2.3 Tbps ：史上最大规模的DDOS攻击

亚马逊称其AWS Shield 服务在今年2月中旬成功拦截了2.3 Tbps的DDOS攻击，这是史上最大规模的DDOS 攻击，上次最大规模的DDOS攻击记录是2018年3月的1.7 Tbps。

AWS Shield近日发布了2020年1季度的威胁图谱报告，报告详述了AWS Shield保护服务检测和拦截到的web威胁和攻击活。AWS Shield 是种托管式DDoS防护服务，提供持续检测和内联缓解功能,能够缩短应用程序的停机时间和延迟，有效的保护AWS上应用程序的云安全。

2020年1季度DDOS攻击分析

2020年1季度研究人员发现了一个新的UDP反射向量——CLDAP反射。CLDAP (Connection-less Lightweight Directory Access Protocol，无连接的轻量级目录访问协议) 是一种老版本的LDAP协议，用于连接、检索和修改互联网上共享的目录。该协议自2016年开始被滥用于DDoS 攻击活动中，CLDAP 服务器可以将DDoS 攻击的流量放大56到70倍，因此被黑客广泛应用于提供DDoS-for-hire 服务。

下图是2020年1季度AWS 检测到的最大的网络流量攻击事件，其中99%的事件流量为43 Gbps。

AWS发现的第二个最常见的DDOS 攻击向量是SYN 洪泛。该向量允许攻击者在攻击的过程中生成大量的流量。SYN 洪泛很容易被欺骗，也就是说通过拦截源IP 地址基本不可能实现。而且，SYN 洪泛包都很小，因此很难拦截。此外，每个SYN 包都可以被应用翻译成新的连接。SYN洪泛从字节来看比UDP 反射攻击要小，但是从包上来看，比UDP 反射攻击的量大。

下图是AWS 2020年1季度最大的网络流量攻击事件的包数量：

TCP反射是2020年1季度DDOS攻击的另一个攻击向量。TCP反射与SYN洪泛类似，区别在于使用伪造的SYN包发送给合法的Internet服务。在TCP反射攻击中，伪造的SYN包会产生许多的SYN/ACK 包。

最大规模DDOS攻击记录

2.3 Tbps是目前规模最大的DDOS攻击的流量。之前最大的DDoS 攻击记录是2018年3月攻击Netscout的1.7 Tbps，在此之前是2018年2月攻击GitHub的1.3 Tbps。针对Netscout和GitHub 的DDoS攻击滥用了暴露在互联网的Memcached服务器来首先更大的带宽。2018年，Memcached是一个新的DDoS 攻击向量，许多黑客组织和DDoS-for-hire 服务都滥用了超过10万的Memcached 服务器来发起攻击。

目前，大多数的DDoS 攻击的峰值在500 Gbps左右，所以AWS拦截到的2.3 Tbps 攻击对整个行业来说都非常震惊。比如，Link 11的2020年1季度威胁报告中称，检测到的最大的DDoS 攻击是406 Gbps。Cloudflare检测到的最大的DDoS 攻击是550 Gbps。Akamai 报道称在2020年6月检测到了一个1.44 Tbps的DDoS攻击。

完整报告参见：https://aws-shield-tlr.s3.amazonaws.com/2020-Q1_AWS_Shield_TLR.pdf