DDoS-атака рекордної потужності 7,3 Тбіт/с зафіксована Cloudflare

Компанія Cloudflare, що надає послуги інтернет-безпеки та продуктивності, зафіксувала найпотужнішу в історії DDoS-атаку силою 7,3 терабіти за секунду. Про це повідомили представники компанії у п'ятницю.

Атака тривала лише 45 секунд, але за цей короткий час на ціль було спрямовано 37,4 терабайти шкідливого трафіку. Щоб зрозуміти масштаби цієї атаки, варто зазначити, що такий обсяг даних еквівалентний більш ніж 9300 повнометражним фільмам у високій чіткості або 7500 годинам HD-контенту для стрімінгу, переданим менш ніж за хвилину.

Зловмисники застосували тактику «килимового бомбардування», атакуючи в середньому майже 22 000 портів призначення однієї IP-адреси, що належить клієнту Cloudflare. Загалом було атаковано 34 500 портів, що свідчить про ретельність та добре спланований характер нападу. Ім'я постраждалої компанії не розголошується з міркувань безпеки.

Переважна більшість атаки була здійснена у формі пакетів протоколу UDP. Легітимні передачі на основі UDP використовуються в особливо чутливих до часу комунікаціях, таких як відтворення відео, ігрові додатки та DNS-запити. Цей протокол прискорює комунікацію, не встановлюючи формального з'єднання перед передачею даних. На відміну від більш поширеного протоколу TCP, UDP не чекає встановлення з'єднання між двома комп'ютерами через рукостискання і не перевіряє, чи правильно отримані дані іншою стороною. Натомість він негайно надсилає дані з однієї машини на іншу.

UDP-флуд атаки надсилають надзвичайно великі обсяги пакетів на випадкові або конкретні порти цільової IP-адреси. Такі потоки можуть насичувати інтернет-канал цілі або перевантажувати внутрішні ресурси більшою кількістю пакетів, ніж вони можуть обробити.

Оскільки UDP не вимагає рукостискання, зловмисники можуть використовувати його для затоплення цільового сервера потоками трафіку без попереднього отримання дозволу сервера на початок передачі. UDP-потоки зазвичай надсилають велику кількість датаграм на декілька портів цільової системи. Цільова система, у свою чергу, повинна надіслати рівну кількість пакетів даних назад, щоб вказати, що порти недоступні. Зрештою цільова система не витримує навантаження, що призводить до відмови у доступі легітимному трафіку.

Значно менша частина атаки, що становила лише 0,004 відсотка, була здійснена як атаки відображення. Атаки відображення спрямовують шкідливий трафік на одного або декількох сторонніх посередників, таких як служби протоколу мережевого часу для синхронізації серверних годинників. Зловмисник підробляє IP-адресу відправника шкідливих пакетів, створюючи видимість того, що вони доставляються кінцевою ціллю. Коли третя сторона надсилає відповідь, вона доставляється до цілі, а не до місця призначення первинного джерела трафіку.

Атаки відображення надають зловмисникам декілька переваг. По-перше, такі атаки призводять до того, що DDoS доставляється з широкого спектра місць призначення, що ускладнює захист цілей від натиску. Крім того, вибираючи проміжні сервери, які, як відомо, генерують відповіді, що в деяких випадках у тисячі разів більші за первинний запит, зловмисники можуть збільшити доступну їм вогневу потужність у тисячу разів або більше.

Cloudflare повідомила, що рекордна DDoS-атака використовувала різні вектори відображення або посилення, включаючи згаданий раніше протокол мережевого часу, протокол цитати дня, який прослуховує UDP-порт 17 і відповідає короткою цитатою або повідомленням, протокол відлуння, який відповідає тими ж даними, які отримує, та служби Portmapper, що використовуються для ідентифікації ресурсів, доступних для додатків, які підключаються через віддалений виклик процедур.

Компанія також зазначила, що атака була здійснена через один або декілька ботнетів на основі Mirai. Такі ботнети зазвичай складаються з домашніх маршрутизаторів та маршрутизаторів малих офісів, веб-камер та інших пристроїв інтернету речей, які були скомпрометовані.

Розміри DDoS-атак продовжують стабільно зростати протягом останніх трьох десятиліть. У березні Nokia повідомила, що ботнет під назвою Eleven11bot здійснив DOS-атаку з піком 6,5 Тбіт/с. У травні KrebsonSecurity заявив, що зазнав DDoS-атаки з піком 6,3 Тбіт/с.