Cloudflare最近宣布成功拦截了有史以来最大规模的分布式拒绝服务（DDoS）攻击，峰值达到惊人的3.8太比特每秒（Tbps），数据包速率为每秒3.4亿个数据包（Pps）。
这次攻击是持续打击网络威胁的一个重要里程碑，凸显了网络安全方面的挑战和进步。
DDoS攻击的规模创历史新高
最近的DDoS攻击在规模和复杂程度上创下了历史新高，其峰值带宽达到3.8Tbps，打破了之前的记录，也表明网络犯罪分子的能力正在不断增强。
这场持续一个月、史无前例的攻击活动针对的是金融、互联网和电信领域的Cloudflare客户，目的是使网络带宽饱和或耗尽在线应用程序和设备的计算资源。。
此次攻击利用了第3/4层协议，旨在使网络带宽饱和并耗尽目标服务的资源。此类超大容量攻击旨在压垮系统，使合法用户难以访问服务。
Cloudflare如何拦截威胁
Cloudflare的之所以能够拦截这次大规模攻击，得益于其强大而自主的防御系统。
该公司基于任播架构构建的全球网络基础设施对于将攻击负载分散到全球多个数据中心至关重要。
这种方法可确保没有任何一个点被压垮，从而可以有效管理和拦截大规模攻击。Cloudflare的系统利用实时动态签名来有效识别和阻止恶意流量。
通过利用eXpress数据路径（XDP）和扩展伯克利数据包过滤器（eBPF）等先进技术，Cloudflare可以以线速处理数据包，而不会消耗过多的CPU资源。
DDoS攻击的剖析
要理解此事件的意义，必须掌握DDoS攻击的基础知识。
DDoS攻击通过耗尽CPU周期和网络带宽等关键资源来拒绝合法用户的访问。在这种情况下，攻击者利用全球范围内被入侵的设备向目标生成大量流量。
此次攻击主要利用了越南、俄罗斯、巴西、西班牙和美国等多个国家的固定端口上的UDP协议。MikroTik和ASUS家用路由器等受感染的设备被编入僵尸网络来实施攻击。
有几种类型的受感染设备被利用来产生这种破纪录的流量，但Cloudflare指出，大多数“高比特率”攻击都来自易受攻击的华硕路由器，这些路由器受到Censys最近发现的严重安全漏洞（CVE 9.8）的影响。DDoS攻击旨在用来自多个来源的过多数据包压垮网络，同时还会使处理这些数据包所需的“CPU周期”紧张。
对互联网安全的影响
此次攻击的规模凸显了许多缺乏足够保护的互联网资产的脆弱性。
虽然Cloudflare的客户使用其HTTP反向代理会自动受到保护，但依赖不太强大的解决方案的其他资产可能会面临风险。
这一事件凸显了组织机构需要投资于能够应对此类容量攻击的全面网络安全措施。
为了应对这些日益严重的威胁，网络安全公司越来越注重开发更为复杂的防御机制。
Cloudflare的方法包括利用机器学习进行流量分析和实时威胁情报以自适应地拦截异常。
将人工智能和机器学习融入网络安全框架对于快速识别和消除复杂威胁至关重要。