DDoS в третьем квартале: Cloudflare увидела больше коротких атак

Количество и мощность разошлись

За квартал Cloudflare заявила об отражении 18,2 миллиона DDoS-атак сетевого уровня и 14,4 триллиона HTTP-запросов, отнесённых к DDoS. Для сетевых атак это около 8,2 тысячи событий в час. Компания одновременно отмечает спад самых крупных эпизодов свыше 1 Тбит/с примерно на 69% относительно второго квартала. Это разные показатели: больше событий не обязательно означает рост пиковой мощности. Отчёт отражает наблюдения одной инфраструктуры и не является переписью всех атак в интернете.

Почему короткий эпизод остаётся заметным для сервиса

Атака длительностью несколько минут может закончиться раньше ручного вмешательства, но успеть нарушить вход, оплату или доступ к API. Для пользователя значение имеет доступность конкретного действия, а не средняя загрузка канала за сутки. Документация DDoS Protection разделяет защиту сетевого и HTTP-уровня. Такое разделение помогает интерпретировать отчёт: число HTTP-запросов нельзя напрямую сравнивать с количеством сетевых эпизодов. Также байты, запросы и длительность отвечают на разные вопросы о нагрузке и возможном воздействии.

Пакетная нагрузка и запрос приложения проходят разные стадии до появления пользовательского ответа. Первая может исчерпать возможности сетевого пути, вторая — занять ресурсы обработчика или его зависимостей. Поэтому отчёт отдельно показывает сетевые события и HTTP-запросы. Даже суммарный объём отражённого трафика не равен объёму, дошедшему до сервера клиента. Слова «отражено» и «наблюдалось» обозначают точку измерения в инфраструктуре защитного поставщика. Эти определения ограничивают то, какие выводы можно сделать из большого квартального числа без данных самого приложения.

Набор наблюдаемых векторов изменился

В отчёте говорится о резком снижении CLDAP и росте доли других типов UDP-нагрузки, включая DNS amplification. Это описание состава отражённых атак, без инструкции по их воспроизведению. Перемещение между типами трафика влияет на то, где возникает узкое место: в соединении, обработке пакетов или приложении. При этом одинаковая внешняя недоступность может иметь разные причины. Страница ошибки на сайте ещё не позволяет определить, перегружен ли канал, сервер приложения или внешний поставщик, участвующий в запросе.

Рейтинг целей требует осторожного чтения

Доли стран и отраслей зависят от состава клиентов, объёма обслуживаемого трафика и методики классификации. Поэтому место в таблице Cloudflare не следует выдавать за абсолютный уровень риска для каждой компании соответствующей страны. Сопоставление с предыдущим кварталом полезно внутри одной методики, но не доказывает мотив конкретной кампании. В отчёте упоминаются возможные связи с противодействием ботнетам; предположение о причинности отличается от измеренного изменения. Данные о том, сколько событий отражено, сами по себе не устанавливают организатора атаки.

Что входит в технический контекст отчёта

Защита от HTTP-нагрузки и защита сети применяются на разных уровнях и имеют собственные настройки и сигналы. Это не означает, что само подключение одного продукта решает все причины отказа приложения. Для оценки события важны временной диапазон, доля успешных пользовательских действий и расположение наблюдателя. Октябрьская дата является датой публикации отчёта, тогда как события относятся к июлю–сентябрю. Такой временной разрыв нормален для квартальной аналитики и не позволяет описывать её цифры как статистику одной сегодняшней атаки.