare-metal Azure infrastructure. AVS allows customers to manage and secure applications across both VMware environments and Microsoft Azure resources with a consistent operating framework. It supports workload migration, VM deployment, and Azure service consumption.
As AVS private cloud runs on an isolated Azure environment, by default it is not accessible from Azure or the Internet. Users can use either ExpressRoute Global Reach (i.e., from on-prem) or a jump box (i.e., on an Azure VNet) to access AVS private cloud. This means AVS workload VMs are confined within AVS private cloud and not accessible from the Internet. If customers want to make AVS Private Cloud resources, such as web servers, accessible from the Internet, Public IP needs to be deployed. There are a couple of ways to do this: (1) Destination NAT or DNAT via Azure Virtual WAN/Azure Firewall; and (2) Azure Application Gateway. This article focuses on DNAT with Azure Virtual WAN/Azure Firewall.
Sports Industry Execs Share Challenges and Approaches to Creating Analytics
Tracing their roots to “moneyball “20 years ago, sports businesses believe their data-driven decision efforts can help enterprise IT.A Networking Perspective On Zero Trust Architecture (ZTA)
Zero Trust Architecture (ZTA) is a security point of view that has gathered enough momentum in 2020 and 2021 to frequently appear in marketing literature. The big idea of zero trust in network computing is roughly, “I confidently know who you are and have applied an appropriate security policy, but I still don’t trust you.”
My understanding of ZTA continues to evolve. This post represents my understanding today, with an emphasis on what ZTA means for network engineers.
How Is ZTA Different From Firewall Rules?
At first glance, zero trust sounds mostly like a firewall policy. Of course I don’t trust you. That’s why we apply all these filtering rules to the VPN tunnel, network interface, etc. Yes, but simple filtering implies a level of trust. The trust comes in the assumption that if you get through the filter, what you’re saying is trustworthy.
Zero trust does away with that assumption. For example…
- ZTA could mean that just because a VPN user passed a complex authentication scheme, their transactions are not assumed to be wholesome. Well done–your username and password check out, and we’ve applied a filtering policy to your tunnel. With that completed, we’re now going to monitor Continue reading
Tech Bytes: Optimizing Performance And IT Support For Your Distributed Workforce (Sponsored)
On today’s Tech Bytes episode, sponsored by AppNeta, we explore how IT can optimize performance and support for a highly distributed workforce and develop a sustainable strategy for a Work From Anywhere reality. Our AppNeta guests are Adam Edwards, Chief Customer Officer; and Mike Hustler, CTO.
The post Tech Bytes: Optimizing Performance And IT Support For Your Distributed Workforce (Sponsored) appeared first on Packet Pushers.
Tech Bytes: Optimizing Performance And IT Support For Your Distributed Workforce (Sponsored)
On today’s Tech Bytes episode, sponsored by AppNeta, we explore how IT can optimize performance and support for a highly distributed workforce and develop a sustainable strategy for a Work From Anywhere reality. Our AppNeta guests are Adam Edwards, Chief Customer Officer; and Mike Hustler, CTO.Complexity Reduction?
Back in January, I ran into an interesting article called The many lies about reducing complexity:
Reducing complexity sells. Especially managers in IT are sensitive to it as complexity generally is their biggest headache. Hence, in IT, people are in a perennial fight to make the complexity bearable.
Gerben then discusses two ways we often try to reduce complexity. First, we try to simply reduce the number of applications we’re using. We see this all the time in the networking world—if we could only get to a single pane of glass, or reduce the number of management packages we use, or reduce the number of control planes (generally to one), or reduce the number of transport protocols … but reducing the number of protocols doesn’t necessarily reduce complexity. Instead, we can just end up with one very complex protocol. Would it really be simpler to push DNS and HTTP functionality into BGP so we can use a single protocol to do everything?
Second, we try to reduce complexity by hiding it. While this is sometimes effective, it can also lead to unacceptable tradeoffs in performance (we run into the state, optimization, surfaces triad here). It can also make the system Continue reading
Network Break 329: Dell, VMware Consciously Uncouple; Aruba Networks Lives On The Edge
This week's Network Break podcast examines Dell's plans to spin off VMware for a healthy dose of cash, reviews Aruba Networks' Atmosphere keynotes, and dives into NVIDIA announcements around SmartNICs/DPUs and an AI security framework. We also cover a whopping-big acquisition by Microsoft, and what a drought in Taiwan means for the silicon supply chain.Network Break 329: Dell, VMware Consciously Uncouple; Aruba Networks Lives On The Edge
This week's Network Break podcast examines Dell's plans to spin off VMware for a healthy dose of cash, reviews Aruba Networks' Atmosphere keynotes, and dives into NVIDIA announcements around SmartNICs/DPUs and an AI security framework. We also cover a whopping-big acquisition by Microsoft, and what a drought in Taiwan means for the silicon supply chain.
The post Network Break 329: Dell, VMware Consciously Uncouple; Aruba Networks Lives On The Edge appeared first on Packet Pushers.
The Week in Internet News: Starlink Plans Broad Rollout
Internet from space: StarLink, the satellite-based Internet service from Elon Musk’s SpaceX, may exit its beta release around the middle of this year, Teslarati reports. Musk says the service is rapidly improving “service uptime, bandwidth, and latency.” Starlink should be broadly available later this year, with service also available for vehicles. A ban for all […]
The post The Week in Internet News: Starlink Plans Broad Rollout appeared first on Internet Society.
2021年第1四半期におけるDDoS攻撃の傾向
先週、Developer WeekがCloudflareで開催されました。この1週間、当社のチームは数々の新製品をリリースしました。その中には、大幅に改善されたWorkersもありました。Workersでアプリをデプロイするのを好むのはユーザーだけなく、当社のエンジニアチームもそうです。WorkersはCloudflare Radarでインターネットトラフィックと攻撃の傾向を明らかにします。本日、分析ブログを深く掘り下げるとともに、Jypyter、Clickhouse、Workers上に構築した当社初の完全自動化データノートブックである新しいRadar DDoSレポートページを発表できることを非常にうれしく思います。
先月、当社の自律型エッジDDoS（分散サービス妨害）対策システムを発表し、パフォーマンスに影響を与えることなく、超高速で攻撃数を低下させる方法をご説明しました。ネットワークのエッジで実行しながら、トラフィックを非同期的に分析することで、パフォーマンスへの影響を回避し、攻撃を検出するとすぐに軽減ルールを割り込ませます。これを全て自律的に行います。つまり、一元化されたコンセンサスを必要としないということです。
このブログ投稿では、2021年第1四半期にCloudflareシステムが軽減した攻撃に基づく最新のDDoSに関する洞察と傾向についてお話ししたいと思います。攻撃を分析する際、「DDoSの活動」レートを計算します。これは、総攻撃数（攻撃+クリーン）に対する攻撃のトラフィックの割合です。この計算を使うと、データポイントを正規化できるため、例えば、「あるデータセンターにはより多くのトラフィックが確認できるため、攻撃数も多い」といったバイアスを回避することができます。
要点：
アプリケーション層DDoS攻撃
- 2021年第1四半期で、HTTP攻撃のトラフィックの割合が最も高かったのは中国でした。そして米国、マレーシア、インドがこれに続きました。
- 第1四半期に最も攻撃を受けたのは通信業界で、次に消費者サービス、セキュリティと調査、インターネット、仮想通貨という順番でした。
- 最も攻撃を受けたインターネットプロパティは中国と米国、モロッコに拠点を置く企業でした。
ネットワーク層DDoS攻撃
- Cloudflareネットワークにおいて、最も活発なDDoS活動が見られたデータセンターはルワンダ、中国、ブルネイに位置しています。
- 第1四半期に発生した全攻撃のうちおよそ44％が1月に発生しています。
- 新たな脅威の上位には、JenkinsサーバーとTeamSpeak3サーバーを対象にした攻撃も含まれており、それぞれ前四半期と比べて940%と203%の増加となっています。
- 他の新しい脅威に、QUICのバージョンネゴシエーションパケットのフラッドがあります。これは、Cloudflareのインフラストラクチャを混乱させる試みであった可能性があります。
アプリケーション層DDoS攻撃
アプリケーション層DDoS攻撃（HTTP DDoS攻撃とも呼ばれる）は、リクエスト処理ができないようにすることで、HTTPサーバーの中断を狙う攻撃です。サーバーが処理できる量を超えるリクエストで攻め立てられた場合、サーバーは正当なリクエストをドロップせざるを得なくなり、さらにクラッシュすることさえあります。
業界別のDDoS攻撃活動
顧客の業界ごとにDDoS活動を分けてみると、第1四半期に最も攻撃を受けたのは、通信業界であることが分かります。そして、これは2020年第4四半期の第6位から大きく順位をあげています。第2位は消費者サービス業界で、第3位に入ったのはセキュリティと調査業界でした。
配信元国別のDDoS活動
ネットワーク層攻撃とは対照的に、HTTP攻撃では、送信元IPがスプーフィングできません。接続を確立する必要があります。クライアントの送信元IPのロケーションを調べることで、当社は送信元国を特定できます。特定の国においてDDoS活動率が高いということは、その国で大規模なボットネットが稼働していることを示しています。2020年第4四半期と2021年第1四半期の両方で中国がトップとなり、すぐ後に米国が続く結果となりました。
攻撃対象となった国別のDDoS活動
どの国が最もDDoS攻撃の対象となったのかを特定するために、お客様の請求先国ごとに見てみました。攻撃発生国の内訳と同じように、中国が1位で米国が2位となりました。前四半期で興味深かったことは、首位だった中国からインドがトップの座を奪ったことです。もしかすると、これはインドの選挙が2020年第4四半期に行われたことが影響したかもしれません。
ランサム攻撃
ここまで見てきたように、Enterpriseプラン以外のお客様が一番のDDoS攻撃の標的となりました。こうしたお客様からの報告をみると、攻撃数が多いだけでなく、ランサムDDoS 攻撃（RDDoS）数が最多だったことがわかります。2021年第1四半期にDDoS攻撃を受けたCloudflareのお客様を対象にした調査によると、その13%がRDDoS攻撃で金銭を要求された、または事前に脅迫を受けたと報告しています。そのうち、33%がProプランのお客様で62%がBusinessプランのお客様でした。これは、2020年第1四半期から続く傾向で、金銭を要求されたお客様は17%でした。これには、ラザルスグループと名乗るグループに狙われたFortune Global 500に入る企業も含まれますが、当社がオンボーディングし、保護しました。
ネットワーク層DDoS攻撃
アプリケーション層攻撃は、エンドユーザーがアクセスを試みるサービスを実行するアプリケーション（OSI参照モデルのレイヤー7）を狙いますが、ネットワークレイヤー攻撃は、ネットワークインフラストラクチャ（例えばインラインルーターや他のネットワークサーバー）とインターネットのリンクそのものを攻撃対象とします。
攻撃数
月単位を見ると、第1四半期に攻撃者が最も活発だったのは1月でした。四半期全体で観察された総攻撃の42%がこの月に発生しています。その次に多かったのが3月の34.2%で、さらに2月の23.8%が続きます。
しかし、2月は第1四半期最大の攻撃が発生し、そのピークが300~400Gbpsだったことが分かっています。
攻撃の規模
L3/4 DDoS攻撃の規模を測定するために、さまざまな方法があります。1つは送信するトラフィックの量で、ビットレート（具体的にはギガビット/秒）で測定されます。もう1つは配信するパケット数を使い、パケットレート（具体的には、1秒あたりのパケット数）で測定されます。ビットレートが高い攻撃ではインターネットリンクを飽和状態にする一方で、パケットレートの高い攻撃ではルーターやその他のインラインハードウェアデバイスを過負荷状態に陥れようとします。
2021年第1四半期に観察されたL3/4攻撃の大部分（97%以上）が、1mppsと500Mbpsを下回る規模でした。
これは、昨年1年間を通して観察された傾向が継続している形です。しかし、こうした攻撃が無害であることを意味するわけではありません。
500Mbps以下の攻撃は、クラウドベースのDDoS攻撃対策サービスが保護するインターネットプロパティを中断させるのに十分な大きさの威力を持つことがあります。多くの企業がサービスプロバイダーから1Gbps未満の帯域幅容量が提供されるアップリンクを使用しています。公開されているネットワークインターフェースも正当なトラフィックを送信すると仮定すると、500Mbps未満のDDoS攻撃であっても、インターネットプロパティに対して十分危害を加えることができてしまいます。
攻撃の持続時間
攻撃の90%以上で、持続時間は1時間未満でした。短い攻撃は、DDoS検出システムによって検出されずにダメージを与える可能性があります。手動で分析と軽減対策が行われているDDoSサービスは、この種の短い攻撃に対して役に立たない可能性があります。なぜなら、アナリストが攻撃のトラフィックの識別すら終えないうちに攻撃が終了してしまうためです。
攻撃が短くても、ターゲットのサイバー防御体制に探りを入れることができます。ダークウェブ上で広く普及している負荷テストツールと自動DDoSツールは、SYNフラッドなどの短いバーストを生成し、代替攻撃ベクトルを使用して別の短い攻撃を追加で仕掛けることができます。これにより、サイバー攻撃者は大規模な攻撃をより大きなレートを使って、より長い攻撃期間で仕掛けるかどうかを決める前に、ターゲットのセキュリティ体制を把握することができます。
攻撃ベクトル
攻撃のベクトルとは、攻撃者が利用する攻撃方法のことです。2021年第1四半期、SYN攻撃は攻撃者の間で最も使用頻度の高い攻撃ベクトルであり続けました。次に使用頻度が高かったのは、RST、UDP、DNS増幅攻撃でした。
では、SYNフラッド攻撃とは何かと言うと、TCP接続の基盤を悪用するDDoS攻撃のことです。クライアントとサーバー間にあるステートフルなTCP接続で3ウェイTCPハンドシェイクから始まります。クライアントが同期フラグ（SYN）で初期接続リクエストパケットを送信します。そして、サーバーが同期確認応答フラグ（SYN-ACK）を含めたパケットで応答します。最後にクライアントが、確認応答（ACK）パケットで応答します。この時点で、接続が確立され、データは接続が終了するまで交換することができます。このステートフルの処理を、サービス拒否イベントを引き起こすために攻撃者が悪用する可能性があります。
SYNパケットを繰り返し送信することで、攻撃者はサーバーまたはTCP接続の状態を追跡するルーターの接続テーブルを過負荷にしようと試みます。ルーターは、SYN-ACKパケットで応答してから、所定の接続ごとに一定量のメモリを割り当て、クライアントが最終ACKで応答するのを偽装して待機します。ルーターのメモリを接続が占有してしまうと、ルーターは正規のクライアントにメモリを追加で割り当てることができなくなり、これがルーターのクラッシュを引き起こしたり、正規のクライアントによる接続に対応できなくします。サービス拒否イベントなどがその例です。
同様に、RSTアンプリフィケーションフラッド攻撃では、その時に行われているセッションで、標的にするサーバーの受信パケットを検索するために使うシステムリソースを枯渇させることで、そのサーバーを疲弊させます。
新たな脅威
SYN攻撃の勢いが依然として衰えないまま、この四半期にJenkinsサーバーを狙った攻撃で940%の急上昇が見られました。Jenkinsは無料オープンソースの自動化サーバーで、エンジニアチームがソフトウェア開発するサポートをします。サーバーの古いバージョン（Jenkins 2.218以前）の脆弱性が、DDoS攻撃のきっかけとなったのです。この脆弱性は、初期設定でUDPマルチキャスト/ブロードキャストメッセージを無効にすることで、Jenkins 2.219では修正されました。ところが、まだ脆弱で露出したデバイスがUDPベースのサービスを実行しており、増幅型アンプリフィケーション攻撃を生成するために利用されています。
また、CloudflareはUDPで実行される、初期設定で暗号化される新しいインターネットトランスポートプロトコルであるQUICプロトコルで発生するL3/4 DDoS攻撃において、433%もの増加を観測しました。サーバーからクライアントに送信されるバージョンネゴシエーションパケットによって、サーバーがサポートしているQUICのバージョンをクライアントに示すことができます。UDPはステートレスなので、攻撃者は送信元IP アドレスをスプーフィングすることで、簡単にバージョンネゴシエーションパケットを模倣し、クライアントを過負荷にすることができます。
Cloudflareを標的にする攻撃は、特定のお客様を狙うというよりも、お客様が利用されているバージョンをダウングレードすることによって、Cloudflareのインフラストラクチャに影響を与えようとしている可能性があります。QUICアンプリフィケーション攻撃に関する詳細はこちらをお読みください。
観察された3番目の新しい脅威ベクトルはTeamSpeakです。独自のボイスオーバーインターネットプロトコル（VoIP）であり、UDPで実行され、リアルタイムでゲーマー同士が会話できるようになっています。この新しい脅威は前四半期比で203%増加しました。チャットではなく実際に話すことで、ゲーミングチームの効率性を格段に上げ、勝利をつかむ手助けをしています。TeamSpeakサーバーを狙うDDoS攻撃は、リアルタイムのマルチプレーヤーゲーム中にコミュニケーションパスを中断させ、チームのパフォーマンスに影響を与えようとするライバルグループが仕掛けている可能性もあります。
Cloudflareデータセンターがある国別のDDoS活動
ネットワーク層DDoS攻撃について国別の分布を見ると、最もL3/4攻撃数が多かったのはルワンダ、中国、ブルネイでした。アプリケーション層DDoS攻撃とは異なり、攻撃者はDDoSの攻撃元のロケーションを難読化するために、送信元IPアドレスをスプーフィングでき（そしてたいていはそれを実行し）ます。このため、L3/4 DDoS攻撃を分析する際、トラフィックは送信元IPのロケーションごとではなく、トラフィックが集約するCloudflareエッジデータセンターのロケーションごとにトラフィックをバケットします。Cloudflareは、攻撃が観察されたCloudflareデータセンターのロケーション別に攻撃を表示することで、スプーフィングされたIPの問題を解決することができます。世界200都市に広がるデータセンターがあるからこそ、当社のレポートは地理的に正確なものとなるのです。
すべての地域と国を表示するには、Radar DDoSレポートダッシュボードにあるインタラクティブマップをご覧ください。
より良いインターネットの構築を支援
Cloudflareは、より良いインターネットを構築するというミッションのもとに設立されました。ここで言うより良いインターネットとは、DDoS攻撃からの影響を受けることがないインターネットという意味です。過去10年間にわたり、あらゆる規模や種類のDDoS攻撃からお客様のインターネットプロパティを保護するために、当社では揺るぎない努力を重ねてきました。多くの企業がCloudflare DDoS攻撃対策の恩恵を享受していますが、CCP GamesとPanasonicは、そのうちの2社です。
また、Cloudflareは2021年第1四半期のForrester WaveTM：DDoS 軽減ソリューションでリーダーに選出されました。レポートはこちらから無料でダウンロードできます。
このレポートでは、ForresterのセキュリティとリスクのシニアアナリストであるDavid Holmes氏が「CloudflareはエッジでDDoS攻撃対策を迅速に行い...顧客はCloudflareのエッジネットワークを、アプリケーションを保護および配信するための魅力的な方法と見ている」と伝えています。
Cloudflare DDoS攻撃対策がお客様と業界アナリストたちに認められている大きな理由が3つあります。
- Cloudflareのネットワークアーキテクチャ：Cloudflareは、スクラビングセンターを運用しません。それは、当社がスクラビングセンターモデルがDDoS攻撃対策として欠陥のあるアプローチだと考えているからです。スクラビングセンターは遅延を引き起こす上に、構築と運営に経費がかかります。その代わりに、Cloudflareでは当社ネットワーク内にある全データセンターからすべてのサーバーでDDoS攻撃対策を実行しています。当社のエニーキャストベースのアーキテクチャでは、当社の容量がDDoSスクラビング容量と同等になっており、史上最大規模の59Tbpsです。これは、Cloudflareが攻撃のソースに最も近い場所でDDoS攻撃を検出して軽減することを意味します。さらに、Cloudflareのグローバルな脅威インテリジェンスは、インターネットの免疫システムのように機能し、機械学習モデルを用いてあらゆる顧客に対する攻撃を学習して軽減し、すべてのお客様を保護します。
- 高速パフォーマンス：当社のお客様から、「堅牢なセキュリティを望んでいるが、パフォーマンスを犠牲にするものは望んでいない」という声が常に寄せられています。設立当初から、Cloudflareは攻撃が引き起こす遅延の影響を受けることのないように設計されていました。当社のエニーキャストアーキテクチャによって、送信元に最も近い攻撃を軽減して、パスから外れたトラフィックを分析し、DDoS軽減ソリューションが正規のトラフィックに追加の遅延が発生しないようにしています。このルールは、コスト効率に優れたものとなるようにLinuxスタック内で最も適切な場所に適用され、パフォーマンスに悪影響が出ないようにしています。Cloudflareネットワーク全体でパフォーマンステストが行われ、トラフィックがCloudflare Magic Transitにルーティングされると、遅延が3ミリ秒短縮し、パケットのロスはほぼゼロにまでなったことを示しました。
- Cloudflareのサポート：CloudflareのEnterpriseのお客様アカウントすべてに（アカウントチーム、ソリューションエンジニア、Customer Successマネージャーを含め）チームが割り当てられており、オンボーディングや、さらにお客様の設定を最適化する領域の特定をお手伝いするなどを通して、積極的にお客様のサポートをしております。
Cloudflareの365日24時間無休のグローバルなサポートチームは、緊急のサポートをリクエストするEnterpriseのお客様からの電話に対応し、人の応答による即時のサポートを提供する準備ができています。
Wikimedia財団のCTOであるGrant Ingersoll氏の言葉を引用すると、「Cloudflareには信頼性の高いインフラストラクチャと対応が速くて極めて有能なチームを擁します。そして、大規模なDDoS攻撃でも阻止できる体制を整えています。」
CloudflareのDDoSソリューションの詳細は、こちらにお問い合わせいただくか、こちらから今すぐ始めましょう。
2021 年第一季 DDoS 攻擊趨勢
Cloudflare 在上週舉辦了開發人員週，我們的團隊紛紛發佈了酷炫的新產品，其中包括一系列對 Workers 的增強。不僅是客戶喜愛使用 Workers 部署應用程式，我們的工程團隊也不例外。Workers 還是我們在 Cloudflare Radar 上發佈的網際網路流量與攻擊趨勢的驅動力量。今天，與這篇深度解析部落格貼文一同面世的還有全新的 Radar DDoS Report 頁面，這是我們在 Jupyter、Clickhouse 和 Workers 基礎上打造的第一個全面自動化資料筆記本。
上個月，我們推出了自發邊緣 DDoS (分散式阻斷服務) 保護系統，也闡釋了這如何做到既能迅速封鎖攻擊又不影響效能。該系統執行於我們網路的邊緣，異步分析流量以免影響效能，並在偵測到攻擊時立即推送內嵌的緩解規則。一切都自發完成，無需集中共識的介入。
今天，我們將分享最新的 DDoS 洞察和趨勢，這源自於我們系統在 2021 年第一季所緩解的攻擊。在分析攻擊時，我們會計算「DDoS 活動」比率，即攻擊流量占總流量 (攻擊 + 乾淨) 的百分比。這樣，我們能夠規範化資料點，並避免出現偏頗，例如，偏向於看到更多流量 (因而發現更多攻擊) 的資料中心。
重點
應用程式層 DDoS 攻擊
- 2021 年第一季，HTTP 攻擊流量百分比最高的國家是中國。位居其後的是美國、馬來西亞和印度。
- 第一季遭受攻擊最多的是電訊產業，其次是消費者服務、安全與調查、網際網路以及加密貨幣。
- 遭受攻擊最多的網際網路設備來自中國、美國和摩洛哥的公司。
網路層 DDoS 攻擊
- 在 Cloudflare 網路上，我們位於盧安達、中國和汶萊的資料中心中觀察到了最高的 DDoS 活動。
- 第一季的所有攻擊中將近 44％ 發生在 1 月份。
- 主要新型威脅包括針對 Jenkins 和 TeamSpeak3 伺服器的攻擊，與前一季相比分別增長了 940% 和 203%。
- 其他新型威脅包括 QUIC 版本協商封包洪水，或許意在破壞 Cloudflare 的基礎結構。
應用程式層 DDoS 攻擊
應用程式層 DDoS 攻擊或 HTTP DDoS 攻擊旨在透過使 HTTP 伺服器無法處理請求來摧毀 HTTP 伺服器。如果伺服器受到數量超出其處理能力的請求轟炸，該伺服器會丟棄合法的請求，甚至會崩潰。
DDoS 攻擊活動產業分佈
如果按照客戶所屬市場產業對 DDoS 活動進行細分，可以發現電訊是第一季遭受攻擊最多的產業。與 2020 年第四季排名第六相比，這一次飛躍了一大步。其次是消費者服務產業，安全與調查產業則排名第三。
DDoS 活動來源國家/地區分佈
與網路層攻擊不同，HTTP 攻擊中不能假冒來源 IP。必須要建立連線。透過查詢用戶端來源 IP 的位置，就能確定其來源國家/地區。如果某一國家/地區中 DDoS 活動比率較高，這表示有大型機器人網路在這個國家/地區運作。2020 年第四季和 2021 年第一季，中國均位居榜首，美國則緊隨其後。
DDoS 活動目標國家/地區分佈
為確定哪些國家/地區遭受攻擊最多，我們按客戶的帳單國家/地區細分了 DDoS 活動。與攻擊來源細分類似，中國和美國分別排名第一和第二。有趣的是，印度在上一季將中國從第一位擠下，原因或許是印度大選同樣也在 2020 年第四季舉行。
勒索攻擊
如大家所見，我們的非 Enterprise 方案客戶是 DDoS 攻擊的最大目標。然而，不僅是攻擊的數量較高，這些客戶還報告了最高數量的 DDoS 勒索攻擊 (RDDoS)。2021 年第一季，遭受 DDoS 攻擊的被調查 Cloudflare 客戶中有 13％ 報告稱他們要麼被 RDDoS 攻擊勒索，要麼提前收到了威脅。在這些客戶當中，62％ 是 Pro 方案客戶，33％ 是 Business 方案客戶。這是 2020 年第四季起趨勢的延續，當時被勒索客戶的數量為 17％，其中包括自稱 Lazarus Group 的團夥攻擊了一家財富 500 強公司，這家公司被我們吸納到保護範圍之中。
網路層 DDoS 攻擊
應用程式層攻擊的目標是執行終端使用者嘗試存取的服務的應用程式 (OSI 模型的第 7 層)，網路層攻擊則以暴露的網路基礎結構 (例如，嵌入式路由器和其他網路伺服器) 和網際網路連結本身為目標。
攻擊數量
從月份來看，1 月是第一季中攻擊者最忙碌的月份，占該季度觀察到的攻擊總數的 42％。位列其後的是 3 月 (34.2％) 和 2 月 (23.8％)。
不過，我們確實發現第一季最大攻擊的峰值 (300-400 Gbps) 發生在 2 月。
攻擊規模
衡量第 3/4 層 DDoS 攻擊規模有多種不同的方法。一種方法是測量傳送的流量大小，以位元速率為單位 (即，每秒千兆位元)。另一種是測量傳送的封包數，以封包速率為單位 (即，每秒封包數)。高位元速率的攻擊會嘗試使網際網路連結飽和，而高封包速率的攻擊則會使路由器或其他嵌入式硬體裝置不堪負荷。
2021 年第一季觀察到的第 3/4 Continue reading
A Full Circle Journey: Introducing Cloudflare Canada
Pour voir cette publication en français, veuillez cliquer ici.
Today Cloudflare announced that Toronto will be home to Cloudflare’s first Canadian office and team. While I currently live in San Francisco, I was born and raised in Saskatchewan. As a proud Canadian, today feels like a homecoming. Canada has always been an important part of our history and customer base, and I am thrilled to see Cloudflare make a further commitment of expanding officially in the country and opening an office in Toronto. We are hiring a team locally to help our current customers and future customers, and to support even more great Canadian organizations. I wanted to share more about how Cloudflare works with Canadian businesses, what today’s announcement means, and some personal reflections.
How Cloudflare works with Canadian entrepreneurs, businesses, and nonprofits
Cloudflare helps ensure anything connected to the Internet is fast, safe, and reliable. We do this by running a distributed global cloud platform that delivers a broad range of network services to businesses of all sizes—making them more secure, enhancing the performance of anything connected online, and eliminating costs and complexity. We help approximately 25M Internet properties around the world—whether you’re a Canadian entrepreneur trying to Continue reading
Why I’m helping Cloudflare grow in Canada
I am incredibly excited to join Cloudflare as Head of Sales for Canada to expand the company’s growth in the region as part of its mission to help build a better Internet. This is an important milestone for Cloudflare to better serve the needs of our Canadian customers, recruit local talent, and build on the regional successes we’ve had around the globe.
Internet security, privacy, and performance are key drivers for every business, individual, and public sector organization. Universal dependency on the Internet has significantly increased, with web commerce, remote learning, distributed teams, remote work, virtual meetings etc. — and this is all here to stay.
Over the last few years we have seen the industry move from on-premise infrastructure and applications to a cloud-first approach with cloud and SaaS architectures. As this significant and inevitable transition has accelerated, it has introduced new complexities, challenges, and opportunities for organizations with the evolution to heterogeneous environments across public cloud, on-premise, and hybrid deployments.
At the same time, a company’s digital assets (data, web properties, applications, etc.) have become their most valuable assets. How an organization uses the Internet to serve their customers, partners, and employees has become a strategic priority Continue reading