什么是 Ping (ICMP) 洪水攻击？

ping Flood 是一种拒绝服务攻击，攻击者试图用 ICMP 回显请求数据包淹没目标设备，导致目标设备无法访问正常流量。当攻击流量来自多个设备时，攻击就变成了DDoS或分布式拒绝服务攻击。

Ping 洪水攻击是如何工作的？

在 Ping Flood 攻击中使用的Internet 控制消息协议 (ICMP)是网络设备用于通信的 Internet 层协议。网络诊断工具traceroute和ping都使用 ICMP 运行。通常，ICMP echo-r​​equest 和 echo-r​​eply 消息用于 ping 网络设备，以诊断设备的健康状况和连通性以及发送方与设备之间的连接。

ICMP 请求需要一些服务器资源来处理每个请求并发送响应。该请求还需要传入消息（echo-r​​equest）和传出响应（echo-r​​eply）的带宽。Ping Flood 攻击旨在压倒目标设备响应大量请求和/或使用虚假流量使网络连接过载的能力。通过让僵尸网络中的许多设备针对具有 ICMP 请求的相同互联网资产或基础设施组件，攻击流量会大幅增加，可能会导致正常网络活动的中断。从历史上看，攻击者经常使用虚假IP 地址进行欺骗以屏蔽发送设备。在现代僵尸网络攻击中，恶意行为者很少发现需要掩饰机器人的 IP，而是依靠大型未受欺骗的机器人网络来饱和目标的容量。

Ping (ICMP) Flood 的 DDoS 形式可以分解为 2 个重复步骤：

1. 攻击者使用多个设备向目标服务器发送许多 ICMP 回显请求数据包。
2. 然后，目标服务器向每个请求设备的 IP 地址发送一个 ICMP 回显回复数据包作为响应。

Ping Flood 的破坏性影响与向目标服务器发出的请求数量成正比。与NTP放大、DNS放大等基于反射的DDoS攻击不同，Ping Flood攻击流量是对称的；目标设备接收的带宽量只是从每个机器人发送的总流量的总和。

如何缓解 Ping 洪水攻击？

通过禁用目标路由器、计算机或其他设备的 ICMP 功能，最容易禁用 ping 泛洪。网络管理员可以访问设备的管理界面并禁用其使用 ICMP 发送和接收任何请求的能力，从而有效地消除对请求的处理和回声回复。这样做的结果是所有涉及 ICMP 的网络活动都被禁用，使设备对 ping 请求、traceroute 请求和其他网络活动无响应。

Cloudflare 如何缓解 Ping Flood 攻击？

Cloudflare 通过站在目标源服务器和 Ping 洪水之间来部分缓解这种类型的攻击。当发出每个 ping 请求时，Cloudflare 会在我们的网络边缘处理 ICMP 回显请求和回复的处理和响应过程。该策略将目标服务器的带宽和处理能力的资源成本转移到 Cloudflare 的Anycast网络上。